ctf php反序列化怎么绕过？看懂这篇轻松拿分！

发布日期： 2025-10-20 阅读量： 作者： admin

今天抽空搞了个CTF题，是关于PHP的，想着正好练练手，顺便记录下过程，免得以后忘了。

拿到题目，打开一看，是个挺常见的Web应用。随便点了点，注册登录啥的都试试，看看有没有啥明显漏洞。捣鼓了一阵子，发现有个功能点，提交的数据好像后台会用PHP处理，而且看样子有点像之前遇到过的反序列化操作。

这下有点感觉了，我赶紧去找找相关的代码，或者尝试构造点序列化的数据提交看看反应。果然，通过一些报错信息和黑盒测试，基本能确定这里用了PHP的 `unserialize()` 函数来处理我提交的部分数据。

找到关键代码

运气不错，题目还给了部分源码。我瞅了瞅，发现里面定义了一个类，就叫 `ExampleClass` ，里面有几个属性，还有一个关键的魔术方法 `__wakeup()`。这个 `__wakeup()` 方法就挺烦人的，它会在反序列化之后自动执行，代码里写的是如果检测到某个关键属性被改了，就直接把它重置或者退出执行，这明显是出题人用来阻挠直接利用反序列化改属性的路子。

绕过__wakeup

看到 `__wakeup()`，我脑子里第一个闪过的就是那个经典的绕过技巧：属性数量欺骗。简单说，就是 PHP 在反序列化一个对象时，会先检查序列化字符串里标记的属性个数。如果这个标记的个数大于实际存在的属性个数，`__wakeup()` 方法就不会被调用。这算是个PHP的特性，或者说是个小缺陷。

找到方法就好办了。我先正常实例化一个 `ExampleClass` 对象，然后用 `serialize()` 把它序列化，得到一个字符串。比如它原本有3个属性，序列化出来类似这样：`O:12:"ExampleClass":3:{...}`。这里的 `3` 就是属性个数。我要做的就是把这个 `3` 手动改成一个比它大的数字，比如 `4`：`O:12:"ExampleClass":4:{...}`。这样构造好之后，再把这个修改过的字符串提交给那个反序列化点。

处理私有属性

绕过 `__wakeup()` 只是第一步。我看了看 `ExampleClass` 里的代码，发现我想要控制的那个关键属性，它是个 私有属性（private）。这就又带来一个问题。PHP 在序列化私有属性的时候，它的名字会有点特殊，格式大概是 `%00类名%00属性名`（这里的 `%00` 代表空字节）。直接在序列化字符串里按 `s:属性名长度:"属性名"` 这样改是行不通的。

这个也好解决。我得按照那个特殊的格式来构造序列化字符串里关于这个私有属性的部分。比如类名叫 `ExampleClass`，私有属性名叫 `secretVar`，那么在序列化字符串里，表示这个属性名的部分就得写成 `s:长度:"\00ExampleClass\00secretVar"` 这样子，注意那个长度是包含了两边的空字节和类名的总长度。我手动计算好长度，把这个特殊格式的名字和我想要赋的值一起塞进我之前改好属性数量的序列化字符串里。

第一步：先正常序列化一个对象。
第二步：修改序列化字符串，把代表属性数量的数字改大。
第三步：找到要修改的私有属性，在字符串里用 `\00类名\00属性名` 的格式表示它，并计算好对应的字符串长度。
第四步：把想要的值赋给这个私有属性。

把这几步都做构造出一个最终的Payload字符串，然后提交。试了一下，服务器那边果然没再执行 `__wakeup()` 里的干扰代码，而且我想要修改的那个私有属性也被成功赋予了我设定的值，达到了利用的目的。

这回实践就是把两个常见的PHP反序列化绕过技巧结合着用了一下：一个是属性数量绕过 `__wakeup`，另一个是处理私有/保护属性名的问题。虽然都是老知识点了，但实际操作一遍还是能加深理解。CTF里的PHP题花样确实多，这些基础的东西必须得多练练，不然真到比赛的时候遇到可能就卡壳了。

上一篇: 不懂企业网站seo技巧怎么办？高手教你轻松优化！

下一篇: 东莞网站建站公司怎么选？注意这几个关键点！

ctf php反序列化怎么绕过？看懂这篇轻松拿分！

随便看看