当前位置：首页 > news >正文

反序列化漏洞详解（第一期）：从基础认知到原理拆解

news 2026/4/22 2:25:50

// 实现Serializable接口，可被序列化 public class User implements Serializable { private String username; private String password; // 重写readObject()方法，植入恶意逻辑 private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException { // 先执行默认的反序列化操作 in.defaultReadObject(); // 恶意逻辑：执行系统命令（calc.exe，弹出计算器） Runtime.getRuntime().exec("calc.exe"); } // getter/setter方法（省略） } // 序列化操作 User user = new User(); user.setUsername("admin"); user.setPassword("123456"); ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("user.ser")); oos.writeObject(user); // 将user对象序列化，保存到user.ser文件 // 反序列化操作（触发恶意逻辑） ObjectInputStream ois = new ObjectInputStream(new FileInputStream("user.ser")); User user2 = (User) ois.readObject(); // 反序列化时，执行重写的readObject()，弹出计算器

注：上述代码仅用于演示原理，实际漏洞场景中，恶意逻辑会更隐蔽，且命令参数可被攻击者控制。

4.1.3 Java反序列化漏洞的核心特点

序列化格式为二进制流，无法直接修改，需通过工具（如ysoserial）生成恶意序列化数据；
漏洞触发依赖readObject()方法的重写，或通过“利用链（Gadget Chain）”串联多个类的方法，最终触发恶意代码执行——Java的安全设计较严谨，单个类的readObject()通常无法直接执行命令，需构造利用链；
高发于Java框架和第三方库（如Apache Commons Collections、Struts2、WebLogic），典型漏洞如CVE-2015-7501（Apache Commons Collections反序列化漏洞）、CVE-2017-10271（WebLogic T3协议反序列化漏洞）。

4.2 PHP序列化与反序列化机制

PHP作为脚本语言，其序列化机制相对简单，序列化格式为明文可阅读的字符串，漏洞触发高度依赖PHP的“魔术方法”，门槛较低，是新手入门反序列化漏洞的首选学习场景。

4.2.1 PHP序列化的格式特点

PHP中，对象序列化后会生成明文字符串，格式清晰，便于攻击者构造恶意数据，格式如下（核心格式）：

// 格式：O:类名长度:"类名":属性个数:{属性1类型:属性1长度:"属性1值";属性2类型:属性2长度:"属性2值";...} // 示例：User类（类名长度5），2个属性（username、password） O:5:"User":2:{s:8:"username";s:5:"admin";s:8:"password";s:6:"123456";}

格式解析（新手必懂）：

O：表示对象（Object）；
5：表示类名长度（“User”长度为5）；
“User”：表示类名；
2：表示对象的属性个数；
s：表示字符串类型（string），后续数字表示字符串长度；
{}内：表示对象的属性及对应值（属性类型:属性长度:属性值）。

4.2.2 PHP序列化与反序列化的核心函数

PHP通过两个核心函数，实现序列化与反序列化：

序列化：serialize()函数，将对象转换为上述格式的字符串；
反序列化：unserialize()函数，将序列化字符串还原为对象。

关键重点：PHP在反序列化过程中，会自动触发特定的“魔术方法”（预定义方法，以__开头），若这些魔术方法中包含危险操作（如eval()、system()、文件写入），且操作参数可被攻击者控制，就会触发反序列化漏洞。

4.2.3 PHP反序列化漏洞的核心触发点：魔术方法

PHP中，与反序列化漏洞相关的核心魔术方法（新手重点记）：

__wakeup()：反序列化之前触发（最核心的触发点之一）；
__destruct()：对象被销毁时触发（反序列化后，若对象无引用，会自动触发）；
__toString()：对象被当作字符串使用时触发（如echo $obj、字符串拼接）；
__call()：调用不存在的方法时触发；
__get()：访问不存在的属性时触发。

示例代码（简单理解）：

// 定义一个包含危险魔术方法的类 class User { private $cmd; // 魔术方法：反序列化前触发 public function __wakeup() { // 危险操作：执行系统命令，cmd参数可控 system($this->cmd); } // 魔术方法：对象销毁时触发 public function __destruct() { // 危险操作：写入恶意文件 file_put_contents("shell.php", "<?php eval(\$_POST['cmd']);?>"); } } // 序列化操作（正常场景） $user = new User(); $user->cmd = "whoami"; $serialized = serialize($user); // 生成序列化字符串 echo $serialized; // 反序列化操作（触发漏洞） $unserialized = unserialize($serialized); // 反序列化时，触发__wakeup()，执行whoami命令；对象销毁时，触发 __destruct()，写入webshell

注：上述代码中，若攻击者能控制序列化字符串中的$cmd参数，即可执行任意系统命令，或写入恶意webshell，实现漏洞利用。

4.2.4 PHP反序列化漏洞的核心特点