题目如下： 主要是涉及了一个PHP对象深浅拷贝，文章： 直接构造POC： ...
分类：
Web程序 时间：
2018-08-04 11:49:37
阅读次数：
458
ref:https://www.anquanke.com/post/id/84922 PHP反序列化漏洞成因及漏洞挖掘技巧与案例 一、序列化和反序列化 序列化和反序列化的目的是使得程序间传输对象会更加方便。序列化是将对象转换为字符串以便存储传输的一种方式。而反序列化恰好就是序列化的逆过程,反序列化会 ...
分类：
Web程序 时间：
2018-05-15 15:53:46
阅读次数：
231
通过PHP反序列化进行远程代码执行 通过PHP反序列化进行远程代码执行 0×00 前言 在NotSoSecure，我们每日都会进行渗透测试或代码审查，不过最近我们遇到了一段有趣的PHP代码，它可能会导致远程代码执行（RCE）漏洞，但对它进行利用却有点棘手。 在经历了几个试图破解这段代码的不眠之夜后， ...
分类：
Web程序 时间：
2018-04-20 11:44:19
阅读次数：
292
function mb_unserialize($serial_str) { $serial_str= preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str ); $serial_str= s... ...
分类：
Web程序 时间：
2018-01-12 11:23:02
阅读次数：
200
前言最早知道这个漏洞是在一个微信群里，说是install.php文件里面有个后门，看到别人给的截图一看就知道是个PHP反序列化漏洞，赶紧上服务器看了看自己的博客，发现自己也中招了，相关代码如下：然后果断在文件第一行加上了die:<?phpdie(‘404NotFound!‘);?>今天下午刚好空..
分类：
系统相关 时间：
2017-11-17 11:59:17
阅读次数：
288
聊一聊PHP反序列化漏洞 2016年11月4日 反序列化漏洞在各种语言中都较为常见，下面就简单聊一聊PHP的反序列化漏洞(PHP对象注入)。第一次了解这个洞还是在某次ctf上，就简单记录下个人理解以及对CVE-2016-7124的简单分析。 序列化与反序列化 php允许保存一个对象方便以后重用，这个 ...
分类：
Web程序 时间：
2017-11-03 18:56:54
阅读次数：
194
serialize：序列化 unserialize： 反序列化 简单解释: serialize 把一个对象转成字符串形式， 可以用于保存 unserialize 把serialize序列化后的字符串变成一个对象 我们来看一个实例: 上面例子是创建一个类， 并输出 filename的值 ， 最后输出序 ...
分类：
Web程序 时间：
2017-07-06 10:12:24
阅读次数：
374
0x01 前言 前天学校的ctf比赛，有一道题是关于php反序列化漏洞绕过wakeup,最后跟着大佬们学到了一波姿势。。 0x02 原理 序列化与反序列化简单介绍 序列化:把复杂的数据类型压缩到一个字符串中 数据类型可以是数组，字符串，对象等 函数 : serialize() 反序列化:恢复原先被序 ...
分类：
Web程序 时间：
2017-05-10 19:50:52
阅读次数：
668
