1. 项目概述与核心价值今天咱们来聊聊CTF实战中一个绕不开的经典话题PHP反序列化漏洞。这玩意儿在Web安全领域尤其是CTF比赛里出场率极高堪称“老演员”了。很多刚入门的朋友一看到unserialize()函数就头疼感觉序列化字符串像天书魔术方法调用链更是云里雾里。其实只要你把它的运作机制和常见套路摸清楚就会发现它既有规律可循又充满挑战的乐趣。这篇文章我就以一个老CTFer的视角带你把PHP反序列化从原理到实战从入门到提升彻底捋一遍。无论你是想打比赛拿分还是想深入理解Web应用的安全风险这篇文章都能给你提供一套清晰的“作战地图”。简单说PHP反序列化漏洞的核心就是攻击者能够控制传递给unserialize()函数的数据从而触发应用程序中某些类特别是那些定义了“魔术方法”的类的特定逻辑最终可能导致代码执行、文件读取、甚至服务器被控制。理解它你不仅能解题更能深刻理解“数据即代码”这一安全理念在PHP语境下的危险体现。接下来咱们就从最基础的序列化格式讲起一步步拆解漏洞成因、利用技巧和高级玩法。2. 核心原理序列化与反序列化到底是什么在深入漏洞之前我们必须先搞明白PHP序列化serialize和反序列化unserialize这两个函数到底是干什么的。你可以把它们想象成“打包”和“拆包”的过程。序列化serialize把一个PHP变量比如数组、对象转换成一个可以存储或传输的字符串。这个字符串包含了重建该变量所需的所有信息类型、值、结构但不包含任何方法函数逻辑。就像你把一个复杂的乐高模型按照说明书拆成零件并记录下每个零件的型号、颜色和位置写在一张清单上。这张清单就是序列化字符串它方便你邮寄或存档。反序列化unserialize则是逆向过程把序列化字符串“还原”成原来的PHP变量。相当于你拿到那张零件清单按照说明把乐高模型重新拼装起来。2.1 序列化字符串格式详解看一个最基础的数组例子?php $user array(xiao, shi, zi); echo serialize($user); // 输出a:3:{i:0;s:4:xiao;i:1;s:3:shi;i:2;s:2:zi;}我们来拆解这个字符串a:3:{i:0;s:4:xiao;i:1;s:3:shi;i:2;s:2:zi;}a 表示变量类型是 array数组。3 表示数组有3个元素。{} 花括号内包含了所有数组元素的具体描述。i:0; 第一个元素的键key是整型i值为0。s:4:xiao; 第一个元素的值是字符串s长度为4内容是“xiao”。对于对象类实例的序列化格式也类似但以O开头?php class User { public $name y4tacker; private $id 100; protected $email adminexample.com; } $obj new User(); echo serialize($obj); // 输出注意私有和保护属性的特殊前缀 // O:4:User:3:{s:4:name;s:9:y4tacker;s:7:\x00User\x00id;i:100;s:8:\x00*\x00email;s:17:adminexample.com;}这里的关键点在于可见性修饰符的影响公有public属性直接显示属性名如s:4:name。私有private属性属性名前会加上\x00类名\x00如s:7:\x00User\x00id。这里的\x00是空字符NULL字节在屏幕上不可见但在字符串中实际存在。受保护protected属性属性名前会加上\x00*\x00如s:8:\x00*\x00email。实操心得在处理或打印包含私有、保护属性的序列化字符串时空字符经常会导致显示问题或字符串匹配失败。一个常见的技巧是使用urlencode()或bin2hex()进行编码后再处理或者直接使用var_export查看。在CTF中有时需要手动构造包含这些不可见字符的payload这时记住它们的格式至关重要。2.2 漏洞产生的根源漏洞产生的条件非常明确入口点可控应用程序中存在一个unserialize()函数并且其参数通常是来自用户输入如$_GET、$_POST、$_COOKIE可以被攻击者控制。存在“危险”的类代码中定义了包含“魔术方法”的类并且这些魔术方法中执行了某些危险操作如eval()、system()、file_get_contents()或者其属性被用于危险函数的参数。类自动加载反序列化过程中涉及的类必须已经被加载到当前上下文中通过autoload或include。当攻击者精心构造一个序列化字符串并传递给unserialize()时PHP会按照这个字符串的描述在内存中重建出对应的对象。在对象重建反序列化和销毁的生命周期中如果满足了某些条件就会自动调用对象中的魔术方法。如果这些魔术方法包含了危险代码漏洞就被触发了。3. 魔术方法漏洞的“触发器”魔术方法是PHP面向对象编程中一组特殊的方法它们会在特定时机被自动调用。在反序列化漏洞利用中以下几个魔术方法是我们的重点“关照”对象__wakeup() 当对象被unserialize()反序列化时首先被调用。常用于重新建立数据库连接、初始化资源等。__destruct() 当对象被销毁时如脚本执行结束、unset()或对象失去所有引用被调用。这是最常用的漏洞触发点因为脚本结束时总会调用。__toString() 当对象被当作字符串处理时如echo $obj;被调用。__call() 当对象调用一个不可访问如不存在或私有的方法时被调用。__get()/__set() 当读取/写入一个不可访问的属性时被调用。__invoke() 当尝试以函数方式调用一个对象时如$obj()被调用。一个最简单的漏洞示例?php class VulnerableClass { public $cmd whoami; function __destruct() { system($this-cmd); // 危险操作 } } // 攻击者控制输入 $data $_GET[data]; $obj unserialize($data); // 如果$data是序列化的VulnerableClass对象__destruct()会被调用如果攻击者传入dataO:15:VulnerableClass:1:{s:3:cmd;s:10:cat /etc/passwd;}那么脚本结束时就会执行cat /etc/passwd。注意事项魔术方法是漏洞的“跳板”但并非所有包含魔术方法的类都直接危险。关键在于魔术方法内部或它所能影响到的代码路径上是否存在以对象属性为参数的危险函数调用。审计时要沿着“属性 - 魔术方法 - 危险函数”这条链去思考。4. 从简单利用到POP链构造4.1 基础对象注入最简单的利用场景就是上面那个例子直接反序列化一个包含恶意属性的对象触发其__destruct或__wakeup方法。这在早期的CTF题和真实漏洞中很常见。但现代应用和CTF题目很少会这么“耿直”通常会有一些限制或过滤。4.2 属性POP链构造当危险代码不在反序列化后立即执行的魔术方法如__destruct中而是在类的一个普通方法里时我们就需要构造一条“属性链”Property-Oriented Programming POP链。其核心思想是通过控制一个对象的属性让该属性是另一个对象从而在调用某个方法时触发第二个对象的某个魔术方法以此类推最终像多米诺骨牌一样触发危险代码。经典POP链分析以MRCTF2020-Ezpop为例虽然原题代码较长但其POP链构造思路非常典型。我们简化其核心逻辑来分析最终目标执行Modifier::append($this-var)其中$this-var可控可能实现文件包含或代码执行。触发点Modifier::__invoke()方法中调用了append。__invoke在对象被当作函数调用时触发。寻找调用在Test::__get($key)方法中有$function $this-p; return $function();。如果$this-p是一个Modifier对象那么$function()就会触发__invoke。触发__get__get在访问不可访问属性时触发。在Show::__toString()中有return $this-str-source;。如果$this-str是一个Test对象且Test对象没有source这个公有属性访问$this-str-source就会触发Test的__get。触发__toString__toString在对象被当作字符串时触发。在Show::__construct()中有echo $this-source;。如果$this-source是另一个Show对象那么echo就会触发它的__toString。构造链条$a-source(是Show对象) -Show::__toString()-$this-str-source(触发Test的__get) -Test::__get()-$this-p()(p是Modifier对象触发__invoke) -Modifier::__invoke()-$this-append($this-var)- 目标达成。通过这样一环扣一环的调用我们最终利用了对一个对象属性的读取echo $a-source触发了一连串魔术方法最终执行了危险操作。构造POP链的关键在于仔细阅读代码画出类之间的关系图并寻找从起点通常是__destruct或__wakeup到终点危险函数的可行路径。实操心得构造POP链时我习惯先用纸笔画出所有类、它们的属性、方法以及方法间的调用关系。然后从危险函数eval,system,include等开始反向回溯看哪些方法能调到它这些方法又需要什么条件触发属于哪个魔术方法或普通方法。正向从入口点如__destruct开始探索也能发现路径。CTF题目中的POP链通常不会太长但逻辑可能绕耐心梳理是关键。5. 高级利用技巧与绕过手段实战中开发人员可能会对反序列化进行一些过滤或防御这就需要我们掌握一些绕过技巧。5.1 绕过__wakeup()(CVE-2016-7124)这是一个经典的PHP内核漏洞。当序列化字符串中表示对象属性个数的值O:4:Test:1:中的1大于真实的属性个数时__wakeup()方法将不会被执行。// 正常情况__wakeup会执行将$a重置为666 unserialize(O:4:Test:1:{s:1:a;s:3:abc;}); // 利用CVE-2016-7124将属性个数改为2__wakeup被绕过__destruct输出abc unserialize(O:4:Test:2:{s:1:a;s:3:abc;});影响版本PHP5 5.6.25, PHP7 7.0.10。虽然现在主流环境已修复但在一些老旧系统或特定CTF场景中仍可能遇到。5.2 字符串逃逸字符增多/减少这是CTF中非常高频的考点。其原理是序列化字符串是严格按照长度标识如s:4:“xiao”来解析的。如果应用在反序列化前对字符串进行了过滤替换改变了字符串长度但序列化结构中的长度值未更新就会导致解析错位从而“吞掉”或“挤出”一部分字符串使得后续部分被当作新的序列化内容执行。情况一过滤后字符变多如x-xx假设原序列化字符串为a:2:{i:0;s:4:“maox”;i:1;s:7:“I am 11”;}其中namemaox。 过滤函数将x替换为xx那么maox变成了maoxx长度从4变成了5但结构里还是s:4解析就会出错。 攻击者可以精心构造name比如传入大量x使得多出来的字符正好“挤掉”后面预定的闭合部分并“吐出”我们构造的恶意序列化内容。// 假设过滤函数 str_replace(“x”, “xx”, $str) // 传入 namemaoxxxxxxxxxxxxxxxxxxxx”;i:1;s:6:“woaini”;} // 20个x被替换成40个多出的20个字符正好覆盖了我们插入的20个字符 ”;i:1;s:6:“woaini”;} // 使得这部分逃逸出来并被成功反序列化最终 $age 变成了 “woaini”情况二过滤后字符变少如xx-x原理相反字符变少导致后面部分被“吃掉”我们需要在 payload 前面补足被吃掉的字符让我们的恶意结构“对齐”到正确的解析位置。// 假设过滤函数 str_replace(“xx”, “x”, $str) // 我们需要在 payload 前填充大量 xx使其被过滤后减少的字符数刚好等于我们想“跳过”的原结构长度。 // 例如原 age 字段的序列化部分 s:3:“age”;s:28:“11”; 长度为20我们就在 name 里填充40个 xx过滤后变成20个 x减少了20个字符。 // 这20个字符的“空缺”会由后面紧跟的字符串补上如果我们让补上的字符串是我们构造的 payload就能实现注入。注意事项字符逃逸题目非常考验对序列化字符串结构的精确计算。我通常的步骤是1. 确定过滤规则和变化比例。2. 计算需要填充/挤占的字符长度。3. 精确构造 payload确保引号、分号、花括号的闭合。可以用一个小脚本先本地模拟一下过滤和反序列化过程验证 payload 是否正确。5.3 利用原生类SoapClient 与 SSRFPHP内置了一些原生类在特定扩展开启时可以被反序列化利用。最著名的就是SoapClient它可以用来发起HTTP请求常被用于构造服务端请求伪造SSRF。利用条件目标服务器开启php-soap扩展。存在反序列化入口。反序列化后的对象会调用一个不存在的方法触发__call。原理SoapClient在反序列化后如果调用其不存在的方法会触发__call魔术方法该方法会尝试发送一个SOAP请求。我们可以通过构造SoapClient对象的user_agent和location等属性在请求头中插入CRLF\r\n来注入自定义的HTTP头甚至覆盖整个POST请求体。?php $target ‘http://127.0.0.1/flag.php’; $post_data ‘tokenctfshow’; $headers array( ‘X-Forwarded-For: 127.0.0.1,127.0.0.1’, ); $client new SoapClient(null, array( ‘uri’ ‘aaab’, ‘location’ $target, ‘user_agent’ ‘y4tacker^^Content-Type: application/x-www-form-urlencoded^^’.join(‘^^‘, $headers).’^^Content-Length: ‘.(string)strlen($post_data).’^^^^‘.$post_data )); $payload serialize($client); $payload str_replace(‘^^‘, “\r\n”, $payload); // 将占位符替换为CRLF echo urlencode($payload);这段代码构造了一个SoapClient对象其user_agent中包含了完整的HTTP POST请求头和体。当反序列化后调用$client-not_exist_function()时就会向http://127.0.0.1/flag.php发送一个带有自定义X-Forwarded-For头和POST数据的请求常用于绕过本地IP限制或攻击内网服务。5.4 Phar反序列化将漏洞“打包”进文件这是一种非常隐蔽的攻击方式不直接反序列化POST/GET参数而是通过操作Phar文件来触发反序列化。原理PharPHP Archive是PHP的打包文件格式类似于JAR。它的元数据metadata部分在生成时可以包含一个序列化的对象。PHP中很多文件操作函数如file_get_contents()、file_exists()、include()等在通过phar://协议流包装器处理Phar文件时会自动反序列化其metadata。利用步骤生成恶意Phar文件创建一个包含恶意序列化对象的Phar文件。?php class Evil { public $cmd ‘system(“whoami”);‘; function __destruct() { eval($this-cmd); } } $phar new Phar(‘evil.phar’); $phar-startBuffering(); $phar-setStub(‘GIF89a?php __HALT_COMPILER(); ?‘); // 可以加GIF头绕过图片检测 $phar-setMetadata(new Evil()); // 关键将恶意对象存入metadata $phar-addFromString(‘test.txt’, ‘text’); $phar-stopBuffering();上传Phar文件通过文件上传等功能将evil.phar上传到服务器可能需要绕过后缀名检测可改为evil.jpg。触发反序列化寻找一个能接收文件路径参数的文件操作函数并使其以phar://协议访问我们上传的文件。// 假设存在这样的漏洞代码 $filename $_GET[‘file’]; // 用户可控 file_get_contents($filename); // 攻击者传入filephar:///path/to/uploaded/evil.jpg // 当file_get_contents解析phar协议时会自动反序列化metadata中的Evil对象受影响的函数非常多包括file_exists、is_dir、copy、fopen、include需要phar流包装器被允许等。甚至一些图像处理函数如getimagesize、exif_thumbnail也会触发。避坑技巧Phar反序列化的利用条件相对苛刻需要能上传文件需要能找到参数可控的文件操作函数且该函数支持phar://协议。在CTF中有时会限制协议可以用compress.bzip2://phar://或compress.zlib://phar://进行绕过。审计时要特别关注那些接收动态文件路径的函数调用。5.5 Session反序列化引擎差异导致的漏洞PHP默认使用php引擎序列化Session数据格式为键名|序列化字符串。但可以通过session.serialize_handler配置项改为php_serialize其格式就是标准的序列化字符串序列化字符串。漏洞产生如果一处代码使用php_serialize处理器写入Session例如处理用户上传进度session.upload_progress而另一处代码使用默认的php处理器读取Session就会产生解析差异。利用过程攻击者向使用php_serialize的端点提交数据其中包含一个精心构造的序列化字符串并以竖线|开头。例如|O:6:“Evil”:1:{s:3:“cmd”;s:10:“whoami”;}。php_serialize处理器将其作为值整体存入$_SESSION[‘key’]。当使用php处理器的脚本读取Session时它会将第一个|之前的内容当作键名之后的内容当作序列化字符串进行反序列化。于是O:6:“Evil”:1:{s:3:“cmd”;s:10:“whoami”;}被解析触发了Evil类的反序列化。这种漏洞常与session.upload_progress功能结合该功能会在文件上传时自动将上传信息写入Session且键名部分可控通过PHP_SESSION_UPLOAD_PROGRESS字段为注入序列化payload提供了入口。6. 实战防御与安全开发建议了解了攻击手法防御思路就清晰了。核心原则是永远不要反序列化不可信的数据。首选方案避免使用如果可能用更安全的数据交换格式如JSONjson_encode/json_decode并对输入进行严格校验。严格输入校验如果必须使用unserialize()应确保其参数来源绝对可信例如来自加密且签名的缓存而非用户直接输入。可以使用白名单机制只允许反序列化预期的、有限的类。使用安全的反序列化函数PHP 7引入了unserialize($data, [‘allowed_classes’ false])选项可以禁用所有类的反序列化只允许反序列化基本类型数组、字符串等。这是最有效的缓解措施之一。魔术方法的安全设计在类设计时谨慎在__wakeup()、__destruct()等魔术方法中执行敏感操作。避免将用户可控的属性直接用于文件操作、命令执行或数据库查询。更新PHP版本及时升级PHP修复已知的底层反序列化漏洞如CVE-2016-7124。代码审计定期审计代码查找unserialize()的调用点并追踪其参数来源。检查所有包含魔术方法的类评估其安全性。针对Phar攻击在php.ini中可以通过phar.readonly On限制Phar文件的写入默认开启。对于文件操作函数如果参数可控应严格检查协议避免使用phar://。7. CTF实战解题思路与排查技巧当你面对一道疑似PHP反序列化的CTF题目时可以遵循以下步骤第一步信息收集寻找入口搜索代码中的unserialize()函数查看其参数是否可控$_GET、$_POST、$_COOKIE、$_SESSION。分析类结构找到代码中定义的所有类重点关注包含魔术方法的类。画出类图理清属性和方法之间的关系。寻找危险函数在魔术方法或普通方法中搜索eval()、system()、exec()、file_get_contents()、include()/require()等危险函数。第二步构造利用链确定起点和终点终点是危险函数调用点。起点通常是可控的反序列化入口或者通过POP链能触发到的第一个魔术方法如__destruct。连接链条分析如何从起点通过属性访问、方法调用一步步走到终点。注意__get、__set、__call、__toString、__invoke这些“桥梁”魔术方法。处理过滤与绕过检查代码中是否有对序列化字符串的过滤如preg_match检查开头、str_replace过滤字符。根据过滤规则应用相应的绕过技巧如号绕过、16进制编码、字符串逃逸。第三步生成与利用Payload编写利用代码根据构造好的链编写一个本地脚本创建相应的对象并设置属性最后echo serialize($obj);生成payload。处理特殊字符如果payload中包含空字符\x00、引号等需要进行URL编码或Base64编码后再传递。发送Payload通过GET/POST/Cookie等方式将payload提交给目标。触发确保反序列化后的对象生命周期能走到触发点如脚本结束触发__destruct。常见问题排查表问题现象可能原因排查方向反序列化后无任何输出1. 类未自动加载。2.__wakeup方法重置或删除了关键属性。3. 属性可见性问题private/protected。4. 目标方法未触发。1. 检查__autoload或spl_autoload_register确保类文件被包含。2. 检查__wakeup逻辑尝试用CVE-2016-7124绕过。3. 检查序列化字符串中私有/保护属性的格式是否正确含\x00。4. 确认对象是否被销毁触发__destruct或以其他方式触发魔术方法。报错Class ‘XXX’ not found反序列化的类在当前上下文中不存在。1. 确认题目是否提供了所有必要的类文件。2. 检查是否有条件包含如通过参数包含文件尝试利用之。3. 考虑使用PHP原生类如SoapClient、Error、Exception。Payload提交后返回空白或错误1. Payload格式错误解析失败。2. 过滤规则导致payload被拦截或破坏。3. 长度限制。1. 本地用相同PHP版本测试unserialize()是否能成功。2. 逐字符检查payload特别是引号、分号、花括号的匹配和转义。3. 使用编码如Base64或缩短payload。疑似Phar或Session反序列化代码中没有明显的unserialize()但有文件操作或Session操作。1. 寻找接收文件路径的函数尝试phar://协议。2. 查看phpinfo()或代码中的ini_set确认Session处理器类型尝试session.upload_progress注入。最后的小技巧在CTF中如果题目提供了源代码一定要先整体浏览一遍用文本编辑器的搜索功能快速定位unserialize、__wakeup、__destruct、eval、system等关键词。对于复杂的POP链可以尝试在本地搭建环境将题目代码复制过来加入一些var_dump或echo语句来跟踪程序的执行流程和对象状态这比单纯在脑子里推演要直观和可靠得多。PHP反序列化就像解一道精密的逻辑谜题耐心和细致的观察永远是第一位的。
PHP反序列化漏洞：从原理到实战的CTF攻防指南
1. 项目概述与核心价值今天咱们来聊聊CTF实战中一个绕不开的经典话题PHP反序列化漏洞。这玩意儿在Web安全领域尤其是CTF比赛里出场率极高堪称“老演员”了。很多刚入门的朋友一看到unserialize()函数就头疼感觉序列化字符串像天书魔术方法调用链更是云里雾里。其实只要你把它的运作机制和常见套路摸清楚就会发现它既有规律可循又充满挑战的乐趣。这篇文章我就以一个老CTFer的视角带你把PHP反序列化从原理到实战从入门到提升彻底捋一遍。无论你是想打比赛拿分还是想深入理解Web应用的安全风险这篇文章都能给你提供一套清晰的“作战地图”。简单说PHP反序列化漏洞的核心就是攻击者能够控制传递给unserialize()函数的数据从而触发应用程序中某些类特别是那些定义了“魔术方法”的类的特定逻辑最终可能导致代码执行、文件读取、甚至服务器被控制。理解它你不仅能解题更能深刻理解“数据即代码”这一安全理念在PHP语境下的危险体现。接下来咱们就从最基础的序列化格式讲起一步步拆解漏洞成因、利用技巧和高级玩法。2. 核心原理序列化与反序列化到底是什么在深入漏洞之前我们必须先搞明白PHP序列化serialize和反序列化unserialize这两个函数到底是干什么的。你可以把它们想象成“打包”和“拆包”的过程。序列化serialize把一个PHP变量比如数组、对象转换成一个可以存储或传输的字符串。这个字符串包含了重建该变量所需的所有信息类型、值、结构但不包含任何方法函数逻辑。就像你把一个复杂的乐高模型按照说明书拆成零件并记录下每个零件的型号、颜色和位置写在一张清单上。这张清单就是序列化字符串它方便你邮寄或存档。反序列化unserialize则是逆向过程把序列化字符串“还原”成原来的PHP变量。相当于你拿到那张零件清单按照说明把乐高模型重新拼装起来。2.1 序列化字符串格式详解看一个最基础的数组例子?php $user array(xiao, shi, zi); echo serialize($user); // 输出a:3:{i:0;s:4:xiao;i:1;s:3:shi;i:2;s:2:zi;}我们来拆解这个字符串a:3:{i:0;s:4:xiao;i:1;s:3:shi;i:2;s:2:zi;}a 表示变量类型是 array数组。3 表示数组有3个元素。{} 花括号内包含了所有数组元素的具体描述。i:0; 第一个元素的键key是整型i值为0。s:4:xiao; 第一个元素的值是字符串s长度为4内容是“xiao”。对于对象类实例的序列化格式也类似但以O开头?php class User { public $name y4tacker; private $id 100; protected $email adminexample.com; } $obj new User(); echo serialize($obj); // 输出注意私有和保护属性的特殊前缀 // O:4:User:3:{s:4:name;s:9:y4tacker;s:7:\x00User\x00id;i:100;s:8:\x00*\x00email;s:17:adminexample.com;}这里的关键点在于可见性修饰符的影响公有public属性直接显示属性名如s:4:name。私有private属性属性名前会加上\x00类名\x00如s:7:\x00User\x00id。这里的\x00是空字符NULL字节在屏幕上不可见但在字符串中实际存在。受保护protected属性属性名前会加上\x00*\x00如s:8:\x00*\x00email。实操心得在处理或打印包含私有、保护属性的序列化字符串时空字符经常会导致显示问题或字符串匹配失败。一个常见的技巧是使用urlencode()或bin2hex()进行编码后再处理或者直接使用var_export查看。在CTF中有时需要手动构造包含这些不可见字符的payload这时记住它们的格式至关重要。2.2 漏洞产生的根源漏洞产生的条件非常明确入口点可控应用程序中存在一个unserialize()函数并且其参数通常是来自用户输入如$_GET、$_POST、$_COOKIE可以被攻击者控制。存在“危险”的类代码中定义了包含“魔术方法”的类并且这些魔术方法中执行了某些危险操作如eval()、system()、file_get_contents()或者其属性被用于危险函数的参数。类自动加载反序列化过程中涉及的类必须已经被加载到当前上下文中通过autoload或include。当攻击者精心构造一个序列化字符串并传递给unserialize()时PHP会按照这个字符串的描述在内存中重建出对应的对象。在对象重建反序列化和销毁的生命周期中如果满足了某些条件就会自动调用对象中的魔术方法。如果这些魔术方法包含了危险代码漏洞就被触发了。3. 魔术方法漏洞的“触发器”魔术方法是PHP面向对象编程中一组特殊的方法它们会在特定时机被自动调用。在反序列化漏洞利用中以下几个魔术方法是我们的重点“关照”对象__wakeup() 当对象被unserialize()反序列化时首先被调用。常用于重新建立数据库连接、初始化资源等。__destruct() 当对象被销毁时如脚本执行结束、unset()或对象失去所有引用被调用。这是最常用的漏洞触发点因为脚本结束时总会调用。__toString() 当对象被当作字符串处理时如echo $obj;被调用。__call() 当对象调用一个不可访问如不存在或私有的方法时被调用。__get()/__set() 当读取/写入一个不可访问的属性时被调用。__invoke() 当尝试以函数方式调用一个对象时如$obj()被调用。一个最简单的漏洞示例?php class VulnerableClass { public $cmd whoami; function __destruct() { system($this-cmd); // 危险操作 } } // 攻击者控制输入 $data $_GET[data]; $obj unserialize($data); // 如果$data是序列化的VulnerableClass对象__destruct()会被调用如果攻击者传入dataO:15:VulnerableClass:1:{s:3:cmd;s:10:cat /etc/passwd;}那么脚本结束时就会执行cat /etc/passwd。注意事项魔术方法是漏洞的“跳板”但并非所有包含魔术方法的类都直接危险。关键在于魔术方法内部或它所能影响到的代码路径上是否存在以对象属性为参数的危险函数调用。审计时要沿着“属性 - 魔术方法 - 危险函数”这条链去思考。4. 从简单利用到POP链构造4.1 基础对象注入最简单的利用场景就是上面那个例子直接反序列化一个包含恶意属性的对象触发其__destruct或__wakeup方法。这在早期的CTF题和真实漏洞中很常见。但现代应用和CTF题目很少会这么“耿直”通常会有一些限制或过滤。4.2 属性POP链构造当危险代码不在反序列化后立即执行的魔术方法如__destruct中而是在类的一个普通方法里时我们就需要构造一条“属性链”Property-Oriented Programming POP链。其核心思想是通过控制一个对象的属性让该属性是另一个对象从而在调用某个方法时触发第二个对象的某个魔术方法以此类推最终像多米诺骨牌一样触发危险代码。经典POP链分析以MRCTF2020-Ezpop为例虽然原题代码较长但其POP链构造思路非常典型。我们简化其核心逻辑来分析最终目标执行Modifier::append($this-var)其中$this-var可控可能实现文件包含或代码执行。触发点Modifier::__invoke()方法中调用了append。__invoke在对象被当作函数调用时触发。寻找调用在Test::__get($key)方法中有$function $this-p; return $function();。如果$this-p是一个Modifier对象那么$function()就会触发__invoke。触发__get__get在访问不可访问属性时触发。在Show::__toString()中有return $this-str-source;。如果$this-str是一个Test对象且Test对象没有source这个公有属性访问$this-str-source就会触发Test的__get。触发__toString__toString在对象被当作字符串时触发。在Show::__construct()中有echo $this-source;。如果$this-source是另一个Show对象那么echo就会触发它的__toString。构造链条$a-source(是Show对象) -Show::__toString()-$this-str-source(触发Test的__get) -Test::__get()-$this-p()(p是Modifier对象触发__invoke) -Modifier::__invoke()-$this-append($this-var)- 目标达成。通过这样一环扣一环的调用我们最终利用了对一个对象属性的读取echo $a-source触发了一连串魔术方法最终执行了危险操作。构造POP链的关键在于仔细阅读代码画出类之间的关系图并寻找从起点通常是__destruct或__wakeup到终点危险函数的可行路径。实操心得构造POP链时我习惯先用纸笔画出所有类、它们的属性、方法以及方法间的调用关系。然后从危险函数eval,system,include等开始反向回溯看哪些方法能调到它这些方法又需要什么条件触发属于哪个魔术方法或普通方法。正向从入口点如__destruct开始探索也能发现路径。CTF题目中的POP链通常不会太长但逻辑可能绕耐心梳理是关键。5. 高级利用技巧与绕过手段实战中开发人员可能会对反序列化进行一些过滤或防御这就需要我们掌握一些绕过技巧。5.1 绕过__wakeup()(CVE-2016-7124)这是一个经典的PHP内核漏洞。当序列化字符串中表示对象属性个数的值O:4:Test:1:中的1大于真实的属性个数时__wakeup()方法将不会被执行。// 正常情况__wakeup会执行将$a重置为666 unserialize(O:4:Test:1:{s:1:a;s:3:abc;}); // 利用CVE-2016-7124将属性个数改为2__wakeup被绕过__destruct输出abc unserialize(O:4:Test:2:{s:1:a;s:3:abc;});影响版本PHP5 5.6.25, PHP7 7.0.10。虽然现在主流环境已修复但在一些老旧系统或特定CTF场景中仍可能遇到。5.2 字符串逃逸字符增多/减少这是CTF中非常高频的考点。其原理是序列化字符串是严格按照长度标识如s:4:“xiao”来解析的。如果应用在反序列化前对字符串进行了过滤替换改变了字符串长度但序列化结构中的长度值未更新就会导致解析错位从而“吞掉”或“挤出”一部分字符串使得后续部分被当作新的序列化内容执行。情况一过滤后字符变多如x-xx假设原序列化字符串为a:2:{i:0;s:4:“maox”;i:1;s:7:“I am 11”;}其中namemaox。 过滤函数将x替换为xx那么maox变成了maoxx长度从4变成了5但结构里还是s:4解析就会出错。 攻击者可以精心构造name比如传入大量x使得多出来的字符正好“挤掉”后面预定的闭合部分并“吐出”我们构造的恶意序列化内容。// 假设过滤函数 str_replace(“x”, “xx”, $str) // 传入 namemaoxxxxxxxxxxxxxxxxxxxx”;i:1;s:6:“woaini”;} // 20个x被替换成40个多出的20个字符正好覆盖了我们插入的20个字符 ”;i:1;s:6:“woaini”;} // 使得这部分逃逸出来并被成功反序列化最终 $age 变成了 “woaini”情况二过滤后字符变少如xx-x原理相反字符变少导致后面部分被“吃掉”我们需要在 payload 前面补足被吃掉的字符让我们的恶意结构“对齐”到正确的解析位置。// 假设过滤函数 str_replace(“xx”, “x”, $str) // 我们需要在 payload 前填充大量 xx使其被过滤后减少的字符数刚好等于我们想“跳过”的原结构长度。 // 例如原 age 字段的序列化部分 s:3:“age”;s:28:“11”; 长度为20我们就在 name 里填充40个 xx过滤后变成20个 x减少了20个字符。 // 这20个字符的“空缺”会由后面紧跟的字符串补上如果我们让补上的字符串是我们构造的 payload就能实现注入。注意事项字符逃逸题目非常考验对序列化字符串结构的精确计算。我通常的步骤是1. 确定过滤规则和变化比例。2. 计算需要填充/挤占的字符长度。3. 精确构造 payload确保引号、分号、花括号的闭合。可以用一个小脚本先本地模拟一下过滤和反序列化过程验证 payload 是否正确。5.3 利用原生类SoapClient 与 SSRFPHP内置了一些原生类在特定扩展开启时可以被反序列化利用。最著名的就是SoapClient它可以用来发起HTTP请求常被用于构造服务端请求伪造SSRF。利用条件目标服务器开启php-soap扩展。存在反序列化入口。反序列化后的对象会调用一个不存在的方法触发__call。原理SoapClient在反序列化后如果调用其不存在的方法会触发__call魔术方法该方法会尝试发送一个SOAP请求。我们可以通过构造SoapClient对象的user_agent和location等属性在请求头中插入CRLF\r\n来注入自定义的HTTP头甚至覆盖整个POST请求体。?php $target ‘http://127.0.0.1/flag.php’; $post_data ‘tokenctfshow’; $headers array( ‘X-Forwarded-For: 127.0.0.1,127.0.0.1’, ); $client new SoapClient(null, array( ‘uri’ ‘aaab’, ‘location’ $target, ‘user_agent’ ‘y4tacker^^Content-Type: application/x-www-form-urlencoded^^’.join(‘^^‘, $headers).’^^Content-Length: ‘.(string)strlen($post_data).’^^^^‘.$post_data )); $payload serialize($client); $payload str_replace(‘^^‘, “\r\n”, $payload); // 将占位符替换为CRLF echo urlencode($payload);这段代码构造了一个SoapClient对象其user_agent中包含了完整的HTTP POST请求头和体。当反序列化后调用$client-not_exist_function()时就会向http://127.0.0.1/flag.php发送一个带有自定义X-Forwarded-For头和POST数据的请求常用于绕过本地IP限制或攻击内网服务。5.4 Phar反序列化将漏洞“打包”进文件这是一种非常隐蔽的攻击方式不直接反序列化POST/GET参数而是通过操作Phar文件来触发反序列化。原理PharPHP Archive是PHP的打包文件格式类似于JAR。它的元数据metadata部分在生成时可以包含一个序列化的对象。PHP中很多文件操作函数如file_get_contents()、file_exists()、include()等在通过phar://协议流包装器处理Phar文件时会自动反序列化其metadata。利用步骤生成恶意Phar文件创建一个包含恶意序列化对象的Phar文件。?php class Evil { public $cmd ‘system(“whoami”);‘; function __destruct() { eval($this-cmd); } } $phar new Phar(‘evil.phar’); $phar-startBuffering(); $phar-setStub(‘GIF89a?php __HALT_COMPILER(); ?‘); // 可以加GIF头绕过图片检测 $phar-setMetadata(new Evil()); // 关键将恶意对象存入metadata $phar-addFromString(‘test.txt’, ‘text’); $phar-stopBuffering();上传Phar文件通过文件上传等功能将evil.phar上传到服务器可能需要绕过后缀名检测可改为evil.jpg。触发反序列化寻找一个能接收文件路径参数的文件操作函数并使其以phar://协议访问我们上传的文件。// 假设存在这样的漏洞代码 $filename $_GET[‘file’]; // 用户可控 file_get_contents($filename); // 攻击者传入filephar:///path/to/uploaded/evil.jpg // 当file_get_contents解析phar协议时会自动反序列化metadata中的Evil对象受影响的函数非常多包括file_exists、is_dir、copy、fopen、include需要phar流包装器被允许等。甚至一些图像处理函数如getimagesize、exif_thumbnail也会触发。避坑技巧Phar反序列化的利用条件相对苛刻需要能上传文件需要能找到参数可控的文件操作函数且该函数支持phar://协议。在CTF中有时会限制协议可以用compress.bzip2://phar://或compress.zlib://phar://进行绕过。审计时要特别关注那些接收动态文件路径的函数调用。5.5 Session反序列化引擎差异导致的漏洞PHP默认使用php引擎序列化Session数据格式为键名|序列化字符串。但可以通过session.serialize_handler配置项改为php_serialize其格式就是标准的序列化字符串序列化字符串。漏洞产生如果一处代码使用php_serialize处理器写入Session例如处理用户上传进度session.upload_progress而另一处代码使用默认的php处理器读取Session就会产生解析差异。利用过程攻击者向使用php_serialize的端点提交数据其中包含一个精心构造的序列化字符串并以竖线|开头。例如|O:6:“Evil”:1:{s:3:“cmd”;s:10:“whoami”;}。php_serialize处理器将其作为值整体存入$_SESSION[‘key’]。当使用php处理器的脚本读取Session时它会将第一个|之前的内容当作键名之后的内容当作序列化字符串进行反序列化。于是O:6:“Evil”:1:{s:3:“cmd”;s:10:“whoami”;}被解析触发了Evil类的反序列化。这种漏洞常与session.upload_progress功能结合该功能会在文件上传时自动将上传信息写入Session且键名部分可控通过PHP_SESSION_UPLOAD_PROGRESS字段为注入序列化payload提供了入口。6. 实战防御与安全开发建议了解了攻击手法防御思路就清晰了。核心原则是永远不要反序列化不可信的数据。首选方案避免使用如果可能用更安全的数据交换格式如JSONjson_encode/json_decode并对输入进行严格校验。严格输入校验如果必须使用unserialize()应确保其参数来源绝对可信例如来自加密且签名的缓存而非用户直接输入。可以使用白名单机制只允许反序列化预期的、有限的类。使用安全的反序列化函数PHP 7引入了unserialize($data, [‘allowed_classes’ false])选项可以禁用所有类的反序列化只允许反序列化基本类型数组、字符串等。这是最有效的缓解措施之一。魔术方法的安全设计在类设计时谨慎在__wakeup()、__destruct()等魔术方法中执行敏感操作。避免将用户可控的属性直接用于文件操作、命令执行或数据库查询。更新PHP版本及时升级PHP修复已知的底层反序列化漏洞如CVE-2016-7124。代码审计定期审计代码查找unserialize()的调用点并追踪其参数来源。检查所有包含魔术方法的类评估其安全性。针对Phar攻击在php.ini中可以通过phar.readonly On限制Phar文件的写入默认开启。对于文件操作函数如果参数可控应严格检查协议避免使用phar://。7. CTF实战解题思路与排查技巧当你面对一道疑似PHP反序列化的CTF题目时可以遵循以下步骤第一步信息收集寻找入口搜索代码中的unserialize()函数查看其参数是否可控$_GET、$_POST、$_COOKIE、$_SESSION。分析类结构找到代码中定义的所有类重点关注包含魔术方法的类。画出类图理清属性和方法之间的关系。寻找危险函数在魔术方法或普通方法中搜索eval()、system()、exec()、file_get_contents()、include()/require()等危险函数。第二步构造利用链确定起点和终点终点是危险函数调用点。起点通常是可控的反序列化入口或者通过POP链能触发到的第一个魔术方法如__destruct。连接链条分析如何从起点通过属性访问、方法调用一步步走到终点。注意__get、__set、__call、__toString、__invoke这些“桥梁”魔术方法。处理过滤与绕过检查代码中是否有对序列化字符串的过滤如preg_match检查开头、str_replace过滤字符。根据过滤规则应用相应的绕过技巧如号绕过、16进制编码、字符串逃逸。第三步生成与利用Payload编写利用代码根据构造好的链编写一个本地脚本创建相应的对象并设置属性最后echo serialize($obj);生成payload。处理特殊字符如果payload中包含空字符\x00、引号等需要进行URL编码或Base64编码后再传递。发送Payload通过GET/POST/Cookie等方式将payload提交给目标。触发确保反序列化后的对象生命周期能走到触发点如脚本结束触发__destruct。常见问题排查表问题现象可能原因排查方向反序列化后无任何输出1. 类未自动加载。2.__wakeup方法重置或删除了关键属性。3. 属性可见性问题private/protected。4. 目标方法未触发。1. 检查__autoload或spl_autoload_register确保类文件被包含。2. 检查__wakeup逻辑尝试用CVE-2016-7124绕过。3. 检查序列化字符串中私有/保护属性的格式是否正确含\x00。4. 确认对象是否被销毁触发__destruct或以其他方式触发魔术方法。报错Class ‘XXX’ not found反序列化的类在当前上下文中不存在。1. 确认题目是否提供了所有必要的类文件。2. 检查是否有条件包含如通过参数包含文件尝试利用之。3. 考虑使用PHP原生类如SoapClient、Error、Exception。Payload提交后返回空白或错误1. Payload格式错误解析失败。2. 过滤规则导致payload被拦截或破坏。3. 长度限制。1. 本地用相同PHP版本测试unserialize()是否能成功。2. 逐字符检查payload特别是引号、分号、花括号的匹配和转义。3. 使用编码如Base64或缩短payload。疑似Phar或Session反序列化代码中没有明显的unserialize()但有文件操作或Session操作。1. 寻找接收文件路径的函数尝试phar://协议。2. 查看phpinfo()或代码中的ini_set确认Session处理器类型尝试session.upload_progress注入。最后的小技巧在CTF中如果题目提供了源代码一定要先整体浏览一遍用文本编辑器的搜索功能快速定位unserialize、__wakeup、__destruct、eval、system等关键词。对于复杂的POP链可以尝试在本地搭建环境将题目代码复制过来加入一些var_dump或echo语句来跟踪程序的执行流程和对象状态这比单纯在脑子里推演要直观和可靠得多。PHP反序列化就像解一道精密的逻辑谜题耐心和细致的观察永远是第一位的。
