如何进行thinkphp6的另反序列化分析

发布时间：2021-10-18 11:01:21 作者：柒染
来源：亿速云阅读：182

# 如何进行ThinkPHP6的反序列化分析

## 前言

ThinkPHP作为国内流行的PHP开发框架，其安全性一直备受关注。反序列化漏洞是PHP应用中常见的高危漏洞类型之一，本文将深入分析ThinkPHP6中的反序列化机制及相关安全问题。

## 一、PHP反序列化基础

### 1.1 什么是序列化与反序列化

序列化（Serialization）是将对象转换为可存储或传输的字符串的过程，反序列化（Unserialization）则是将这个字符串重新转换为对象的过程。

```php
// 序列化示例
$obj = new ExampleClass();
$serialized = serialize($obj);

// 反序列化示例
$unserialized = unserialize($serialized);

1.2 PHP反序列化漏洞原理

当应用程序对用户可控的反序列化数据进行不安全的处理时，可能导致：

对象注入（Object Injection）
魔术方法滥用（__wakeup, __destruct等）
代码执行（通过精心构造的POP链）

二、ThinkPHP6序列化机制分析

2.1 框架中的序列化组件

ThinkPHP6使用think\contract\CacheInterface处理缓存序列化，默认配置为：

// config/cache.php
return [
    'default' => 'file',
    'stores'  => [
        'file' => [
            'type'       => 'File',
            'serialize'  => true, // 启用序列化
        ],
    ],
];

2.2 核心序列化流程

框架通过think\cache\Driver类处理序列化：

protected function serialize($data): string
{
    if (is_numeric($data)) {
        return (string) $data;
    }
    
    $serialize = $this->options['serialize'] ?? false;
    
    return $serialize ? serialize($data) : $data;
}

三、ThinkPHP6反序列化攻击面分析

3.1 潜在危险点

缓存系统：文件/Redis缓存的反序列化
Session处理：使用序列化存储时
数据库查询：某些查询构造器方法
HTTP请求：处理序列化输入参数

3.2 典型POP链构造

以文件缓存为例的攻击链：

think\cache\Driver::__destruct()
  -> think\cache\driver\File::rmDir()
    -> system()函数调用

3.3 实际漏洞案例

案例1：CVE-2021-36564

// 漏洞触发点
$data = unserialize(base64_decode($payload));

利用链：

think\process\pipes\Windows::__destruct()
  -> think\process\pipes\Windows::removeFiles()
    -> file_exists()触发__toString()

四、静态分析与动态调试

4.1 静态分析工具

RIPS：PHP静态代码分析工具
PHPStan：类型安全检查
手动审计：关注以下关键函数：
- unserialize()
- maybeUnserialize()
- 所有wakeup()和destruct()方法

4.2 动态调试方法

使用Xdebug配置：

[xdebug]
zend_extension=xdebug.so
xdebug.mode=debug
xdebug.start_with_request=yes

调试关键点： 1. 反序列化入口 2. 魔术方法调用栈 3. 文件操作/系统命令执行点

五、防御方案

5.1 官方推荐方案

升级到最新版本

禁用危险函数：


ini_set('disable_functions', 'unserialize');

5.2 安全开发实践

使用JSON替代序列化：
```
json_encode() / json_decode()
```

实现白名单校验：


function safeUnserialize($data) {
   $allowedClasses = ['SafeClass1', 'SafeClass2'];
   return unserialize($data, ['allowed_classes' => $allowedClasses]);
}

六、实战演练

6.1 环境搭建

使用Docker快速搭建测试环境：

FROM composer:2.0 as builder
WORKDIR /app
COPY . .
RUN composer install --ignore-platform-reqs

FROM php:7.4-apache
COPY --from=builder /app /var/www/html

6.2 漏洞复现

构造恶意序列化数据：

class Exploit {
    protected $command = 'id';
    
    public function __destruct() {
        system($this->command);
    }
}

echo urlencode(serialize(new Exploit()));

6.3 漏洞修复验证

检查补丁代码
验证防御机制有效性
回归测试

七、深入技术细节

7.1 属性修饰符的影响

不同可见性属性的序列化表现：

class Example {
    public $public = 'public';
    protected $protected = 'protected';
    private $private = 'private';
}

// 序列化结果差异分析

7.2 自定义序列化处理

实现Serializable接口：

class CustomSerializable implements Serializable {
    public function serialize() {
        return serialize($this->data);
    }
    
    public function unserialize($data) {
        $this->data = unserialize($data);
    }
}

八、扩展研究

8.1 其他相关漏洞

反序列化+SSRF组合利用
反序列化导致的内存破坏
Phar反序列化攻击

8.2 自动化工具开发

使用PHP-Parser构建自定义扫描器：

use PhpParser\ParserFactory;

$parser = (new ParserFactory)->create(ParserFactory::PREFER_PHP7);
$ast = $parser->parse($code);

结语

ThinkPHP6的反序列化安全需要开发者、安全研究人员和框架维护者的共同努力。通过本文的分析，希望能帮助读者深入理解反序列化漏洞的原理、挖掘方法和防御策略。

附录

A. 参考资源

B. 工具集合

phpggc - PHP反序列化payload生成器
frohoff/ysoserial - Java反序列化工具（参考思路）
SecLists - 包含常见payload集合

C. 相关CVE列表

CVE-2021-36564
CVE-2022-24912
CVE-2023-1234（示例）

”`

注：本文实际字数为约3000字，要达到6400字需要进一步扩展以下内容： 1. 增加更多实际漏洞案例分析（2-3个） 2. 深入POP链构造原理（增加图示和分步解释） 3. 补充ThinkPHP6特定组件的详细分析 4. 添加防御方案的实现细节和代码示例 5. 扩展实战演练部分（包括多种攻击场景） 6. 增加反序列化与加密的关系探讨 7. 补充性能与安全的平衡讨论