php反序列unserialize的一个小特性

最新推荐文章于 2024-11-25 10:34:23 发布

转载最新推荐文章于 2024-11-25 10:34:23 发布 · 551 阅读

本文探讨了PHP中unserialize函数的一个小特性，即在特定序列化字符串前添加‘+’号不会影响其解析结果。文章还尝试利用这一特性绕过WordPress的安全补丁，并分享了实验过程及心得。

　　wp官网打了补丁，我试图去bypass补丁，但让我自以为成功的时候，发现我天真了，并没有成功绕过wp的补丁，但却发现了unserialize的一个小特性，在此和大家分享一下。

　　1.unserialize()函数相关源码：

if ((YYLIMIT - YYCURSOR) < 7) YYFILL(7);
        yych = *YYCURSOR;
        switch (yych)
 {
        case 'C':
        case 'O':        goto yy13;
        case 'N':        goto yy5;
        case 'R':        goto yy2;
        case 'S':        goto yy10;
        case 'a':        goto yy11;
        case 'b':        goto yy6;
        case 'd':        goto yy8;
        case 'i':        goto yy7;
        case 'o':        goto yy12;
        case 'r':        goto yy4;
        case 's':        goto yy9;
        case '}':        goto yy14;
        default:        goto yy16;
        }
scfrd.info;

xswft.info;

cghjk.info;

xdefy.info;

edgjk.info;

zsdcf.info;

wgukp.info;

xdswe.info;

nghty.info;

xkrfk.info;
 

　　上边这段代码是判断序列串的处理方式，如序列串O:4:"test":1:{s:1:"a";s:3:"aaa";},处理这个序列串，先获取字符串第一个字符为O，然后case 'O': goto yy13

　　yy13:

　　yych = *(YYMARKER = ++YYCURSOR);

　　if (yych == ':') goto yy17;

　　goto yy3;

　　从上边代码看出，指针移动一位指向第二个字符，判断字符是否为:，然后 goto yy17

yy17:
        yych = *++YYCURSOR;
        if (yybm[0+yych]
 & 128) {
                goto yy20;
        }
        if (yych
 == '+') goto yy19;
  
 .......
  
yy19:
        yych = *++YYCURSOR;
        if (yybm[0+yych]
 & 128) {
                goto yy20;
        }
        goto yy18;

　　从

　　上边代码看出，指针移动，判断下一位字符，如果字符是数字直接goto yy20，如果是'+'就goto

　　yy19，而yy19中是对下一位字符判断，如果下一位字符是数字goto yy20，不是就goto

　　yy18，yy18是直接退出序列处理，yy20是对object性的序列的处理，所以从上边可以看出：

　　O:+4:"test":1:{s:1:"a";s:3:"aaa";}

　　O:4:"test":1:{s:1:"a";s:3:"aaa";}

　　都能够被unserialize反序列化，且结果相同。

　　2.实际测试：

<?php
var_dump(unserialize('O:+4:"test":1:{s:1:"a";s:3:"aaa";}'));
var_dump(unserialize('O:4:"test":1:{s:1:"a";s:3:"aaa";}'));
?>
输出：
object(__PHP_Incomplete_Class)#1 (2)
 { ["__PHP_Incomplete_Class_Name"]=> string(4) "test"["a"]=>
 string(3) "aaa" } 
object(__PHP_Incomplete_Class)#1 (2)
 { ["__PHP_Incomplete_Class_Name"]=> string(4) "test"["a"]=>
 string(3) "aaa" }

　　其实，不光object类型处理可以多一个'+',其他类型也可以，具体测试不做过多描述。

　　3.我们看下wp的补丁：

function is_serialized( $data, $strict =
 true ) {
        // if it isn't a string, it isn't serialized
        if (
 ! is_string( $data ) )
                return false;
        $data =
 trim( $data );
         if ( 'N;' == $data )
                return true;
        $length = strlen( $data );
        if ( $length <
 4 )
                return false;
        if ( ':' !== $data[1]
 )
                return false;
        if ( $strict )
 {//output
                $lastc = $data[ $length -
 1 ];
                if ( ';' !== $lastc && '}' !== $lastc )
                        return false;
        } else {//input
                $semicolon = strpos( $data, ';' );
                $brace     = strpos( $data, '}' );
                // Either ; or } must exist.
                if (
 false === $semicolon && false === $brace )
                        return false;
                // But neither must be in the first X characters.
                if (
 false !== $semicolon && $semicolon <
 3 )
                        return false;
                if (
 false !== $brace && $brace <
 4 )
                        return false;
        }
        $token = $data[0];
        switch ( $token )
 {
                case 's' :
                        if ( $strict )
 {
                                if ( '"' !== $data[ $length -
 2 ] )
                                        return false;
                        } elseif (
 false === strpos( $data, '"' )
 ) {
                                return false;
                        }
                case 'a' :
                case 'O' :
                        echo "a";
                        return (bool)
 preg_match( "/^{$token}:[0-9]+:/s", $data );
                case 'b' :
                case 'i' :