PHP反序列化漏洞详解

0x00 前言

PHP反序列化漏洞（又称PHP对象注入）是一种常见的安全漏洞，攻击者通过操纵序列化数据来执行恶意代码或获取未授权访问。本文将全面解析PHP反序列化漏洞的原理、利用方式及防御措施。

0x01 序列化与反序列化基础

序列化概念

序列化是将对象转换为可存储或传输的字符串格式的过程。在PHP中，使用serialize()函数实现序列化。

反序列化概念

反序列化是将序列化后的字符串还原为原始对象的过程，使用unserialize()函数实现。

序列化格式解析

示例代码：

class Test {
    public $name = "test";
    public $age = 18;
    
    public function show() {
        echo "Hello World";
    }
}

$obj = new Test();
echo serialize($obj);

输出结果：

O:4:"Test":2:{s:4:"name";s:4:"test";s:3:"age";i:18;}

格式解析：

• O：表示对象
• 4：类名长度
• "Test"：类名
• 2：属性数量
• s:4:"name"：字符串类型，长度4，属性名"name"
• s:4:"test"：属性值
• i:18：整型值18

注意：类方法不会参与序列化过程。

0x02 反序列化漏洞原理

魔术方法（Magic Methods）

PHP中的魔术方法会在特定事件发生时自动调用：

• __construct()：对象创建时调用
• __destruct()：对象销毁时调用
• __toString()：对象被当作字符串使用时调用
• __sleep()：对象序列化前调用
• __wakeup()：对象反序列化后立即调用

漏洞产生条件

1. 存在unserialize()函数且参数可控
2. 类中定义了危险的魔术方法
3. 魔术方法中使用了用户可控的数据

漏洞示例

class Test {
    public $cmd = "whoami";
    
    function __wakeup() {
        system($this->cmd);
    }
}

$ser = $_GET['ser'];
$obj = unserialize($ser);

攻击者可以构造恶意序列化数据：

O:4:"Test":1:{s:3:"cmd";s:2:"ls";}

漏洞原理：

1. 攻击者控制输入参数ser
2. 反序列化时自动调用__wakeup()方法
3. system()函数执行攻击者控制的命令

0x03 漏洞利用技术

基本利用步骤

1. 分析目标代码，识别可用的魔术方法
2. 构造恶意序列化字符串
3. 通过输入点注入序列化数据

高级利用技巧

1. 属性数量修改：有时需要修改序列化数据中的属性数量来绕过检查
2. 字符逃逸：处理特殊字符时需要正确计算长度
3. POP链构造：通过多个类的魔术方法串联形成攻击链

0x04 防御措施

1. 输入验证：

   • 对用户输入进行严格过滤
   • 使用白名单验证

2. 代码设计：

   • 避免将危险函数放入魔术方法中
   • 尽量减少魔术方法的使用

3. 安全配置：

   • 限制unserialize()函数的参数来源
   • 使用json_encode()/json_decode()替代序列化操作

4. 其他措施：

   • 使用PHP的allowed_classes选项限制可反序列化的类
   • 及时更新PHP版本，修复已知漏洞

0x05 实际案例分析

案例1：简单命令执行

class Example {
    public $cmd = "id";
    
    function __destruct() {
        system($this->cmd);
    }
}

$data = unserialize($_COOKIE['data']);

攻击payload：

O:7:"Example":1:{s:3:"cmd";s:10:"rm -rf /";}

案例2：文件操作

class FileHandler {
    public $filename;
    
    function __wakeup() {
        file_put_contents($this->filename, "hacked");
    }
}

攻击payload：

O:11:"FileHandler":1:{s:8:"filename";s:9:"index.php";}

0x06 总结

PHP反序列化漏洞是一种高危漏洞，攻击者可以通过精心构造的序列化数据执行任意代码或进行其他恶意操作。开发人员应充分了解其原理，在代码设计和实现阶段就采取适当的防护措施。安全审计时应特别注意unserialize()函数的使用情况以及魔术方法的实现。