PHP反序列化漏洞全面解析<\/h1>

1. 序列化与反序列化基础<\/h2>

1.1 基本概念<\/h3>
序列化<\/strong>是将对象中的数据（对象属性）转换为便于传输和保存的形式的过程。反序列化<\/strong>是其逆向过程，将序列化后的数据还原为对象。<\/p>
示例理解<\/strong>：网上购物时，商家将桌子拆卸成易于运输的零件（序列化），用户收到后重新组装（反序列化）。<\/p>

1.2 序列化字符串结构分析<\/h3>
O:1:"a":1:{s:1:"b";s:1:"1";} <\/code><\/pre> O<\/code>：表示对象类型<\/li> 1<\/code>：对象名称长度<\/li> a<\/code>：对象名称<\/li> 1<\/code>：成员属性数量<\/li> s:1:"b"<\/code>：字符串类型，长度1，属性名"b"<\/li> s:1:"1"<\/code>：字符串类型，长度1，属性值"1"<\/li> <\/ul> 常见类型表示<\/strong>：<\/p> b<\/code>：布尔值<\/li> a<\/code>：数组<\/li> i<\/code>：整数<\/li> d<\/code>：浮点型<\/li> s<\/code>：字符串<\/li> S<\/code>：十六进制字符串<\/li> O<\/code>：对象<\/li> <\/ul> 2. PHP访问修饰符与序列化<\/h2> 2.1 三种访问修饰符<\/h3> public<\/strong>：所有类可访问，序列化格式：s:1:"b"<\/code><\/li> private<\/strong>：仅当前类可访问，序列化格式：s:4:"%00a%00b"<\/code><\/li> protected<\/strong>：当前类及子类可访问，序列化格式：s:7:"%00*%00b"<\/code><\/li> <\/ol> 2.2 PHP版本差异<\/h3> PHP 7.x+对访问修饰符不敏感，可将private\/protected替换为public简化调用链。<\/p> 3. 常用魔术方法<\/h2> 魔术方法<\/th> 触发条件<\/th> <\/tr> <\/thead> __construct<\/code><\/td> 对象实例化时触发<\/td> <\/tr> __destruct<\/code><\/td> 对象销毁时触发<\/td> <\/tr> __toString<\/code><\/td> 对象被当作字符串调用时触发<\/td> <\/tr> __invoke<\/code><\/td> 对象被当作函数调用时触发<\/td> <\/tr> __set<\/code><\/td> 给不存在的属性赋值时触发<\/td> <\/tr> __call<\/code><\/td> 调用不存在的方法时触发<\/td> <\/tr> __isset<\/code><\/td> 使用isset()或empty()时触发<\/td> <\/tr> __clone<\/code><\/td> 对象被克隆时触发<\/td> <\/tr> __sleep<\/code><\/td> serialize()时触发<\/td> <\/tr> __wakeup<\/code><\/td> unserialize()时触发<\/td> <\/tr> <\/tbody> <\/table> 4. CTF中的攻击方法与绕过技巧<\/h2> 4.1 签到题类型<\/h3> 特征<\/strong>：直接按顺序实例化即可RCE或文件读取解决方法<\/strong>：分析调用链，直接实例化相关类<\/p> 4.2 入门级别题目<\/h3> 特征<\/strong>：调用链混乱，多个类中存在迷惑方法解决方法<\/strong>：仔细分析每个类的方法作用，构造合理调用链<\/p> 4.3 小白级别题目：绕过技巧<\/h3> 4.3.1 绕过__wakeup()<\/h4> 条件<\/strong>：PHP < 5.6.25 或 PHP 7 < 7.0.1 方法<\/strong>：修改序列化字符串中属性值个数大于实际属性个数<\/p> O:1:"a":1:{s:1:"b";s:1:"1";} # 原版 O:1:"a":2:{s:1:"b";s:1:"1";} # 绕过版 <\/code><\/pre> 4.3.2 绕过__destruct()<\/h4> 方法一<\/strong>：利用GC回收机制<\/p> 对象被unset()处理时可触发<\/li> 数组对象为NULL时可触发<\/li> <\/ul> 方法二<\/strong>：删除序列化字符串末尾的右括号<\/p> 4.3.3 关键字绕过<\/h4> 加号绕过<\/strong>：利用加号被解释为空格破坏正则匹配<\/li> 十六进制绕过<\/strong>：使用S<\/code>代替s<\/code>进行十六进制编码<\/li> <\/ul> # 示例：S:4:"\78\79\7a\61" 对应 "xyza" <\/span><\/span><\/span><\/code><\/pre>4.4 进阶级别题目<\/h3> 4.4.1 Session反序列化<\/h4> Session处理器对比<\/strong>：<\/p> 处理器<\/th> 存储格式<\/th> <\/tr> <\/thead> php<\/td> 键名+竖线+serialize()值<\/td> <\/tr> php_binary<\/td> 长度ASCII+键名+serialize()值<\/td> <\/tr> php_serialize<\/td> serialize()处理的数组<\/td> <\/tr> <\/tbody> <\/table> 攻击手法<\/strong>：Session反序列化 + CRLF + SSRF 利用类<\/strong>：SoapClient::__call()<\/code><\/p> 4.4.2 字符串逃逸<\/h4> 增多逃逸<\/strong>：替换后字符串长度增加减少逃逸<\/strong>：替换后字符串长度减少<\/p> 4.4.3 使用Error\/Exception类绕过哈希比较<\/h4> # 利用__toString方法绕过md5\/sha1比较 <\/span><\/span><\/span><\/span>$a =<\/span> new<\/span> Error<\/span>("payload"<\/span>, 1<\/span>); <\/span><\/span>$b =<\/span> new<\/span> Error<\/span>("payload"<\/span>, 2<\/span>); <\/span><\/span># $a和$b不同，但__toString返回结果相同（除行号外） <\/span><\/span><\/span><\/code><\/pre>4.4.4 文件读取原生类<\/h4> FilesystemIterator<\/code><\/li> DirectoryIterator<\/code><\/li> GlobIterator<\/code> 可搭配glob:\/\/<\/code>协议和*<\/code>通配符使用<\/li> <\/ul> 4.4.5 C开头类绕过wakeup过滤<\/h4> 可用类：<\/p> ArrayObject::unserialize<\/code><\/li> ArrayIterator::unserialize<\/code><\/li> RecursiveArrayIterator::unserialize<\/code><\/li> SplDoublyLinkedList::unserialize<\/code><\/li> SplQueue::unserialize<\/code><\/li> SplStack::unserialize<\/code><\/li> SplObjectStorage::unserialize<\/code><\/li> <\/ul> 4.5 高级级别题目<\/h3> 4.5.1 Phar反序列化绕过<\/h4> 过滤phar关键字时的替代协议<\/strong>：<\/p> php:\/\/filter\/read=convert.base64-encode\/resource=文件名<\/code><\/li> compress.bzip2:\/\/phar:\/\/文件名<\/code><\/li> compress.zlib:\/\/phar:\/\/文件名<\/code><\/li> <\/ol> 4.5.2 绕过__HALT_COMPILER检测<\/h4> 方法一<\/strong>：将Phar内容写入zip注释<\/p> $zip =<\/span> new<\/span> ZipArchive<\/span>(); <\/span><\/span>$zip-><\/span>open<\/span>('phar.zip'<\/span>, ZipArchive<\/span>::<\/span>CREATE<\/span>); <\/span><\/span>$zip-><\/span>addFromString<\/span>('flag.txt'<\/span>, 'flag is here'<\/span>); <\/span><\/span>$zip-><\/span>setArchiveComment<\/span>($serialized_data); <\/span><\/span>$zip-><\/span>close<\/span>(); <\/span><\/span><\/code><\/pre>方法二<\/strong>：gzip压缩phar文件<\/p> gzip test.phar <\/span><\/span><\/code><\/pre>修改签名脚本<\/strong>：<\/p> from<\/span> hashlib import<\/span> sha256 <\/span><\/span> <\/span><\/span>phar_path =<\/span> '文件路径'<\/span> <\/span><\/span>with<\/span> open(phar_path, "rb"<\/span>) as<\/span> f: <\/span><\/span> text =<\/span> f.<\/span>read() <\/span><\/span> <\/span><\/span>main =<\/span> text[:-<\/span>40<\/span>] <\/span><\/span>end =<\/span> text[-<\/span>8<\/span>:] <\/span><\/span>new_sign =<\/span> sha256(main).<\/span>digest() <\/span><\/span>new_phar =<\/span> main +<\/span> new_sign +<\/span> end <\/span><\/span> <\/span><\/span>with<\/span> open(phar_path, "wb"<\/span>) as<\/span> f: <\/span><\/span> f.<\/span>write(new_phar) <\/span><\/span><\/code><\/pre>5. 常用函数总结<\/h2> 5.1 原生类相关<\/h3> array_walk<\/code>：对数组元素应用自定义函数，常伴随任意实例化<\/li> create_function<\/code>：创建匿名函数（PHP 7.2+已废弃）<\/li> <\/ul> 5.2 命令执行相关<\/h3> call_user_func<\/code>：将第一个参数作为函数名调用<\/li> <\/ul> 5.3 文件操作相关<\/h3> file_put_contents<\/code>：写入文件内容<\/li> file_get_contents<\/code>：读取文件内容，可搭配伪协议<\/li> <\/ul> 6. 实战技巧总结<\/h2> 仔细分析调用链<\/strong>：理解每个魔术方法的触发条件<\/li> 关注PHP版本差异<\/strong>：不同版本有不同特性和限制<\/li> 灵活运用绕过技巧<\/strong>：根据具体过滤条件选择合适的绕过方法<\/li> 善用原生类<\/strong>：Error\/Exception等类在特定场景下很有用<\/li> 组合利用技术<\/strong>：如Session反序列化+CRLF+SSRF的组合攻击<\/li> <\/ol> 通过系统掌握这些知识点，能够有效应对从简单到复杂的PHP反序列化漏洞题目，在实际CTF比赛和安全测试中发挥重要作用。<\/p>

PHP反序列化漏洞全面解析<\/h1>

1. 序列化与反序列化基础<\/h2>

2. PHP访问修饰符与序列化<\/h2>

2.2 PHP版本差异<\/h3> PHP 7.x+对访问修饰符不敏感，可将private\/protected替换为public简化调用链。<\/p>

4. CTF中的攻击方法与绕过技巧<\/h2>

4.1 签到题类型<\/h3> 特征<\/strong>：直接按顺序实例化即可RCE或文件读取 解决方法<\/strong>：分析调用链，直接实例化相关类<\/p>

4.4 进阶级别题目<\/h3>

4.5 高级级别题目<\/h3>

5. 常用函数总结<\/h2>

2.2 PHP版本差异<\/h3>
PHP 7.x+对访问修饰符不敏感，可将private\/protected替换为public简化调用链。<\/p>

4.1 签到题类型<\/h3>
特征<\/strong>：直接按顺序实例化即可RCE或文件读取
解决方法<\/strong>：分析调用链，直接实例化相关类<\/p>