php反序列化

反序列化介绍

利用工具phpggc
序列化格式

bool        --> b:0;
integer        --> i:3;
dounle        --> d:1.2323;
NULL         --> N;
string         --> s:3:"abc"; 或者 s"abc"
array        --> a:1:{"1","abc"}
object        --> O:1:"A":3:{s:4:"%00A%00a";N;s:4:"%00*%00b";N;s:1:"c";s:5:"hello";}

php magic function

函数介绍

__construct()    #当对象创建(new)时会自动调用,注意在unserialize()时并不会自动调用
__destruct()    #对象被销毁时会自动调用
__sleep()    #serialize()时会先被调用
__wakeup()    #unserialize()时会先被调用
__call()    #在对象中调用一个不可访问方法时调用
__callStatic()    #用静态方式中调用一个不可访问方法时调用
__get()    #获得一个类的成员变量时调用
__set()    #设置一个类的成员变量时调用
__isset()    #当对不可访问属性调用isset()或empty()时调用
__unset()    #当对不可访问属性调用unset()时被调用。
__toString()    #类被当成字符串时的回应方法
__invoke()    #调用函数的方式调用一个对象时的回应方法
__set_state()    #调用var_export()导出类时,此静态方法会被调用。
__clone()    #当对象复制完成时调用
__autoload()    #尝试加载未定义的类
__debugInfo()    #打印所需调试信息

注意事项

  • 当成员属性数目大于实际数目时可绕过wakeup方法(CVE-2016-7124)
  • private的参数被反序列化后变成 \00test\00test1
  • public的参数变成 test1
  • protected的参数变成 \00*\00test1

Session反序列化

session共有三个处理器

处理器对应存储格式
php_binary键名的长度对应的ASCII字符+键名+serialize() 处理的值
php键名+竖线+serialize()处理的值
php_serializeserialize()处理后的数组方式

例如m0yuqi=lover

php_serialize处理下为

a:1:{s:6:"m0yuqi";s:5:"lover";}

php处理下为

m0yuqi|s:5:"lover";

session处理器默认设置为php_serialize,如果一个页面设置为php

ini_set('session.serialize_handler', 'php');
session_start();

当session_start()使用时,php就将session默认文件夹中的session进行反序列化
只要控制session中的数据,那么这些数据就可以反序列化
那我们如何控制session数据呢?
查阅资料可知道

session.upload_progress.enabled打开时,php会记录上传文件的进度,在上传时会将其信息保存在$_SESSION

那么我们可以用利用session.upload_progress.enabled构造session
当一个上传在处理中,同时POST一个与INI中设置的session.upload_progress.name同名变量时
当PHP检测到这种POST请求时,它会在$_SESSION中添加一组数据
所以构建session.upload_progress如下

<form action="target" method="POST" enctype="multipart/form-data">
    <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="1"/>    
    <input type="file" name="file" />        
    <input type="submit" value="go" />    
</form>

session里面记录的值是file的值
所以要抓包修改file的值,改成php处理器处理的序列化的值就可以反序列化了

phar://反序列化

phar文件的meta-data是以序列化的形式存储的

php一大部分的文件系统函数在通过phar://伪协议解析phar文件时,都会将meta-data进行反序列化

受影响的函数列表
fileatimefilectimefile_existsfile_get_contents
filefilegroupfopenfile_put_contents
fileinodefilemtimefileownerfileperms
is_diris_fileis_linkis_executable
is_readableis_writableiswriteableparse_ini_file
copyunlinkstatreadfile

在跟踪了受影响函数的调用情况后发现,除了所有文件函数,只要是函数的实现过程直接或间接调用了php_stream_open_wrapper。都可能触发phar反序列化漏洞
以下这些方式都可触发phar反序列化漏洞
exif

exif_thumbnail
exif_imagetype

gd

imageloadfont
imagecreatefrom***

hash

hash_hmac_file
hash_file
hash_update_file
md5_file
sha1_file

file / url

get_meta_tags
get_headers

standard

getimagesize
getimagesizefromstring

zip

$zip = new ZipArchive();
$res = $zip->open('c.zip');
$zip->extractTo('phar://test.phar/test');

这种攻击的利用条件

  • phar文件要能够上传到服务器端。
  • 要有可用的魔术方法作为“跳板”。
  • 文件操作函数的参数可控,且:/phar等特殊字符没有被过滤。

利用时,一般将phar伪造成其他格式的文件,添加文件头和修改后缀名

<?php
    class TestObject {
    }

    @unlink("phar.phar");
    $phar = new Phar("phar.phar");
    $phar->startBuffering();
    $phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); 
    //设置stub,增加gif文件头
    $o = new TestObject();
    $phar->setMetadata($o); //将自定义meta-data存入manifest
    $phar->addFromString("test.txt", "test"); //添加要压缩的文件
    //签名自动计算
    $phar->stopBuffering();
?>

最后访问phar://phar.git/test.txt就可以反序列化
如果过滤了phar在开头的情况可以使用姿势如下绕过

compress.bzip2://phar://
compress.zlib://phar://
php://filter/read=convert.base64-encode/resource=phar://
php://filter/resource=phar://

some trick

内置类的同名函数

使用如下代码获取有open函数的内置类

<?php
  foreach (get_declared_classes() as $class) {
    foreach (get_class_methods($class) as $method) {
      if ($method == "open")
        echo "$class->$method\n";
    }
  }
?>

伪造任意的php内置类

php内置类:SoapClient,这个类可以发送url请求
SoapClient的参数中有user_agent项可以进行CRLF(\r\n)注入,修改发送的请求Content-type
如下代码,反序列化出来的SoapClient对象调用不存在的函数是,就会调用__call方法访问target

<?php
$target='http://www.m0yuqi.cn/index.php?action=login';
$a = new SoapClient(null,array('location'=>$target,'uri' => "m0yuqi.cn"));
$b = serialize($a);
echo $b;
$c = unserialize($b);
$c->a();
参考资料
https://blog.zsxsoft.com/post/38
Edit with markdown