PHP 세션 역직렬화 취약점에 대한 자세한 설명-PHP 튜토리얼-php.cn

집

백엔드 개발

PHP 튜토리얼

PHP 세션 역직렬화 취약점에 대한 자세한 설명

*文

Jan 03, 2018 pm 02:10 PM

phpsession직렬화

이 글은 주로 PHP의 세션 역직렬화 취약점을 소개합니다. 도움이 필요한 친구들이 참고할 수 있습니다. 그것이 모두에게 도움이 되기를 바랍니다.

php.ini에는 세 가지 구성 항목이 있습니다:

session.save_path=""  --设置session的存储路径
session.save_handler="" --设定用户自定义存储函数，如果想使用PHP内置会话存储机制之外的可以使用本函数(数据库等方式)
session.auto_start  boolen --指定会话模块是否在请求开始时启动一个会话,默认为0不启动
session.serialize_handler  string --定义用来序列化/反序列化的处理器名字。默认使用php

위 옵션은 PHP의 세션 저장 및 시퀀스 저장과 관련이 있습니다.

xampp 컴포넌트를 사용한 설치에서 위 구성 항목의 설정은 다음과 같습니다.

session.save_path="D:\xampp\tmp"  表明所有的session文件都是存储在xampp/tmp下
session.save_handler=files     表明session是以文件的方式来进行存储的
session.auto_start=0        表明默认不启动session
session.serialize_handler=php    表明session的默认序列话引擎使用的是php序列话引擎

위 구성에서는 기본 PHP 엔진 외에 session.serialize_handler를 사용하여 세션의 직렬화 엔진을 설정합니다. 다른 엔진의 경우 다른 엔진에 해당하는 세션이 다른 방식으로 저장됩니다.

php_binary: 저장 방식은 키 이름의 길이에 해당하는 ASCII 문자 + 키 이름 + serialize() 함수에 의해 직렬화된 값

php: 저장 방식은 키 이름 + 세로 막대 + serialize() 함수 직렬화된 값

php_serialize(php>5.5.4): 저장 방법은 serialize() 함수에 의해 직렬화된 값입니다.

PHP에서 기본적으로 사용되는 것은 PHP 엔진입니다. 다른 엔진으로 수정하려면 ini_set('session.serialize_handler', '설정해야 하는 엔진'); 코드를 추가하기만 하면 됩니다. 샘플 코드는 다음과 같습니다.

session 디렉토리는 /var/lib/php/sessions에 있습니다.

<?php
ini_set(&#39;session.serialize_handler&#39;, &#39;php_serialize&#39;);
session_start();
$_SESSION[&#39;name&#39;] = &#39;spoock&#39;;
var_dump($_SESSION);

php_serialize 엔진에서 세션 파일에 저장된 데이터는 다음과 같습니다.

a:1:{s:4:"name";s:6:"spoock";}

php php 아래의 파일 내용 엔진은

name|s:6:"spoock";

php_binary 엔진 아래 파일 내용은

names:6:"spoock";

이름의 길이가 4이므로 4는 ASCII 테이블의 EOT에 해당합니다. php_binary의 저장 규칙에 따르면 마지막 것은 names:6:"spoock";입니다. (갑자기 웹 페이지에서 ASCII 값이 4인 문자를 표시할 수 없다는 사실을 발견했습니다. ASCII 표를 직접 확인하시기 바랍니다.)

PHP Session의 직렬화 위험

Session 구현에는 문제가 없습니다. PHP의 경우, 피해는 주로 프로그래머가 세션을 부적절하게 사용하여 발생합니다.

저장된 $_SESSION 데이터를 역직렬화하기 위해 PHP에서 사용하는 엔진이 직렬화에 사용되는 엔진과 다른 경우 데이터가 올바르게 역직렬화되지 않습니다. 신중하게 구성된 데이터 패킷을 통해 프로그램 검증을 우회하거나 일부 시스템 방법을 실행할 수 있습니다. 예:

$_SESSION[&#39;ryat&#39;] = &#39;|O:1:"A":1:{s:1:"a";s:2:"xx";}&#39;;

php 파일 예:

접속 후 세션 파일의 내용은 다음과 같습니다. 
root/var/lib/php/sessions cat sess_e07gghbkcm0etit02bkjlbhac6 
a:1:{s:4:"ryat";s:30:"|O:1:"A":1:{s:1:"a";s:2:"xx";}
그러나 이때 시뮬레이션이 다른 페이지에서 읽기 위해 다른 PHP 엔진을 사용하는 경우 해당 내용은 (기본값은 php 엔진 세션 파일 읽기를 사용합니다)
a;
  }
}
// var_dump($_SESSION);
이 페이지를 방문하여 xx
xxarray(1) {
 ["a:1:{s:4:"ryat";s:30:""]=>
 object(A)#1 (1) {
  ["a"]=>
  string(2) "xx"
 }
}
를 출력하세요 이는 php 엔진을 사용할 때 php 엔진이 키와 값 사이의 구분 기호로 |를 사용하기 때문입니다. :1:{s :4:"ryat";s:30:"을 세션 키로 사용하고 O:1:"A":1:{s:1:"a";s:2:"xx"; } 값으로, 직렬화 해제 후에는 최종적으로 클래스 A를 얻게 됩니다. 
직렬화와 역직렬화에 사용되는 엔진이 다르기 때문에 세션이 PHP 엔진을 사용하여 페이지를 로드할 때 PHP 세션 직렬화 취약점이 발생합니다. 
GCTF에 대한 세션 역직렬화 취약점 분석: 
index.php의 내용은 다음과 같습니다. php에서 직렬화 작업 데이터에 액세스하는 데 자주 사용되지만 직렬화 프로세스 중에 제대로 처리되지 않으면 일부 보안 위험이 발생할 수 있습니다. 
<?php
//error_reporting(E_ERROR & ~E_NOTICE);
ini_set(&#39;session.serialize_handler&#39;, &#39;php_serialize&#39;);
header("content-type;text/html;charset=utf-8");
session_start();
if(isset($_GET[&#39;src&#39;])){
  $_SESSION[&#39;src&#39;] = $_GET[&#39;src&#39;];
  highlight_file(__FILE__);
  print_r($_SESSION[&#39;src&#39;]);
}
?>
<!DOCTYPE HTML>
<html>
 <head>
  <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
 <title>代码审计2</title>
 </head>
 <body>
query.php의 내용은 다음과 같습니다. 
<form action="./query.php" method="POST">    
<input type="text" name="ticket" />        
<input type="submit" />
</form>
<a href="./?src=1">查看源码</a>
</body>
</html>

아이디어는 다음과 같습니다. 이 질문에서는 TOPC를 구성하고 이것이 파괴되면 echo $this->attr;가 호출됩니다. echo TOPB에서 TOPB 개체에 attr을 할당합니다. 메소드는 언제든지 자동으로 호출됩니다
__tostring에서는 unserialize($this->attr)가 호출됩니다. 토큰과 티켓은 나중에 사용되므로 나중에 판단하려면 TOPA 객체가 당연히 필요합니다. $this->obj->token === $this->obj->ticket이므로 포인터 참조는 $a->ticket =을 직렬화할 때 만들어집니다. &$a->token;, 판단을 우회할 수 있습니다. echo $this->attr;；

将attr赋值为TOPB对象，在echo TOPB的时候会自动调用__tostring魔术方法
在__tostring中会调用unserialize($this->attr),因为后面用到token和ticket，所以显然时TOPA对象。后面判断需要$this->obj->token === $this->obj->ticket,所以在序列化的时候进行指针引用使$a->ticket = &$a->token;，即可绕过判断。
至于为什么(string)$this->obj(string)$this->obj가 플래그를 출력하는 이유는 로그인이 백그라운드에 기록되어 있기 때문입니다. 
역직렬화된 문자열에 매개변수를 지우는 __wakeup() 함수가 있을 것입니다. CVE: CVE-2016-7124를 통해 우회할 수 있는지 궁금합니다. Object의 수량을 나타내는 필드를 실제 필드보다 큰 값으로 변경하면 wakeup 기능을 우회할 수 있습니다. 최종 코드는 다음과 같습니다. 
/************************/
/*
//query.php 部分代码
session_start();
header(&#39;Look me: edit by vim ~0~&#39;)
//......
class TOPA{
  public $token;
  public $ticket;
  public $username;
  public $password;
  function login(){
    //if($this->username == $USERNAME && $this->password == $PASSWORD){ //抱歉
    $this->username ==&#39;aaaaaaaaaaaaaaaaa&#39; && $this->password == &#39;bbbbbbbbbbbbbbbbbb&#39;){
      return &#39;key is:{&#39;.$this->token.&#39;}&#39;;
    }
  }
}
class TOPB{
  public $obj;
  public $attr;
  function __construct(){
    $this->attr = null;
    $this->obj = null;
  }
  function __toString(){
    $this->obj = unserialize($this->attr);
    $this->obj->token = $FLAG;
    if($this->obj->token === $this->obj->ticket){
      return (string)$this->obj;
    }
  }
}
class TOPC{
  public $obj;
  public $attr;
  function __wakeup(){
    $this->attr = null;
    $this->obj = null;
  }
  function __destruct(){
    echo $this->attr;
  }
}
*/
 최종 페이로드는 다음과 같습니다. PHP가 csv 파일을 구현하는 방법 데이터베이스 가져오기 

PHP가 16진수 이미지 데이터를 웹페이지에 표시하는 방법에 대한 자세한 설명
위 내용은 PHP 세션 역직렬화 취약점에 대한 자세한 설명의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!

성명

본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.

관련 기사

PHP의 초록 클래스 또는 인터페이스에 대한 특성과 언제 특성을 사용 하시겠습니까?Apr 10, 2025 am 09:39 AM

PHP에서, 특성은 방법 재사용이 필요하지만 상속에 적합하지 않은 상황에 적합합니다. 1) 특성은 클래스에서 다중 상속의 복잡성을 피할 수 있도록 수많은 방법을 허용합니다. 2) 특성을 사용할 때는 대안과 키워드를 통해 해결할 수있는 방법 충돌에주의를 기울여야합니다. 3) 성능을 최적화하고 코드 유지 보수성을 향상시키기 위해 특성을 과도하게 사용해야하며 단일 책임을 유지해야합니다.

DIC (Dependency Injection Container) 란 무엇이며 PHP에서 사용하는 이유는 무엇입니까?Apr 10, 2025 am 09:38 AM

의존성 주입 컨테이너 (DIC)는 PHP 프로젝트에 사용하기위한 객체 종속성을 관리하고 제공하는 도구입니다. DIC의 주요 이점에는 다음이 포함됩니다. 1. 디커플링, 구성 요소 독립적 인 코드는 유지 관리 및 테스트가 쉽습니다. 2. 유연성, 의존성을 교체 또는 수정하기 쉽습니다. 3. 테스트 가능성, 단위 테스트를 위해 모의 객체를 주입하기에 편리합니다.

SPL SplfixedArray 및 일반 PHP 어레이에 비해 성능 특성을 설명하십시오.Apr 10, 2025 am 09:37 AM

SplfixedArray는 PHP의 고정 크기 배열로, 고성능 및 메모리 사용이 필요한 시나리오에 적합합니다. 1) 동적 조정으로 인한 오버 헤드를 피하기 위해 생성 할 때 크기를 지정해야합니다. 2) C 언어 배열을 기반으로 메모리 및 빠른 액세스 속도를 직접 작동합니다. 3) 대규모 데이터 처리 및 메모리에 민감한 환경에 적합하지만 크기가 고정되어 있으므로주의해서 사용해야합니다.

PHP는 파일 업로드를 어떻게 단단히 처리합니까?Apr 10, 2025 am 09:37 AM

PHP는 $ \ _ 파일 변수를 통해 파일 업로드를 처리합니다. 보안을 보장하는 방법에는 다음이 포함됩니다. 1. 오류 확인 확인, 2. 파일 유형 및 크기 확인, 3 파일 덮어 쓰기 방지, 4. 파일을 영구 저장소 위치로 이동하십시오.

Null Coalescing 연산자 (??) 및 Null Coalescing 할당 연산자 (?? =)은 무엇입니까?Apr 10, 2025 am 09:33 AM

JavaScript에서는 NullCoalescingOperator (??) 및 NullCoalescingAssignmentOperator (?? =)를 사용할 수 있습니다. 1. 2. ??= 변수를 오른쪽 피연산자의 값에 할당하지만 변수가 무효 또는 정의되지 않은 경우에만. 이 연산자는 코드 로직을 단순화하고 가독성과 성능을 향상시킵니다.

CSP (Content Security Policy) 헤더 란 무엇이며 왜 중요한가요?Apr 09, 2025 am 12:10 AM

CSP는 XSS 공격을 방지하고 리소스로드를 제한하여 웹 사이트 보안을 향상시킬 수 있기 때문에 중요합니다. 1.CSP는 HTTP 응답 헤더의 일부이며 엄격한 정책을 통해 악의적 인 행동을 제한합니다. 2. 기본 사용법은 동일한 원점에서 자원을로드 할 수있는 것입니다. 3. 고급 사용량은 특정 도메인 이름을 스크립트와 스타일로드 할 수 있도록하는 것과 같은보다 세밀한 전략을 설정할 수 있습니다. 4. Content-Security Policy 보고서 전용 헤더를 사용하여 CSP 정책을 디버그하고 최적화하십시오.

HTTP 요청 방법 (Get, Post, Put, Delete 등)이란 무엇이며 언제 각각을 사용해야합니까?Apr 09, 2025 am 12:09 AM

HTTP 요청 방법에는 각각 리소스를 확보, 제출, 업데이트 및 삭제하는 데 사용되는 Get, Post, Put and Delete가 포함됩니다. 1. GET 방법은 리소스를 얻는 데 사용되며 읽기 작업에 적합합니다. 2. 게시물은 데이터를 제출하는 데 사용되며 종종 새로운 리소스를 만드는 데 사용됩니다. 3. PUT 방법은 리소스를 업데이트하는 데 사용되며 완전한 업데이트에 적합합니다. 4. 삭제 방법은 자원을 삭제하는 데 사용되며 삭제 작업에 적합합니다.

HTTPS 란 무엇이며 웹 애플리케이션에 중요한 이유는 무엇입니까?Apr 09, 2025 am 12:08 AM

HTTPS는 HTTP를 기반으로 보안 계층을 추가하는 프로토콜로, 주로 암호화 된 데이터를 통해 사용자 개인 정보 및 데이터 보안을 보호합니다. 작업 원칙에는 TLS 핸드 셰이크, 인증서 확인 및 암호화 된 커뮤니케이션이 포함됩니다. HTTP를 구현할 때는 인증서 관리, 성능 영향 및 혼합 콘텐츠 문제에주의를 기울여야합니다.

See all articles

핫 AI 도구

Undresser.AI Undress

사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover

사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool

무료로 이미지를 벗다

Clothoff.io

AI 옷 제거제

AI Hentai Generator

AI Hentai를 무료로 생성하십시오.

뜨거운 도구

SecList

SecLists는 최고의 보안 테스터의 동반자입니다. 보안 평가 시 자주 사용되는 다양한 유형의 목록을 한 곳에 모아 놓은 것입니다. SecLists는 보안 테스터에게 필요할 수 있는 모든 목록을 편리하게 제공하여 보안 테스트를 더욱 효율적이고 생산적으로 만드는 데 도움이 됩니다. 목록 유형에는 사용자 이름, 비밀번호, URL, 퍼징 페이로드, 민감한 데이터 패턴, 웹 셸 등이 포함됩니다. 테스터는 이 저장소를 새로운 테스트 시스템으로 간단히 가져올 수 있으며 필요한 모든 유형의 목록에 액세스할 수 있습니다.