ctfshow web274<?php
namespace think\process\pipes{
use think\model\Pivot;
class Windows
{
private $files = [];
public function __construct(){
$this->fil
原创
2023-11-13 16:11:12
98阅读
ctfshow web267用弱口令admin/admin可登录在about页面发现提示view-source访问提示页面?r=site%2Fabout&view-source页面提示///backdoor/shellunserialize(base64_decode($_GET['code']))因此构造payload必须先base64_encode再serializepayload获得
原创
2023-11-12 16:07:39
547阅读
ctfshow web271<?php
define('LARAVEL_START', microtime(true));
require __DIR__ . '/../vendor/autoload.php';
/*
|--------------------------------------------------------------------------
| Turn
原创
2023-11-13 13:18:04
164阅读
目录PHP面向对象PHP的序列化与反序列化序列化反序列化Phar反序列化POP链构造PHP面向对象PHP是
原创
2022-07-19 10:18:22
36阅读
以前我觉得成绩不重要，清华北大只能代表学生时代的成就，后来才发现，努力是种习惯，他会贯穿一生。。。
原创
2021-07-05 10:52:59
214阅读
前言最近又学习了新的漏洞知识——PHP反序列化漏洞，学习之余总结一下。什么是php反序列化漏洞php反序列化漏洞，又叫php对象注入漏洞。简单来讲，就是在php反序列化的时候，反
原创
2021-09-13 21:10:45
619阅读
以前我觉得成绩不重要，清华北大只能代表学生时代的成就，后来才发现，努
原创
2022-12-27 00:03:39
55阅读
0x00序列化所有php里面的值都可以使用函数serialize()来返回一个包含字节流的字符串来表示。unserialize()函数能够重新把字符串变回php原来的值。序列化一个对象将会保存对象的所有变量，但是不会保存对象的方法，只会保存类的名字。所有php里面的值都可以使用函数serialize()来返回一个包含字节流的字符串来表示。unserialize()函数能够重新把字符串变回php原来
原创
2018-05-22 10:47:45
1055阅读
【序列化简单利用】 serialize() 序列化：使用函
原创
2023-04-11 15:21:57
99阅读
2015年11月6日，FoxGlove Security安全团队的@breenmachine 发布的一篇博客[3]中介绍了如何利用Java反序列化漏洞，来攻击最新版的WebLogic、WebSphere、JBoss、Jenkins、OpenNMS这些大名鼎鼎的Java应用，实现远程代码执行。 然而事实上，博客作者并不是漏洞发现者。博客中提到，早在2015年的1月28号，Gabriel Law
转载
2023-06-13 10:13:43
154阅读
序列化与反序列化序列化用途：方便于对象在网络中的传输和存储java的反序列化序列化就是将对象转换为流，利于储存和传输的格式反序列化与序列化相反，将流转换为对象例如：json序列化、XML序列化、二进制序列化、SOAP序列化序列化：java.io.ObjectOutputStream 类中的 writeObject()该方法把对象序列化，将字节序列写到一个目标输出流中（.ser扩展名）反序列化：ja
转载
2023-09-24 11:12:15
15阅读
本文讲的是Java反序列化漏洞利用的学习与实践，利用DeserLab建议你在阅读本文之前，先阅读《攻击Java反序列化过程》，这样你就会对java反序列化有一个比较清晰的认识。除此之外，这篇文章还提到了一个“DeserLab”的演示应用。为了有效利用反序列化漏洞，理解序列化的原理以及反序列化漏洞利用的工作原理(如面向属性的编程原理)，研究人员就要找到一个可供模拟的实验环境，而“DeserLab”就
转载
2023-09-29 08:10:12
70阅读
的弱项之一，所以写一篇反序列化利用总结来深入学习一下简单介绍（反）序列化只是给我们传递对象提供了一种简单的方法。 ...
原创
2023-07-27 22:51:12
0阅读
序列化和反序列化本身没有问题，但是如果反序列化的1.内容是用户可以控制的，且后台2.不正当的使用了PHP中的魔法函数，就会导致安全问题。当传给unserialize()的3.参数可控时，可以通过传入一个精心构造的序列化字符串，从而控制对象内部的变量甚至是函数。存在漏洞的思路：一个类用于临时将日志储存进某个文件，当__destruct被调用时，日志文件将会被删除：Class logdataClass
原创
2023-08-21 18:33:40
242阅读
反序列化无论在CTF比赛中，抑或是实战渗透中都起着重要作用，而这一直都是我的弱项之一，所以写一篇反序列化利用总结来深入学习一下 <!-- more --> 简单介绍 （反）序列化只是给我们传递对象提供了一种简单的方法。 serialize()将一个对象转换成一个字符串 unserialize()将字 ...
转载
2021-07-28 17:27:00
1057阅读
2评论
PHP序列化格式 假设一个对象User具有以下属性： $user->name = "carlos"; $user->isLoggedIn = true; 序列化之后，对象可能如下所示： O:4:"User":2:{s:4:"name":s:6:"carlos"; s:10:"isLoggedIn": ...
转载
2021-08-23 15:28:00
328阅读
2评论
PHP反序列化漏洞也叫PHP对象注入，是一个非常常见的漏洞，这种类型的漏洞虽然有些难以利用，但一旦利用成功就会造成非常危险的后果。漏洞的形成的根本原因是程序没有对用户输入的反序列化字符串进行检测，导致反序列化过程可以被恶意控制，进而造成代码执行、getshell等一系列不可控的后果。反序列化漏洞并不是PHP特有，也存在于Java、Python等语言之中，但其原理基本相通一般程序在创建的时候，都会重
转载
2024-04-24 09:12:18
60阅读
通过一道 BUUCTF 的基础题，学习 PHP 反序列化最常用的利用方式，逐渐增加更多利用方式。 ...
转载
2021-08-09 22:48:00
876阅读
2评论
序列化与反序列化 为什么要进行序列化与反序列化：序列化的目的是方便数据的传输和存储。 PHP文件在执行结束以后就会将对象销毁，那么如果下次有一个页面恰好要用到刚刚销毁的对象就会束手无策，总不能你永远不让它销毁，等着你吧，于是人们就想出了一种能长久保存对象的方法，这就是PHP的序列化，那么当我们下次要 ...
转载
2021-09-15 21:57:00
976阅读
2评论
序列化和反序列化序列化：将对象转换成字节序列存储（文件、内存、数据库），对应 Java 原生序列化的 writeObject反序列化：将字节序列转换成对象，对应 Java 原生序列化的 readObject序列化作用不同系统、进程间的数据传输（RPC、HTTP ）Java RMI、Java Bean保存信息，便于 JVM 启动时直接使用序列化条件该类必须实现 java.io.Serializabl
转载
2023-09-18 21:37:22
160阅读
