PHP序列化/反序列化漏洞原理

PHP反序列化原理详解

引言

  PHP反序列化是PHP中一个重要的概念，它允许将序列化后的数据重新转换为原始的数据结构。在PHP中，可以使用serialize()函数将数据序列化为字符串，然后使用unserialize()函数将序列化后的字符串反序列化为原来的数据结构。这个过程在数据存储、传输和对象持久化等方面起着关键作用。然而，不当使用反序列化可能导致安全漏洞，因此理解其原理和正确使用方法至关重要。

原理

1. 序列化: PHP中的serialize()函数用于将数据（如数组、对象）转换为字符串格式，以便存储或传输。序列化后的字符串包含数据类型和值的信息。
2. 反序列化: unserialize()函数用于将序列化后的字符串转换回PHP值，如数组或对象。在反序列化过程中，PHP根据序列化字符串中的信息重新构建原始数据结构。

PHP序列化原理演示

序列化

<?php
class Test {
    // 声明属性
    public $publicVar = "public value";
    private $privateVar = "private value";
    protected $protected = "protected value";

    // 声明方法
    public function printVar() {
        echo $this->publicVar . "\n";
        echo $this->privateVar . "\n";
        echo $this->protected . "\n";
    }
}

$test = new Test();
$test->printVar();

$testSerial = serialize($test);
echo $testSerial;

当一个方法在类定义内部被调用时，有一个可用的伪变量 $this。$this 是一个到当前对象的引用。

运行结果

public value
private value
protected value
O:4:"Test":3:{s:9:"publicVar";s:12:"public value";s:16:"TestprivateVar";s:13:"private value";s:12:"*protected";s:15:"protected value";}

将序列化之后的值格式化来分析

O:4:"Test":3:{
	s:9:"publicVar";
	s:12:"public value";
	s:16:"TestprivateVar";
	s:13:"private value";
	s:12:"*protected";
	s:15:"protected value";
}

• O:4:"Test":3:{：这表示一个对象（O），其类名长度为4（"Test"），并且有3个属性。
  • 第一个属性：
    • s:9:"publicVar";：这是一个字符串（s），长度为9，内容为 "publicVar"，表示属性名。
    • s:12:"public value";：这是一个字符串，长度为12，内容为 "public value"，表示公共属性的值。
  • 第二个属性：
    • s:16:"TestprivateVar";：这是一个字符串，长度为16，内容为 "TestprivateVar"，表示私有属性的名称。在PHP中，私有属性在序列化时会以类名作为前缀。
    • s:13:"private value";：这是一个字符串，长度为13，内容为 "private value"，表示私有属性的值。
  • 第三个属性：
    • s:12:"*protected";：这是一个字符串，长度为12，内容为 "*protected"，表示受保护属性的名称。在PHP中，受保护属性在序列化时会以星号（*）作为前缀。
    • s:15:"protected value";：这是一个字符串，长度为15，内容为 "protected value"，表示受保护属性的值。

公共属性很好理解，但私有属性和保护属性就不一样了

protected：受保护成员只能在其定义的类及其子类中访问。

​ 序列化后属性名 \x00\*\x00属性名

**private：**私有成员只能在其定义的类内部访问，不能在子类或类外部访问。

​ 序列化后属性名 \x00类名\x00属性名

注意：浏览器输出默认不显示\x00

PHP序列化字符串中使用的类型标识符及其对应的数据类型

魔术方法

魔术方法是一种特殊的方法，当对对象执行某些操作时会覆盖 PHP 的默认操作。

<?php
class Test {
    // 声明属性
    public $publicVar = "public value";
    private $privateVar = "private value";
    protected $protected = "protected value";

    // 声明方法
    public function printVar() {
        echo $this->publicVar . "\n";
        echo $this->privateVar . "\n";
        echo $this->protected . "\n";
    }

    public function __wakeup() {
        echo '__wakeup';
    }
}

$test = new Test();
$test->printVar();

$testSerial = serialize($test);
echo $testSerial;
echo "\n";
unserialize($testSerial);

可以看到运行最后调用了 __wakeup 魔术方法

public value
private value
protected value
O:4:"Test":3:{s:9:"publicVar";s:12:"public value";s:16:" Test privateVar";s:13:"private value";s:12:" * protected";s:15:"protected value";}
__wakeup

如果__wakeup方法中有高敏感度代码，例如命令执行等，可能会导致意外的风险

例如：

<?php
class Test {
    public $cmd = '';

    public function __wakeup() {
        system($this->cmd);
    }
}

unserialize($_GET['data']);

传入?data=O:4:"Test":1:{s:3:"cmd";s:2:"id";}即可成功返回命令执行结果