浅析PHP反序列化漏洞之PHP常见魔术方法（一）

作为一个学习web安全的菜鸟，前段时间被人问到PHP反序列化相关的问题，以前的博客中是有这样一篇反序列化漏洞的利用文章的。但是好久过去了，好多的东西已经记得不是很清楚。所以这里尽可能写一篇详细点的文章来做一下记录。

我们来参考这里：

https://secure.php.net/manual/zh/language.oop5.magic.php

我们根据官方文档中的解释，一个一个来进行测试。

__construct() 和 __destruct()

__construct()被称为构造方法，也就是在创造一个对象时候，首先会去执行的一个方法。



我写了这样的一个demo来做测试：

class test {

private $flag = '';
public $filename = '';
public $data = '';

function __construct($filename, $data) {
$this->filename = $filename;
$this->data = $data;
echo 'construct function in test class';
echo "<br>";
}
}
$a = new test('test.txt', 'data');

测试结果：



同样的，我们编写一个类的析构方法，__destruct()

析构函数的作用：



代码如下：

class test {

private $flag = '';
public $filename = '';
public $data = '';

function __construct($filename, $data) {
$this->filename = $filename;
$this->data = $data;
echo 'construct function in test class';
echo "<br>";
}

function __destruct() {
echo 'destruct function in test class';
echo "<br>";
}
}

$a = new test('test.txt', 'data');

运行结果：



__set() __get() __isset() __unset() 作用如下：



我们一样是来写一个代码进行验证：

class test {

private $flag = '';

# 用于保存重载的数据
private $data = array();

public $filename = '';

public $content = '';

function __construct($filename, $content) {
$this->filename = $filename;
$this->content = $content;
echo 'construct function in test class';
echo "<br>";
}

function __destruct() {
echo 'destruct function in test class';
echo "<br>";
}

function __set($key, $value) {
echo 'set function in test class';
echo "<br>";
$this->data[$key] = $value;
}

function __get($key) {
echo 'get function in test class';
echo "<br>";
if (array_key_exists($key, $this->data)) {
return $this->data[$key];
} else {
return null;
}
}

function __isset($key) {
echo 'isset function in test class';
echo "<br>";
return isset($this->data[$key]);
}

function __unset($key) {
echo 'unset function in test class';
echo "<br>";
unset($this->data[$key]);
}

public function set_flag($flag) {
$this->flag = $flag;
}

public function get_flag() {
return $this->flag;
}
}

$a = new test('test.txt', 'data');

# __set() 被调用
$a->var = 1;

# __get() 被调用
echo $a->var;

# __isset() 被调用
var_dump(isset($a->var));

# __unset() 被调用
unset($a->var);

var_dump(isset($a->var));

echo "\n";

运行结果：



我们可以看到调用的顺序为： 构造方法 => set方法（我们此时为类中并没有定义过的一个类属性进行赋值触发了set方法） => get方法 => isset方法 => unset方法 => isset方法 => 析构方法

同时也可以发现，析构方法在所有的代码被执行结束之后进行的。

__call() __callStatic()

官方文档中的解释：



类似以上介绍过的__set()和__get()，刚刚是访问不存在或者不可访问属性时候进行的调用。现在是访问不存在或者不可访问的方法时候：

代码如下：

class test {

private $flag = '';

# 用于保存重载的数据
private $data = array();

public $filename = '';

public $content = '';

function __call($funcname, $args) {
echo 'function name is: ' . $funcname. ' args is: ' . implode(', ', $args);
echo "<br>";
}

public static function __callStatic($funcname, $args) {
echo 'static function name is: ' . $funcname. ' args is: ' . implode(', ', $args);
echo "<br>";
}

public function set_flag($flag) {
$this->flag = $flag;
}

public function get_flag() {
return $this->flag;
}
}

$obj = new test;

# 调用一个不存在或者无法访问到的方法时候将会调用__call()
$obj->run('run args, test');

# 调用一个不存在的静态方法，将会去调用__callStatic()
$obj::run('static test');

运行结果：



看文档或者注释应该很明白了。

接下来是对于反序列化漏洞利用最重要的一些方法了。

__sleep() __wakeup() __toString()



写个代码来进行验证：

class test {

private $flag = '';

# 用于保存重载的数据
private $data = array();

public $filename = '';

public $content = '';

function __construct($filename, $content) {
$this->filename = $filename;
$this->content = $content;
echo 'construct function in test class';
echo "<br>";
}

function __destruct() {
echo 'destruct function in test class';
echo "<br>";
}

# 反序列化时候触发
function __wakeup() {
// file_put_contents($this->filename, $this->data);
echo 'wakeup function in test class';
echo "<br>";
}

# 一般情况用在序列化操作时候，用于保留数据
function __sleep() {
echo 'sleep function in test class';
echo "<br>";
return array('flag', 'filename', 'data');
}

# 当需要输出得到对象名称时候会调用
function __toString() {
return $this->data;
}

public function set_flag($flag) {
$this->flag = $flag;
}

public function get_flag() {
return $this->flag;
}
}

$key = serialize(new test('test.txt', 'test'));

var_dump($key);

$b = unserialize($key);

运行结果：



在进行序列化的时候，执行了__sleep()方法，在反序列化的时候执行了__wakeup()方法。

然后是__toString()方法：

class test {

private $flag = '';

# 用于保存重载的数据
private $data = array();

public $filename = '';

public $content = '';

function __construct($filename, $content) {
$this->filename = $filename;
$this->content = $content;
echo 'construct function in test class';
echo "<br>";
}

function __destruct() {
echo 'destruct function in test class';
echo "<br>";
}

# 当需要输出得到对象名称时候会调用
function __toString() {
return $this->content;
}
}

$a = new test('test.txt', 'data');
echo $a."<br>";

结果：