PHPのデシリアライゼーション・アンシリアライズの小さな機能-PHPチュートリアル-php.cn

PHP unserialize の小さな機能

WordPress のシーケンス解除の脆弱性は最近非常に有名になっていますが、具体的な脆弱性については分析しません: http://drops.wooyun.org/papers/596,?
英語の原文も読むことができます: http://vagosec.org/2013/09/wordpress-php-object-injection/。 ?

wp の公式 Web サイトにパッチがあります。パッチを回避しようとしましたが、成功したと思ったら、自分が甘かったことがわかり、wp のパッチを回避できませんでした。ですが、unserialize の小さな機能を発見したので共有したいと思います。?

1. Unserialize() 関数関連のソースコード: ?

if ((YYLIMIT - YYCURSOR) < 7) YYFILL(7);? ????????yych = *YYCURSOR;? ????????switch (yych) {? ????????case 'C':? ????????case 'O':????????goto yy13;? ????????case 'N':????????goto yy5;? ????????case 'R':????????goto yy2;? ????????case 'S':????????goto yy10;? ????????case 'a':????????goto yy11;? ????????case 'b':????????goto yy6;? ????????case 'd':????????goto yy8;? ????????case 'i':????????goto yy7;? ????????case 'o':????????goto yy12;? ????????case 'r':????????goto yy4;? ????????case 's':????????goto yy9;? ????????case '}':????????goto yy14;? ????????default:????????goto yy16;? ????????}

上記のコードは判定ですシーケンス文字列の処理メソッド (シーケンス文字列 O:4:"test":1:{s:1:"a";s:3:"aaa";} など) このシーケンス文字列を処理するには、まず最初のstring The Character is O, then case 'O':??goto yy13?

yy13:? ????????yych = *(YYMARKER = YYCURSOR);? ????????if (yych == ':') goto yy17;? ????????goto yy3;

上記のコードからわかるように、ポインターは移動します2 番目の文字を指す 1 ビットを使用して、その文字が次であるかどうかを判断し、次に yy17?

yy17:? ???????yych = * YYCURSOR; に進みます。 ? ??? ????if (yybm[0 yych] & 128) {? ????????????goto yy20;? ??? ？？？? ??????if (yych == ' ') goto yy19;? ....? yy19:? ???? ???yych = * YYCURSOR;? ?????????if (yybm[0 yych] & 128) {? ????????? goto yy20;? ?????????}? ??????goto yy18;

より上記からわかるようにコードの場合はポインタが移動し、文字が数字の場合は yy20 に進み、 ' ' の場合は yy19 に進み、次の文字が数字の場合は yy20 に進みます。 yy18 に移動するだけではありません。yy18 はシーケンス処理を直接終了します。yy20 はオブジェクトシーケンスの処理であるため、上記からわかるように:?

O: 4:"テスト":1:{s:1:"a";s:3:"aaa" ;} ?<code style="margin: 0px auto; padding: 4px 8px; display: block; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; font-size: 12px; color: #333333; background-color: #f8f8f8; border: 1px solid #cccccc; line-height: 18px; overflow: auto; white-space: normal;">O: 4:"test":1:{s:1:"a";s:3:"aaa";}? O:4:"test":1:{s:1:"a";s:3:"aaa";}O:4:"test":1:{s:1:"a";s:3:"aaa";}

<🎜> はすべて逆シリアル化できますアンシリアライズしても結果は同じです。?

2. 実際のテスト: ?

<?php? var_dump(unserialize('O: 4:"test":1:{s:1:"a";s:3:"aaa";}'));? var_dump(unserialize('O:4:"test":1:{s:1:"a";s:3:"aaa";}'));? ?>

出力: ?

object(__PHP_Incomplete_Class)#1 (2) { ["__PHP_Incomplete_Class_Name"]=> string(4) "test" ["a"]=> string(3) "aaa" }? object(__PHP_Incomplete_Class)#1 (2) { ["__PHP_Incomplete_Class_Name"]=> string(4) "test" ["a"]=> string(3) "aaa" }

実際には、もう 1 つの ' ' で処理できるオブジェクトの型だけでなく、他の型も処理できます。具体的なテストについてはあまり説明しません。?

3.我们看下wp的补丁：?

function is_serialized( $data, $strict = true ) {? ?????????// 文字列でない場合はシリアル化されません? ???????if ( ! is_string( $data ) )? ? ?????????????return false;? ?????????$data = トリム( $data );? ??????? ? if ( 'N;' == $data )? ???????????????return true;? ?????????$length = strlen ( $data );? ?????????if ( $length ???????????????return false;? ?????????if ( ':' !== $data[1] )? ???????????????return false;? ?????????if ( $strict ) {//output? ???????????????$lastc = $data[ $length - 1 ]; ? ??????????????????if ( ';' !== $lastc && '}' !== $lastc )? ?????? ????????????????return false;? ??????????} else {//input? ??????? ???????$semicolon = strpos( $data, ';' );? ???????????????$brace???? = strpos( $data, '}' );? ??????????????????// どちらか ; ? ???????????????if ( false === $semicolon && false === $brace )? ????? ???????????????????return false;? ??????????????????// ただし、どちらも最初の X 文字。? ??????????????????if ( false !== $semicolon && $semicolon ??????? ????????????????return false;? ???????????????if ( false !== $brace && $中括弧 ?????????????????????return false;? ?????????}? ?????????$token = $data[0];? ?????????switch ( $token ) {? ???????? ??????????case 's' :? ?????????????????????if ( $strict ) {? ?????????????????????????????????if ( '"' !== $data[ $length - 2 ] ) ? ????????????????????????????????????return false;? ????????????????????????} elseif ( false === strpos( $data, '"' ) ) {? ??? ????????????????????????????return false;? ??????????????? ??????????}? ???????????????ケース 'a' :? ????????? ????case 'O' :? ?????????????????????エコー "a";? ?? ???????????????????return (bool) preg_match( "/^{$token}:[0-9] :/s", $data ); ? ??????????????????ケース 'b' :? ??????????????????ケース 'i' : ? ??????????????????ケース 'd' :? ????????????????????? ???$end = $strict ? '$' : '';? ?????????????????????return (bool) preg_match( "/^{$token}:[ 0-9.E-] ;$end/", $data );? ?????????}? ?????????return false;? }
パッチ内?

return (bool) preg_match( "/^{$token}:[0-9] :/s", $data );<code style="margin: 0px auto; padding: 4px 8px; display: block; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; font-size: 12px; color: #333333; background-color: #f8f8f8; border: 1px solid #cccccc; line-height: 18px; overflow: auto; white-space: normal;">return (bool) preg_match( "/^{$token}:[0-9] :/s", $data );

「」をもう 1 つ追加できますバイパス、この方法でシーケンス値をデータベースに書き込みましたが、データベースから抽出されたデータは、再度検証するときにバイパスできません。個人的には、このパッチはデータベースに出入りするデータに変更を加えることができませんでした。データの内外の変更に焦点を当てる必要がなくなりました。 ?

4. 概要?
wp パッチはバイパスされませんが、unserialize() のこの小さな機能は多くの開発者によって無視される可能性があり、その結果、プログラムにはセキュリティ上の欠陥があります。 ?
上記の分析に誤りがある場合は、指摘するメッセージを残してください。 ?

5. 参考?
《WordPress < 3.6.1 PHP オブジェクトインジェクション》?
http:/ /vagosec.org/2013/09/wordpress-php-object-injection/?
《var_unserializer.c ソースコード》?
https://github. com /php/php-src/blob/73cd2e0ab14d804c6bf0b689490bdd4fd6e969b1/ext/standard/var_unserializer.c?
"PHP 文字列のシリアル化と逆シリアル化の間の一貫性のない構文解析によって引き起こされるセキュリティ上の危険"?
http://zone.wooyun.org/content/1664