前言

虽然这篇文章叫做PHP对象注入，但是本质上还是和PHP的序列化的不正确使用有关。如果你阅读了PHP中的SESSION反序列化机制对序列化就会有一个大致的认识。PHP对象注入其实本质上也是由于序列化引起的。

基础知识

在php类中可能会存在一些叫做魔术函数(magic 函数)，这些函数会在类进行某些事件的时候自动触发，例如__construct()会在一个对象被创建时调用， __destruct()会在一个对象销毁时调用， __toString当对象被当做一个字符串的时候被调用。常见的魔术函数有__construct() 、 __destruct() 、 __toString() 、 __sleep() 、 __wakeup() 。

举例如下：

<?php
class test{
 public $varr1="abc";
 public $varr2="123";
 public function echoP(){
  echo $this->varr1."<br>";
 }
 public function __construct(){
  echo "__construct<br>";
 }
 public function __destruct(){
  echo "__destruct<br>";
 }
 public function __toString(){
  return "__toString<br>";
 }
 public function __sleep(){
  echo "__sleep<br>";
  return array('varr1','varr2');
 }
 public function __wakeup(){
  echo "__wakeup<br>";
 }
}

$obj = new test();  //实例化对象，调用__construct()方法，输出__construct
$obj->echoP();   //调用echoP()方法，输出"abc"
echo $obj;    //obj对象被当做字符串输出，调用__toString()方法，输出__toString
$s =serialize($obj);  //obj对象被序列化，调用__sleep()方法，输出__sleep
echo unserialize($s);  //$s首先会被反序列化，会调用__wake()方法，被反序列化出来的对象又被当做字符串，就会调用_toString()方法。
// 脚本结束又会调用__destruct()方法，输出__destruct
?>

原理

为什么会用到序列话这样的方法？主要就是就是方便进行数据的传输，并且数据恢复之后，数据的属性还不会发生变化。例如，将一个对象反序列化之后，还是保存了这个对象的所有的信息。同时还可以将序列化的值保存在文件中，这样需要用的时候就可以直接从文件中读取数据然后进行反序列化就可以了。在PHP使用serialize()和unserialize()来进行序列化和反序列化的。

而序列化的危害就在于如果序列化的内容是用户可控的，那么用户就可以注入精心构造的payload。当进行发序列化的时候就有可能会出发对象中的一些魔术方法，造成意想不到的危害。

对象注入

本质上serialize()和unserialize()在PHP内部实现上是没有漏洞的，漏洞的主要产生是由于应用程序在处理对象、魔术函数以及序列化相关问题的时候导致的。

如果在一个程序中，一个类用于临时将日志存储进某个文件中，当__destruct()方法被调用时，日志文件被删除。

代码大致如下:

logfile.php

<?php
class LogClass {
 public $logfilename = "";
 public function logdata($text) {
  echo "log data".$text."<br/>";
  file_put_contents($this->logfilename,$text,FILE_APPEBD);
 }

 public function __destruct() {
  echo 'deletes'.$this->logfilename;
  unlink(dirname(__FILE__).'/'.$this->logfilename);
 }
}
?>

在其他类中使用LogClass

logLogin.php

<?php
include "index.php";
$obj = new LogClass();
$obj->logfilename = "login.log";
$obj->logdata('记录日志');
?>

上面的这段代码就是一个正常的使用LogClass类来完成日志记录的功能。

下面显示的是存在对象注入漏洞的使用例子。

news.php

<?php
include "logfile.php";
// some codes the use the LogClass
class User {
 public $age = 0;
 public $name = '';
 public function print_data() {
  echo "User".$this->name."is".$this->age."years old.<br/>";
 }
}

// 从用户接受输入发序列化为User对象
$usr = unserialize($_GET["user"]);
?>

上面显示的代码使用了LogClass对象同时还会从用户那里接受输入进行发序列化转化为一个User对象。

当我们提交如下的数据

news.php?user=O:4:"User":2:{s:3:"age";i:20;s:4:"name";s:4:"John”;}

这样的语句是可以正常使用的，也是程序员希望使用的方法。

但是如果提交的数据为：

news.php?user=O:8:"LogClass":1:{s:11:"logfilename";s:9:".htaccess";}

那么最后就会输出delete .htaccess。

可以看到通过构造的数据，导致执行了LogClass中的__destruct()方法然后删除了网站中重要的配置文件。

从上面这个例子也可以看出来，如果没有严格控制用户的输入同时对用户的输入进行了反序列化的操作，那么就有可能会实现代码执行的漏洞。

注入点

PHP对象注入一般在处在程序的逻辑上面。例如一个User类定义了__toString()用来进行格式化输出，但是也存在File类定义了__toString()方法读取文件内容然后进行显示，那么攻击者就有可能通过User类的反序列化构造一个File类来读取网站的配置文件。

user.php

<?php
class FileClass {
 public $filename = "error.log";
 public function __toString() {
 echo "filename发生了变化==>" . $this->filename ;
  return @file_get_contents($this->filename);
 }
}

class UserClass {
 public $age = 0;
 public $name = '';
 public function __toString() {
  return 'User '.$this->name." is ".$this->age.' years old. <br/>';
 }
}

$obj = unserialize($_GET['usr']);
echo $obj;  //调用obj的__toString()方法
?>

正常情况下我们应该传入UserClass序列化的字符串，例如user.php?usr=O:9:"UserClass":2:{s:3:"age";i:18;s:4:"name";s:3:"Tom";} ，页面最后就会输出User Tom is 18 years old. 。

这也是一个理想的使用方法。

但是如果我们传入的数据为user.php?usr=O:9:"FileClass":1:{s:8:"filename";s:10:"config.php";} ,页面最后的输出是filename发生了变化==>config.php,执行了FileClass中的__toString()方法。

这样就可以读取到config.php中的源代码了。

漏洞挖掘

这类洞一般都是很难挖掘的，虽然显示看起来很简单，但实际上需要的条件还是相当的苛刻的，而且找对象注入的漏洞一般都是通过审计源代码的方式来进行寻找，看unserialize()的参数是否是可控的，是否存在反序列化其他参数对象的可能。

防御

要对程序中的各种边界条件进行测试

避免用户对于unserialize()参数是可控的，可以考虑使用json_decode方法来进行传参。

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作能带来一定的帮助，如果有疑问大家可以留言交流，谢谢大家对的支持。

# 对象注入  # PHP序列化/对象注入漏洞分析  # 序列化  # 就会  # 就有  # 会在  # 就可以  # 都是  # 这篇文章  # 本质上  # 配置文件  # 源代码  # 类中  # 的是  # 是一个  # 发生了  # 如果你  # 还可以  # 很难  # 是由于  # 还会  # 这段 

相关栏目： 【 网站优化151355 】 【 网络推广146373 】 【 网络技术251813 】 【 AI营销90571 】

相关推荐： Laravel观察者模式如何使用_Laravel Model Observer配置  如何正确下载安装西数主机建站助手？  利用JavaScript实现拖拽改变元素大小  Laravel Octane如何提升性能_使用Laravel Octane加速你的应用  如何在IIS管理器中快速创建并配置网站？  Gemini手机端怎么发图片_Gemini手机端发图方法【步骤】  Laravel如何实现API资源集合？（Resource Collection教程）  Firefox Developer Edition开发者版本入口  敲碗10年！Mac系列传将迎来「触控与联网」双革新  javascript日期怎么处理_如何格式化输出  Laravel如何保护应用免受CSRF攻击？（原理和示例）  bing浏览器学术搜索入口_bing学术文献检索地址  UC浏览器如何切换小说阅读源_UC浏览器阅读源切换【方法】  长沙企业网站制作哪家好,长沙水业集团官方网站？  Laravel软删除怎么实现_Laravel Eloquent SoftDeletes功能使用教程  如何用VPS主机快速搭建个人网站？  如何快速搭建安全的FTP站点？  Edge浏览器提示“由你的组织管理”怎么解决_去除浏览器托管提示【修复】  Laravel安装步骤详细教程_Laravel环境搭建指南  HTML透明颜色代码在Angular里怎么设置_Angular透明颜色使用指南【详解】  ChatGPT 4.0官网入口地址 ChatGPT在线体验官网  香港服务器网站推广：SEO优化与外贸独立站搭建策略  Laravel怎么生成URL_Laravel路由命名与URL生成函数详解  JavaScript中的标签模板是什么_它如何扩展字符串功能  英语简历制作免费网站推荐,如何将简历翻译成英文？  node.js报错：Cannot find module 'ejs'的解决办法  微信公众帐号开发教程之图文消息全攻略  JS弹性运动实现方法分析  想要更高端的建设网站，这些原则一定要坚持！  php嵌入式断网后怎么恢复_php检测网络重连并恢复硬件控制【操作】  Linux系统命令中tree命令详解  Laravel怎么实现搜索高亮功能_Laravel结合Scout与Algolia全文检索【实战】  音乐网站服务器如何优化API响应速度？  JavaScript如何实现音频处理_Web Audio API如何工作？  Laravel怎么实现一对多关联查询_Laravel Eloquent模型关系定义与预加载【实战】  Win11怎么设置虚拟桌面 Win11新建多桌面切换操作【技巧】  手机网站制作平台,手机靓号代理商怎么制作属于自己的手机靓号网站？  Laravel如何使用Service Provider注册服务_Laravel服务提供者配置与加载  如何用腾讯建站主机快速创建免费网站？  Linux系统运维自动化项目教程_Ansible批量管理实战  如何快速生成凡客建站的专业级图册？  如何在宝塔面板中修改默认建站目录？  如何快速搭建高效可靠的建站解决方案？  实现点击下箭头变上箭头来回切换的两种方法【推荐】  Laravel中间件起什么作用_Laravel Middleware请求生命周期与自定义详解  JavaScript中如何操作剪贴板_ClipboardAPI怎么用  如何在腾讯云服务器快速搭建个人网站？  Laravel辅助函数有哪些_Laravel Helpers常用助手函数大全  如何为不同团队 ID 动态生成多个独立按钮  Laravel怎么使用Collection集合方法_Laravel数组操作高级函数pluck与map【手册】