PHP反序列化详细解析之字符逃逸
时间:2022-04-15 [网络编程]作者:fabuyuan 浏览:9 次
推荐学习:《PHP视频教程》
本质:闭合
分类:字符变多、字符变少
共同点:
- php序列化后的字符串经过替换或修改,导致字符串长度变化
- 总是先序列化,在进行替换修改操作
分类
字符增多
- 思路:
根据序列化后字符串格式与特点,字符个数标识了后面要识别的长度
要修改某个属性就要将其替换,可通过传入的字符串控制
要将前面的双引号闭合,再传入后面要构造的字符
但是此时与前面字符串长度不匹配,构造无效
解决:根据替换字符长度变化,将构造的字符串挤出长度范围,成为下一部分
(要用替换时的长度变换填补注入字符串的空缺) - tips:
- 判断每个字符过滤后会比原字符多出x个
- 确定要注入的目标子串的长度n
- 注入字符重复n/x遍,并带上注入字符 (构造代码的长度÷多出的字符数)
- 例:
目标:修改对象中一个数值,如age要改为20
<?php function filter($string){ $filter = '/p/i'; return preg_replace($filter,'WW',$string); } $username = 'purplet'; $age = "10"; $user = array($username,$age); var_dump(serialize($user)); echo "<pre>"; $r = filter(serialize($user)); var_dump($r); var_dump(unserialize($r)); ?>
下面部分可以记作模板,做题时先输出看一下
var_dump(serialize($user)); # 序列化 echo "<pre>"; $r = filter(serialize($user)); # 替换后序列化 var_dump($r); var_dump(unserialize($r)); # 打印反序列化
可以观察到,每次替换将p改为ww,即每次都多出一个字符
这就导致反序列化时长度分配读取错误而输出错误
所以考虑通过其长度读取的性质来构造字符逃逸
要将10改为20,先确定后面要构造的字符串:
原字符串:";i:1;s:2:"10";} 目标子串:";i:1;s:2:"20";}
确定长度:16(即传入的字符串需要多出16个字符来将这些字符放到下一个属性的位置上去)
每次多1个字符,故需要16个p
故传入:
结果输出:
字符减少
值逃逸
值过滤,前值包后键与值(左括号为止)
- 例
目标:age改为20
<?php function filter($string){ $filter = '/pp/i'; return preg_replace($filter,'W',$string); } $username = "ppurlet" $age = "10"; $user = array($username,$age); var_dump (serialize($user)); # 序列化 echo "<pre>"; $r = filter(serialize($user)); # 替换后序列化 var_dump ($r); var_dump (unserialize($r)); # 打印反序列 ?>
与上面代码相似,只是此时是将2个p替换为一个w,字符减少
同样数值不对应会反序列化失败
username:构造逃逸所需代码
age:构造逃逸代码
A后面是传入的age字符串,计算构造长度
即要占位这13个字符
每2个p变1个w,相当于逃逸一位,故输入13*2=26个p,字符长度标识为26,变为13个w,后面13个字符占余下13位
payload:
username='pppppppppppppppppppppppppp' age=A";i:1;s:2:"20";}
总结
- 字符增多
- 看第一个参数结尾后的引号到最后右括号的长度(目标字符串)n
- 看每次替换增量x
- 用n/x个替换字符和构造代码构造,传入序列化对象
- 字符减少
- 用第二个参数构造
- 开头设置闭合:A"(后面再考虑怎么构造)
- 看第一个参数后的右引号到A有多少个字符n
- 替换减少x个字符
- 创建对象:
第一个参数传入n*(x+1)个替换字符
第二个参数传入构造的字符串
推荐学习:《PHP视频教程》
以上就是PHP反序列化详细解析之字符逃逸的详细内容,更多请关注站长家园其它相关文章!
本文标签: PHP
转载请注明来源:PHP反序列化详细解析之字符逃逸
本文永久链接地址:https://www.adminjie.com/post/11176.html
免责声明:
本站所发布的一切资源仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除上述内容。如果您喜欢该程序,请支持正版软件,购买注册,得到更好的正版服务。
附:
二○○二年一月一日《计算机软件保护条例》第十七条规定:为了学习和研究软件内含的设计思想和原理,通过安装、显示、传输或者存储软件等方式使用软件的,可以不经软件著作权人许可,不向其支付报酬!鉴于此,也希望大家按此说明研究软件!
版权声明:
一、本站致力于为软件爱好者提供国内外软件开发技术和软件共享,着力为用户提供优资资源。
二、本站提供的部分源码下载文件为网络共享资源,请于下载后的24小时内删除。如需体验更多乐趣,还请支持正版。
三、我站提供用户下载的所有内容均转自互联网。如有内容侵犯您的版权或其他利益的,若有侵犯你的权益请:提交版权证明文件到邮箱 2225329873#qq.com(#换为@) 站长会进行审查之后,情况属实的会在三个工作日内为您删除。
更多精彩内容
- VUE中V-IF条件判断改变元素的样式操作
- Discuz如何解决安装时报错run_sql_error
- 低版本VS项目在VS2019无法正常编译的问题
- PHP+Redis链表解决高并发下商品超卖问题(实现原理及步骤)
- Oracle数据库的实例/表空间/用户/表之间关系简单讲解
- RSA2是啥?PHP-RSA2签名验证怎么实现?
- 华为dubal20是什么型号
- 电脑显示信号线无连接是什么意思
- app是什么应用程序的简称
- ana an00华为是什么型号
- html5的标题标记一共有几个等级
- html5中onclick是什么意思
- 小程序大小超限除了分包还能怎么做?如何避免和解决大小限制?
- vivov1818a是什么手机型号
- 超清视效是什么意思

- 最新文章
-
-
完全掌握java之String类
本篇文章给大家带来了关于java的相关知识,其中主要介绍了关于string类的相关问题,包括了字符串的常量池、字符串的不可变性等等相关内容,下面一起来看一下,希...
-
简单学习Python字符和列表(实例详解)
本篇文章给大家带来了关于python的相关知识,其中主要介绍了关于字符和列表的相关问题,包括了字符串的输入输出、列表循环遍历、列表的增删改查以及列表的嵌套等等内...
-
图文解析Redis线程模型
本篇文章给大家带来了关于Redis的相关知识,其中主要介绍了关于线程模型的相关问题,Redis它是一个单线程的,下面就一起来看一下,希望对大家有帮助。推荐学习:...
-
jquery怎么判断元素是否有子节点
方法:1、用children()获取元素下的所有子节点,语法“元素对象.children()”,会返回一个包含子节点的jQ对象;2、用length检测子节点个数...
-
jquery对象访问的方法有哪些
jquery对象访问的方法有:1、each(),可以遍历指定的jquery对象,语法“$.each(对象,回调函数)”;2、size(),可统计jquery对象...
-
- 热门文章
-
-
VUE中V-IF条件判断改变元素的样式操作
这篇文章主要介绍了VUE中V-IF条件判断改变元素的样式操作,具有很好的参考价值,希望对大家有所帮助。一起跟随想过来看看吧...
-
Discuz如何解决安装时报错run_sql_error
问题环境VMware虚拟机Centos7.3PHP7.0MySQL8.0NGINX1.14Discuz3.4问题还原本地环境为PHP5.6+MySQL5.6在安...
-
低版本VS项目在VS2019无法正常编译的问题
低版本VS项目在VS2019无法正常编译的问题这里指的编译并不准确,只是为了方便说明。后有(未安装),201?...
-
PHP+Redis链表解决高并发下商品超卖问题(实现原理及步骤)
实现原理使用redis链表来做,因为pop操作是原子的,即使有很多用户同时到达,也是依次执行,推荐使用。实现步骤第一步,先将商品库存入队列/**.trigge...
-
Oracle数据库的实例/表空间/用户/表之间关系简单讲解
完整的Oracle数据库通常由两部分组成:Oracle数据库和数据库实例。Oracle是一种数据库管理系统,是一种关系型的数据库管理系统。我们用这些高级权限账号...
-