PHP反序列化漏洞是什么？怎么避免被利用？-php教程-PHP中文网

php反序列化漏洞是指攻击者通过构造恶意的序列化数据，在程序执行unserialize()函数时触发类中的魔术方法（如__wakeup、__destruct），从而执行任意代码或实现其他恶意目的。要避免被利用，核心做法是避免直接反序列化不可信输入，并对白名单进行严格校验。

PHP反序列化漏洞是什么？怎么避免被利用？

哪些魔术方法容易引发安全问题

在PHP中，__wakeup()、__destruct()、__toString()等魔术方法在反序列化过程中会被自动调用。如果这些方法内部调用了文件操作、数据库查询或系统命令，且未对输入做过滤，就会形成漏洞。

PHP反序列化漏洞是什么？怎么避免被利用？

class User {
    public $name;
    public $file;

    public function __construct($name, $file) {
        $this->name = $name;
        $this->file = $file;
    }

    public function __destruct() {
        // 危险：直接读取用户可控的文件
        echo file_get_contents($this->file);
    }
}

// 正常用法
$user = new User('admin', '/etc/passwd');

// 攻击者构造的序列化字符串
$payload = 'O:4:"User":2:{s:4:"name";N;s:4:"file";s:11:"/etc/shadow";}';
// 如果这里直接反序列化，就会读取敏感文件
// unserialize($payload);

上述代码中，User类的__destruct()方法在对象销毁时读取$file属性。如果攻击者能控制序列化数据，就可以将$file指向敏感文件。虽然现代PHP版本默认禁用了一些危险的自动加载，但手动实现的逻辑依然危险。

如何安全地处理反序列化数据

最安全的做法是完全避免使用unserialize()处理外部输入。如果必须使用，应结合json_decode()替代，或者在反序列化前对数据进行签名验证和白名单检查。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

PHP反序列化漏洞是什么？怎么避免被利用？

class SafeData {
    public $data;
    public $signature;

    public function __construct($data, $secretKey) {
        $this->data = $data;
        // 生成签名，防止篡改
        $this->signature = hash_hmac('sha256', $data, $secretKey);
    }

    public static function fromString($str, $secretKey) {
        $parts = explode('|', $str);
        if (count($parts) !== 2) return null;
        
        $data = $parts[0];
        $sig = $parts[1];
        
        // 验证签名
        $expectedSig = hash_hmac('sha256', $data, $secretKey);
        if (!hash_equals($expectedSig, $sig)) {
            throw new Exception('Invalid signature');
        }
        
        // 白名单校验
        if (!is_array(json_decode($data, true))) {
            throw new Exception('Invalid data format');
        }
        
        $obj = new self($data, $secretKey);
        return $obj;
    }
}

// 使用示例
$secret = 'my_secret_key';
$safeObj = new SafeData(json_encode(['user' => 'admin']), $secret);
$serialized = $safeObj->data . '|' . $safeObj->signature;

try {
    $restored = SafeData::fromString($serialized, $secret);
    echo "Data restored safely.";
} catch (Exception $e) {
    echo "Error: " . $e->getMessage();
}

通过引入HMAC签名和JSON格式校验，可以有效防止攻击者篡改序列化数据。即使攻击者知道类的结构，也无法生成有效的签名，从而无法触发魔术方法。