php unserialize()/wakeup()引发的漏洞
转载声明：
本文为摘录自“简书”，版权归原作者所有。
温馨提示：
为了更好的体验，请点击原文链接进行浏览
摘录时间：
2020-03-17 00:42:50
unserialize和serialize这里不做赘述。
unserialize的漏洞在magic function上，如果一个类定义了__wakup()和__destruct()，则该类的实例被反序列化时，会自动调用__wakeup(), 生命周期结束时，则调用__desturct()。
下面提供一个简单的demo.
class Demo
{
public $data;
public function __construct($data)
{
$this->data = $data;
echo "construct<br />";
}
public function __wakeup()
{
echo "wake up<br />";
}
public function __destruct()
{
echo "Data's value is $this->data. <br />";
echo "destruct<br />";
}
}
var_dump(serialize(new Demo("raw value")));
输出
construct
Data's value is raw value.
destruct
string(44) "O:4:"Demo":1:{s:4:"data";s:9:"raw value";}"
```
把序列化的字符串修改一下后，执行
```unserialize('O:4:"Demo":1:{s:4:"data";s:15:"malicious value";}');```
输出
```
wake up
Data's value is malicious value.
destruct
```
这里看到，值被修改了.
上面是一个unserialize()的简单应用，不难看出，如果\_\_wakeup()或者 \_\_desturct()有敏感操作，比如读写文件、操作数据库，就可以通过函数实现文件读写或者数据读取的行为。
那么，在\_\_wakeup()中加入判断是否可以阻止这个漏洞呢？
在\_\_wakeup()中我们加入一行代码
```
public function __wakeup()
{
if($this->data != 'raw value') $this->data = 'raw value';
echo "wake up<br />";
}
```
但其实还是可以绕过的，在 PHP5 < 5.6.25， PHP7 < 7.0.10 的版本都存在wakeup的漏洞。当反序列化中object的个数和之前的个数不等时，wakeup就会被绕过，于是使用下面的payload
```unserialize('O:7:"HITCON":1:{s:4:"data";s:15:"malicious value";}');```
输出
```
Data's value is malicious value.
destruct
```
这里wakeup被绕过，值依旧被修改了。