2、漏洞何在2.1、漏洞触发2.1.2、定义一个类2.1.3、定义一个对象2.1.3、反序列化执行代码

2.2

3、反序列化漏洞攻防3.1、PHP反序列化实例3.2、Java反序列化实例3.3、反序列化漏洞防御

为什么要序列化

序列化“将对象的状态信息转换为可以存储或传输的形式的过程”这种形式⼤多为字节流、字符串、json

串。

在序列化期间内将对象当前状态写⼊到临时或永久性的存储区。

以后就可以通过从存储区中读取或还原反序列化对象的状态重新创建该对象。

简单的说序列化就是把⼀个对象变成可以传输的字符串可以以特定的格式在进程之间跨平台安全的进⾏通信。

1、序列化与反序列化

isset($_GET[stu])?$_GET[stu]:$stu_json;

$stu

?stu{name:jaychou,age:19,sex:true,score:89.9}1.2、序列化实例

1.2.1、定义一个类

创建⼀个对象并对该对象进⾏序列化操作将对象转化为可以存储、传输的字符串

?php

O:3:Stu:4:{s:4:name;s:7:JayChou;s:3:age;i:18;s:3:sex;b:1;s:5:score;d:68.989999999999995;}

1.2.3、反序列化

O:3:Stu:4:{s:4:name;s:7:JayChou;s:3:age;i:18;s:3:sex;b:1;s:5:score;d:68.989999999999995;}

;$stu1_obj

unserialize($stu1_ser);var_dump($stu1_obj);

1.2.4、对象注入

O:3:Stu:4:{s:4:name;s:7:JayChou;s:3:age;i:18;s:3:sex;b:1;s:5:score;d:68.989999999999995;}

;$stu1_ser

unserialize($stu1_ser);var_dump($stu1_obj);

?PHP

对象注⼊是⼀个⾮常常⻅的漏洞这种漏洞在某些场景下虽然有些难以利⽤但是⼀旦利⽤成功就会造成⾮常危险的后果

2、漏洞何在

isset($_GET[s_ser])?$_GET[s_ser]:O:3:Vul:1:{s:3:str;s:7:JayChou;};$s

unserialize($_s);

O:3:Vul:1:{s:3:str;s:7:JayChou;}反序列化后

object(Vul)#2

?s_serO:3:Vul:1:{s:3:str;s:10:phpinfo();;}2.2

为什么会这样

中的魔术⽅法。

类中的魔术⽅法在特定情况下会⾃动调⽤。

即使魔术⽅法在类中没有被定义也是真实存在的

魔术方法触发条件__construct()在创建对象时⾃动调⽤构造函数__destruct()在销毁对象时⾃动调⽤析构函数

__call();

__debuginfo();漏洞形成的根本原因就是程序没有对⽤⼾输⼊的反序列化字符串进⾏检测导致反序列化过程可以被恶意控制进而造成代码执⾏、GetShell

语⾔中其原理基本相同

升级组件到最新版本⿊⽩名单过滤敏感字符禁⽤反序列化功能部署安全设备