php反序列化基本知识案例&绕过方法（字符串逃逸）&对框架的pop链构造&php原生类

1-1这是啥？

序列化：将对象转换成数组字符串格式的数据 serialize()

反序列化：将字符串数组数据转换成对象 unserialize()

以下内容为将user类中的数据经过序列化操作后输出，创建一个对象后不对变量赋值会默认为类中定义的值

还有反序列化操作，变回原来数据的样子，var_dump函数是将对象内容输出

魔术方法

反序列化涉及到许多魔术方法，他们在各种情况下有着属于自己的触发规则

_construct _destruct

前面还有一个_construct没截取到，在创建完test对象后会执行_construct()函数，于是输出了它的内容，然后使用unset()，这个是销毁函数，会调用_destruct，输出内容。本次属于主动调用，不调用这个unset()函数他也会执行_destruct()

程序结束后看到没有调用unset()函数，他还是会调用_destruct来销毁

_sleep _wakeup

在类外部调用序列化函数serialize()时会调用_sleep()方法

反之，在类外部使用unserialize()会调用_wakeup()函数

_invoke()函数

以调用函数的方式调用对象会执行_invoke

_tostring()

用调用字符串的方式调用对象，会执行_tostring()

_call()

调用不存在的方法时，会调用_call()函数

_get()

访问不存在的变量时会调用

_set()

为不存在的属性赋值的时候会调用

_isset()

在对不是public成员调用isset或者empty时，会调用_isset()，isset或者empty这俩的返回值对于不是public成员为1

_unset

在类外部使用unset函数来删除某个成员的时候调用_unset()

案例

假如以下php文件是挂在web上的，如何才能利用反序列化执行命令？

因为他是通过get传递一个x变量，然后反序列化里面的内容。看到类中存在_destruct，想到如果能创建一个B类的对象，调用完反序列化函数unserialize()后会执行_destruct，也就能执行system()。刚好这里的x变量我们可以通过url构造成创建一个B类对象的样子，那么就出来了

于是创建一个B类对象，对他序列化，然后放到url中。对应文件先反序列化得到数据，发现是一个B类对象后没有后文便销毁，销毁调用_destruct()执行命令

换掉cmd变量为ver也可以

1-2公共类型-public private protect

对于类成员定义的不同类型，大致分为public private protect三种，其中public随便访问，protect只在本类和子类中访问，private只在本类访问。

观察下面的图片，可以看到对于不同类型所产生的反序列化数据是不一样的，private需要加上%00类名%00，protect会加上%00*%00

cve利用

那么反序列化漏洞是怎么利用的呢？

我们从前面的知识点中了解到，在调用反序列化函数的时候会先调用_wakeup方法，那么以下的cve就讲述了如何绕过_wakeup方法

也就是说绕过方法为修改该对象中变量个数，造成3>2的情况

此cve可以参考buuctf中的题目

通过目录扫描工具可以下载一个zip文件

里面是一些php文件，在class文件中可以看到flag被包含

想要输出flag就得让username=admin，password要等于100，但是他会有一个_wakeup方法在创建对象的时候，修改username为guest，于是查看php版本是否为对应漏洞版本

在index.php中包含了class.php，获得了一个select参数，并将它反序列化

那么思路就是利用好漏洞，将username=admin，password=100，将其序列化后的数据修改变量个数提交就好

O%3A4%3A%22Name%22%3A2%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bi%3A100%3B%7D

修改变量为3个

O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bi%3A100%3B%7D

然后就好了

字符串逃逸

对于反序列化的防御来说，以上面的靶场为例，我们只需要在命名username=admin的时候，限制其为admin，或者说将它转义成其他内容，导致不能将代码执行到想要的那一步去

以下内容便使用到了过滤操作，将序列化得到的数据中的admin过滤成hacker，可以看到想要将其反序列化后输出该数据是false，说明是不行的

那么被过滤后如何才能让他成功反序列化后输出数据呢？为了解决这个问题，我们需要使用以下操作

增加逃逸

查看替换后增加了多少数据，这里增加了一个，从5变成6，那么换掉长度为后面的所有数据长度/1，如果增加了两个，换掉长度为后面数据长度/2。将这些字符用被过滤的字符串替换

思路：因为admin被替换成了hacker，对应字符5变成了6，导致后面全部数据无法被解析。那么就将admin后面的所有数据看成单独个体，将这些个体全部替换（用admin来代替这些个体）。这样反序列化解析的时候就会一直解析到admin的结束位置，再拼接上原来的数据，就变成了一组新数据。

在admin后面可以看到一共存在47个字符，那就有47个单独个体，47*admin=47*5，加上单独个体的总数47*5+47变成47*6