PHP反序列化漏洞全面解析与防御指南<\/h1>

0x01 序列化基础概念<\/h2>

序列化的定义与作用<\/h3>
序列化是将数据结构或对象状态转换为可存储或传输格式的过程，逆向过程称为反序列化。在实际应用中，序列化类似于将家具拆解成板件便于运输，反序列化则是重新组装的过程。<\/p>

PHP序列化函数<\/h3>

\/\/ 序列化函数
<\/span><\/span><\/span><\/span>serialize<\/span>(mixed<\/span> $value):<\/span> string<\/span>
<\/span><\/span>
<\/span><\/span>\/\/ 反序列化函数  
<\/span><\/span><\/span><\/span>unserialize<\/span>(string<\/span> $str):<\/span> mixed<\/span>
<\/span><\/span><\/code><\/pre>访问控制修饰符对序列化的影响<\/h3>
根据访问控制修饰符的不同，序列化后的属性格式会有所差异：<\/p>

public<\/strong>：正常序列化，属性名保持不变<\/li>
private<\/strong>：属性名前会添加%00类名%00<\/code>前缀<\/li>
protected<\/strong>：属性名前会添加%00*%00<\/code>前缀<\/li>
<\/ul>
0x02 反序列化漏洞原理<\/h2>
漏洞定义<\/h3>
反序列化漏洞（对象注入漏洞）发生在程序反序列化用户可控数据时，自动调用某些魔术方法，如果这些方法的参数可被用户控制，则可能导致恶意代码执行。<\/p>
关键魔术方法<\/h3>
1. 对象生命周期相关方法<\/h4>

__destruct()<\/strong>：对象销毁时自动调用<\/li>
__wakeup()<\/strong>：反序列化后立即调用<\/li>
<\/ul>
2. 类型转换相关方法<\/h4>

__toString()<\/strong>：对象被当作字符串使用时调用<\/li>
__invoke()<\/strong>：对象被当作函数调用时触发<\/li>
<\/ul>
3. 属性访问相关方法<\/h4>

__get()<\/strong>：访问不可达属性时调用<\/li>
__set()<\/strong>：设置不可达属性时调用<\/li>
__call()<\/strong>：调用不存在的方法时触发<\/li>
<\/ul>
4. 构造与反序列化方法<\/h4>

__construct()<\/strong>：对象创建时调用<\/li>
__unserialize()<\/strong>：反序列化时优先调用（PHP 7.4+）<\/li>
<\/ul>
__wakeup()方法绕过技术<\/h3>
CVE-2016-7124漏洞<\/h4>
当序列化字符串中表示对象属性个数的值大于真实属性个数时，会跳过__wakeup()的执行。<\/p>
影响版本：<\/strong><\/p>

PHP 5.6.0 ~ 5.6.25<\/li>
PHP 7.0.0 ~ 7.0.10<\/li>
<\/ul>
利用方式：<\/strong>

将序列化字符串中的属性数量改为比实际数量大的值：<\/p>
\/\/ 正常序列化
<\/span><\/span><\/span><\/span>O<\/span>:<\/span>4<\/span>:<\/span>"Test"<\/span>:<\/span>1<\/span>:<\/span>{s<\/span>:<\/span>1<\/span>:<\/span>"a"<\/span>;s<\/span>:<\/span>1<\/span>:<\/span>"b"<\/span>;}
<\/span><\/span>
<\/span><\/span>\/\/ 绕过__wakeup
<\/span><\/span><\/span><\/span>O<\/span>:<\/span>4<\/span>:<\/span>"Test"<\/span>:<\/span>2<\/span>:<\/span>{s<\/span>:<\/span>1<\/span>:<\/span>"a"<\/span>;s<\/span>:<\/span>1<\/span>:<\/span>"b"<\/span>;}
<\/span><\/span><\/code><\/pre>同内存地址绕过<\/h4>
通过引用让属性共享内存，在__wakeup执行后修改引用属性值：<\/p>
class<\/span> Example<\/span> {
<\/span><\/span>    public<\/span> $a;
<\/span><\/span>    public<\/span> $b;
<\/span><\/span>    
<\/span><\/span>    public<\/span> function<\/span> __construct() {
<\/span><\/span>        $this-><\/span>b<\/span> =<\/span> &<\/span>$this-><\/span>a<\/span>;
<\/span><\/span>    }
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>0x03 POP链构造技术<\/h2>
POP链概念<\/h3>
POP链（Property Oriented Programming chain）是通过精心构造对象属性和方法调用关系，形成可实现恶意目的的调用链条。<\/p>
构造方法<\/h3>
1. 手动赋值（线性赋值）<\/h4>
$obj =<\/span> new<\/span> MyClass<\/span>();
<\/span><\/span>$obj-><\/span>property1<\/span> =<\/span> $value1;
<\/span><\/span>$obj-><\/span>property2<\/span> =<\/span> $value2;
<\/span><\/span><\/code><\/pre>2. 构造函数赋值<\/h4>
class<\/span> MyClass<\/span> {
<\/span><\/span>    private<\/span> $property;
<\/span><\/span>    
<\/span><\/span>    public<\/span> function<\/span> __construct($value) {
<\/span><\/span>        $this-><\/span>property<\/span> =<\/span> $value;
<\/span><\/span>    }
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>内置类的利用<\/h3>
1. ReflectionFunction类<\/h4>
用于动态分析和调用函数，可能被用于绕过函数调用限制：<\/p>
$func =<\/span> new<\/span> ReflectionFunction<\/span>('system'<\/span>);
<\/span><\/span>$func-><\/span>invoke<\/span>('id'<\/span>);
<\/span><\/span><\/code><\/pre>2. 文件系统迭代器<\/h4>

DirectoryIterator<\/strong>：基础目录遍历<\/li>
FilesystemIterator<\/strong>：增强的目录遍历，支持标志配置<\/li>
<\/ul>
3. SplFileObject类<\/h4>
用于文件读写操作，可结合PHP伪协议读取敏感文件：<\/p>
$file =<\/span> new<\/span> SplFileObject<\/span>('phar:\/\/test.phar\/test.txt'<\/span>);
<\/span><\/span><\/code><\/pre>过滤绕过技术<\/h3>
1. 过滤O:或a:开头<\/h4>
使用实现__unserialize()方法的类进行包装：<\/p>
\/\/ 正常序列化
<\/span><\/span><\/span><\/span>O<\/span>:<\/span>4<\/span>:<\/span>"Test"<\/span>:<\/span>1<\/span>:<\/span>{s<\/span>:<\/span>1<\/span>:<\/span>"a"<\/span>;s<\/span>:<\/span>1<\/span>:<\/span>"b"<\/span>;}
<\/span><\/span>
<\/span><\/span>\/\/ 使用ArrayObject包装  
<\/span><\/span><\/span><\/span>C<\/span>:<\/span>11<\/span>:<\/span>"ArrayObject"<\/span>:...<\/span> 
<\/span><\/span><\/code><\/pre>2. 过滤属性关键字<\/h4>

使用16进制编码绕过关键字过滤<\/li>
寻找替代函数（如用passthru代替system）<\/li>
<\/ul>
0x04 反序列化字符逃逸<\/h2>
漏洞原理<\/h3>
在序列化和反序列化之间对字符串进行过滤操作，导致序列化字符串结构破坏，从而注入恶意数据。<\/p>
两种逃逸场景<\/h3>
1. 过滤后字符变多<\/h4>
\/\/ 原始序列化
<\/span><\/span><\/span><\/span>O<\/span>:<\/span>4<\/span>:<\/span>"User"<\/span>:<\/span>2<\/span>:<\/span>{s<\/span>:<\/span>8<\/span>:<\/span>"username"<\/span>;s<\/span>:<\/span>5<\/span>:<\/span>"admin"<\/span>;s<\/span>:<\/span>8<\/span>:<\/span>"password"<\/span>;s<\/span>:<\/span>8<\/span>:<\/span>"password"<\/span>;}
<\/span><\/span>
<\/span><\/span>\/\/ 过滤规则：php替换为hacker
<\/span><\/span><\/span>\/\/ 恶意payload需要逃逸29个字符
<\/span><\/span><\/span><\/code><\/pre>2. 过滤后字符变少<\/h4>
原理类似，通过减少字符数改变序列化结构。<\/p>
利用步骤<\/h3>

计算需要逃逸的字符长度<\/li>
构造合适的过滤字符数量<\/li>
注入恶意序列化数据<\/li>
<\/ol>
0x05 Phar反序列化<\/h2>
Phar文件结构<\/h3>

Stub<\/strong>：PHP入口代码，必须以__HALT_COMPILER();?><\/code>结尾<\/li>
Manifest<\/strong>：文件元信息，其中meta-data以序列化形式存储<\/li>
File Contents<\/strong>：打包的文件内容<\/li>
Signature<\/strong>：可选的文件签名<\/li>
<\/ol>
创建Phar文件<\/h3>
$phar =<\/span> new<\/span> Phar<\/span>('test.phar'<\/span>);
<\/span><\/span>$phar-><\/span>startBuffering<\/span>();
<\/span><\/span>$phar-><\/span>addFromString<\/span>('test.txt'<\/span>, 'text'<\/span>);
<\/span><\/span>$phar-><\/span>setStub<\/span>('<?php __HALT_COMPILER(); ?>'<\/span>);
<\/span><\/span>$phar-><\/span>setMetadata<\/span>($serialized_data);
<\/span><\/span>$phar-><\/span>stopBuffering<\/span>();
<\/span><\/span><\/code><\/pre>反序列化触发机制<\/h3>
当使用phar:\/\/<\/code>伪协议访问Phar文件时，会自动反序列化meta-data中的数据，相当于隐式调用unserialize()。<\/p>
利用条件<\/h3>

存在可上传文件的位置<\/li>
文件操作函数参数可控<\/li>
存在合适的魔术方法作为入口点<\/li>
<\/ol>
0x06 防御措施<\/h2>
1. 输入验证与过滤<\/h3>

对反序列化数据进行严格的白名单验证<\/li>
避免反序列化用户可控数据<\/li>
<\/ul>
2. 安全配置<\/h3>

及时更新PHP版本，修复已知漏洞<\/li>
在php.ini中配置unserialize_callback_func<\/code>进行回调检查<\/li>
<\/ul>
3. 代码层面防护<\/h3>

避免在魔术方法中执行危险操作<\/li>
对敏感操作进行权限验证<\/li>
使用数字签名验证序列化数据完整性<\/li>
<\/ul>
4. 替代方案<\/h3>

使用JSON等更安全的序列化格式<\/li>
实现自定义的序列化机制 with 严格类型检查<\/li>
<\/ul>
0x07 实战检测流程<\/h2>
反序列化题目解题步骤<\/h3>

分析源代码，寻找可利用的魔术方法<\/li>
构造POP链，确定攻击路径<\/li>
生成序列化payload<\/li>
进行URL编码和传输<\/li>
验证攻击结果<\/li>
<\/ol>
工具与技巧<\/h3>

使用自动化工具辅助POP链发现<\/li>
结合其他漏洞（如文件上传）扩大攻击面<\/li>
注意PHP版本差异对漏洞利用的影响<\/li>
<\/ul>
通过深入理解上述知识点，安全研究人员可以更好地识别、利用和防御PHP反序列化漏洞，提升Web应用的安全性。<\/p>

PHP反序列化漏洞全面解析与防御指南<\/h1>

0x01 序列化基础概念<\/h2>

序列化的定义与作用<\/h3> 序列化是将数据结构或对象状态转换为可存储或传输格式的过程，逆向过程称为反序列化。在实际应用中，序列化类似于将家具拆解成板件便于运输，反序列化则是重新组装的过程。<\/p>

0x02 反序列化漏洞原理<\/h2>

漏洞定义<\/h3> 反序列化漏洞（对象注入漏洞）发生在程序反序列化用户可控数据时，自动调用某些魔术方法，如果这些方法的参数可被用户控制，则可能导致恶意代码执行。<\/p>

关键魔术方法<\/h3>

__wakeup()方法绕过技术<\/h3>

0x03 POP链构造技术<\/h2>

POP链概念<\/h3> POP链（Property Oriented Programming chain）是通过精心构造对象属性和方法调用关系，形成可实现恶意目的的调用链条。<\/p>

构造方法<\/h3>

内置类的利用<\/h3>

过滤绕过技术<\/h3>

0x04 反序列化字符逃逸<\/h2>

漏洞原理<\/h3> 在序列化和反序列化之间对字符串进行过滤操作，导致序列化字符串结构破坏，从而注入恶意数据。<\/p>

两种逃逸场景<\/h3>

2. 过滤后字符变少<\/h4> 原理类似，通过减少字符数改变序列化结构。<\/p>

0x05 Phar反序列化<\/h2>

反序列化触发机制<\/h3> 当使用phar:\/\/<\/code>伪协议访问Phar文件时，会自动反序列化meta-data中的数据，相当于隐式调用unserialize()。<\/p>

0x06 防御措施<\/h2>

0x07 实战检测流程<\/h2>

序列化的定义与作用<\/h3>
序列化是将数据结构或对象状态转换为可存储或传输格式的过程，逆向过程称为反序列化。在实际应用中，序列化类似于将家具拆解成板件便于运输，反序列化则是重新组装的过程。<\/p>

漏洞定义<\/h3>
反序列化漏洞（对象注入漏洞）发生在程序反序列化用户可控数据时，自动调用某些魔术方法，如果这些方法的参数可被用户控制，则可能导致恶意代码执行。<\/p>

POP链概念<\/h3>
POP链（Property Oriented Programming chain）是通过精心构造对象属性和方法调用关系，形成可实现恶意目的的调用链条。<\/p>

漏洞原理<\/h3>
在序列化和反序列化之间对字符串进行过滤操作，导致序列化字符串结构破坏，从而注入恶意数据。<\/p>

2. 过滤后字符变少<\/h4>
原理类似，通过减少字符数改变序列化结构。<\/p>

反序列化触发机制<\/h3>
当使用`phar:\/\/<\/code>伪协议访问Phar文件时，会自动反序列化meta-data中的数据，相当于隐式调用unserialize()。<\/p>`