从Polar CTF 2024春季赛看Web安全实战：PHP反序列化与SQL注入攻防解析
1. Polar CTF 2024春季赛中的Web安全攻防实战
Polar CTF作为国内知名的网络安全竞赛平台，每年都会吸引大量安全爱好者参与。在2024年春季赛中，Web安全类题目依然占据了重要位置，其中PHP反序列化和SQL注入成为最热门的考点。这类题目不仅考察选手对漏洞原理的理解，更考验实际环境中的灵活运用能力。
我参加了这次比赛，发现很多选手在遇到反序列化漏洞时容易陷入思维定式。比如在"PHP_Deserialization"这道题中，题目给出了一个包含三个类的PHP代码片段。大多数人的第一反应是直接构造Polar类的反序列化链，但忽略了关键的双写绕过技巧。实际解题时需要先分析Day类的__toString方法，发现它对"flag"字符串进行了过滤，这时候就需要构造/flflagag这样的payload来绕过防御。
2. PHP反序列化漏洞的深度解析
2.1 魔术方法链的构造技巧
PHP反序列化漏洞的核心在于魔术方法的滥用。在Polar CTF的"PlayGame"题目中，我们需要构造一个包含多个类调用的复杂链条：
class User { public function __toString() { return "name:".$this->name; } } class PlayGame { public function __destruct() { echo $this->user->name."GameOver!"; } }要利用这个漏洞，我们需要让__destruct触发后能够访问到__toString方法。实际操作中可以这样构造：
$a = new PlayGame(); $a->user = new stdClass(); $a->user->name = new User(); $a->user->name->name = "../../../../../flag";这种链式调用在实际开发中很常见，特别是当项目使用面向对象编程且存在大量类继承关系时。我在审计代码时发现，很多开发者会忽略__wakeup和__destruct这类魔术方法的安全风险。
2.2 Phar反序列化的新型利用方式
这次比赛中还出现了Phar反序列化的变种题目。与传统的反序列化不同，Phar利用需要结合文件操作函数。题目给出的funs.php中包含了一个简单的WAF：
function myWaf($data) { if (preg_match("/f1@g/i", $data)) { return FALSE; } return TRUE; }绕过这个WAF的关键点在于：
- 使用php://filter协议读取文件
- 通过base64编码绕过关键词检测
- 构造特殊的Phar文件触发反序列化
最终的payload形如：
?file=php://filter/read=convert.base64-encode/resource=./funs.php3. SQL注入的现代绕过技术
3.1 非常规字符替换技巧
在"search"这道SQL注入题中，题目过滤了空格和大小写敏感的关键词。常见的绕过方式包括：
- 使用
/**/代替空格 - 混合大小写绕过关键词检测
- 利用updatexml函数进行报错注入
一个典型的payload如下：
1'/**/and/**/uPdatexmL(1,coNcat(0x7e,(sELect/**/group_cOncat(Flag)/**/frOm/**/CTF.Flag),0x7e),3)#这种注入方式在实际渗透测试中非常有效，特别是针对使用简单过滤规则的Web应用。我在测试某企业系统时，就曾用类似方法绕过了他们的WAF防护。
3.2 二次编码与注释技巧
更复杂的场景下，可能需要结合URL编码和SQL注释：
1%27%2F%2A%2A%2Funion%2F%2A%2A%2Fselect%2F%2A%2A%2F1,2,3%23这相当于：
1'/**/union/**/select/**/1,2,3#4. 从CTF到实战的安全防护建议
在真实业务场景中防御这类攻击，我建议采取以下措施：
- 对PHP反序列化操作：
- 避免直接反序列化用户输入
- 使用json_decode替代unserialize
- 实现严格的类白名单机制
- 针对SQL注入：
- 全面使用预处理语句
- 最小权限原则配置数据库账户
- 对执行错误进行适当处理，避免详细错误信息泄露
- Web应用通用防护：
- 设置严格的Content-Security-Policy
- 实施完善的输入验证和输出编码
- 定期进行安全审计和渗透测试
在Polar CTF的"uploader"题目中，就因为没有对文件上传进行充分验证，导致可以直接上传webshell。这提醒我们在开发文件上传功能时，不仅要验证文件类型，还要检查文件内容，并在服务器端进行二次验证。