0、前言
逛乌云知识库的时候看到一篇有趣的译文：www.2cto.com
说的是一种注入方式，叫对象注入。对象也能注入？
是的，只要是存在污染数据，没有什么是不可能注入的，但是这个有点太古怪了，所以我觉得有趣。
1、原理
在程序编写的时候，往往需要序列化一些运行时数据，所谓序列化就是按照一定的格式将运行时数据写入本地文件。这样做可以对数据进行本地保存，用的时候直接读文件就可以把运行时产生的数据读出。在php中就是serialize和unserialize函数了。
能够注入的原理就是在反序列化的时候，引入了污染数据造成的，比如：
$obj = unserialize($_get[‘injection’]) ;
通过这个语句，我们可以自己按照序列化数据的格式进行构造，得到我们想要的对象$obj。
有人就要问了，你仅仅得到这个对象$obj有啥用？先看看下面的实例。
2、情景
该情景也是来源于译文中的demo，这里还原一下：
我要评论
. $this->filename ;
return file_get_contents($this->filename) ;
}
}
// main user class
class user
{
// class data
public $age = 0;
public $name = '';
// 允许对象作为一个字符串输出上面的data
public function __tostring()
{
return 'user ' . $this->name . ' is ' . $this->age . ' years old.
';
}
}
// 用户可控
$obj = unserialize($_get['usr_serialized']);
// 输出 __tostring
var_dump($obj) ;
echo $obj;
?>
上面的代码是从用户可控的数据获取一个序列化数据，然后调用unserialize方法对$_get['usr_serialized']进行反序列化，那么这个$obj就可以被我们控制了。
正常的方式是提交：
https://127.0.0.1/code/objin.php?usr_serialized=o:4:user:2:{s:3:age;i:20;s:4:name;s:4:john;}
上面的序列化数据是一个user类的对象，其中$age=20, $name=john。
这时，echo $obj ;直接echo对象，就能调用魔术方法__tostring，在user类中已经对这个魔术方法进行了重载，即输出一段字符串，运行效果如下：
上面的代码是从用户可控的数据获取一个序列化数据，然后调用unserialize方法对$_get['usr_serialized']进行反序列化，那么这个$obj就可以被我们控制了。
正常的方式是提交：
https://127.0.0.1/code/objin.php?usr_serialized=o:4:user:2:{s:3:age;i:20;s:4:name;s:4:john;}
上面的序列化数据是一个user类的对象，其中$age=20, $name=john。
这时，echo $obj ;直接echo对象，就能调用魔术方法__tostring，在user类中已经对这个魔术方法进行了重载，即输出一段字符串，运行效果如下：
3、漏洞挖掘
这类漏洞相当隐蔽，但是一旦出现效果很到位。挖掘主要是找找unserialize函数中的参数是否是污染数据。找到相应的控制位置，再看看哪个类可以利用起来完成我们的攻击，比如本情景中的fileclass类。
如对本文有疑问， 点击进行留言回复！！
网友评论