PHP反序列化之字符逃逸怎么实现

本文小编为大家详细介绍“PHP反序列化之字符逃逸怎么实现”，内容详细，步骤清晰，细节处理妥当，希望这篇“php反序列化之字符逃逸怎么实现”文章能帮助大家解决疑惑，下面跟着小编的思路慢慢深入，一起来学习新知识吧。

本质：闭合
分类：字符变多、字符变少
共同点：

1. php序列化后的字符串经过替换或修改，导致字符串长度变化

2. 总是先序列化，在进行替换修改操作

分类

字符增多

• 思路：
  根据序列化后字符串格式与特点，字符个数标识了后面要识别的长度
  要修改某个属性就要将其替换，可通过传入的字符串控制
  要将前面的双引号闭合，再传入后面要构造的字符
  但是此时与前面字符串长度不匹配，构造无效
  解决：根据替换字符长度变化，将构造的字符串挤出长度范围，成为下一部分
  （要用替换时的长度变换填补注入字符串的空缺）

• tips：

1. 判断每个字符过滤后会比原字符多出x个

2. 确定要注入的目标子串的长度n

3. 注入字符重复n/x遍，并带上注入字符 （构造代码的长度÷多出的字符数）

• 例：
  目标：修改对象中一个数值，如age要改为20

<?phpfunction filter($string){    $filter = '/p/i';    return preg_replace($filter,'WW',$string);}$username = 'purplet';$age = "10";$user = array($username,$age);var_dump(serialize($user));echo "<pre>";$r = filter(serialize($user));var_dump($r);var_dump(unserialize($r));?>

下面部分可以记作模板，做题时先输出看一下

var_dump(serialize($user));    # 序列化echo "<pre>";$r = filter(serialize($user)); # 替换后序列化var_dump($r);var_dump(unserialize($r));     # 打印反序列化

可以观察到，每次替换将p改为ww，即每次都多出一个字符
这就导致反序列化时长度分配读取错误而输出错误
所以考虑通过其长度读取的性质来构造字符逃逸

要将10改为20，先确定后面要构造的字符串：

原字符串：";i:1;s:2:"10";}目标子串：";i:1;s:2:"20";}

确定长度：16（即传入的字符串需要多出16个字符来将这些字符放到下一个属性的位置上去）
每次多1个字符，故需要16个p
故传入：

结果输出：

字符减少

值逃逸

值过滤，前值包后键与值（左括号为止）

• 例
  目标：age改为20

<?phpfunction filter($string){    $filter = '/pp/i';    return preg_replace($filter,'W',$string);}$username = "ppurlet"$age = "10";$user = array($username,$age);var_dump (serialize($user));    # 序列化echo "<pre>";$r = filter(serialize($user)); # 替换后序列化var_dump ($r);var_dump (unserialize($r));     # 打印反序列?>

与上面代码相似，只是此时是将2个p替换为一个w，字符减少
同样数值不对应会反序列化失败

username：构造逃逸所需代码
age：构造逃逸代码

A后面是传入的age字符串，计算构造长度

即要占位这13个字符
每2个p变1个w，相当于逃逸一位，故输入13*2=26个p，字符长度标识为26，变为13个w，后面13个字符占余下13位

payload：

username='pppppppppppppppppppppppppp'age=A";i:1;s:2:"20";}

读到这里，这篇“PHP反序列化之字符逃逸怎么实现”文章已经介绍完毕，想要掌握这篇文章的知识点还需要大家自己动手实践使用过才能领会，如果想了解更多相关内容的文章，欢迎关注编程网PHP编程频道。