文章目录

  • ​​过滤后字符变多​​
  • ​​过滤后字符变少​​

过滤后字符变多

首先给出本地的php代码，很简单不做过多的解释，就是把反序列化后的一个x替换成为两个

<?php

function change($str){
    return str_replace("xx","3",$str);
}

$name = $_GET['name'];
$age = "I am 11";
$arr = array($name,$age);
echo "反序列化字符串：";
var_dump(serialize($arr));
echo "<br/>";
echo "过滤后:";
$old = change(serialize($arr));
$new = unserialize($old);
var_dump($new);
echo "<br/>此时，age=$new[1]";

正常情况下

PHP反序列化字符逃逸学习_字符串

如果此时多传入一个x的话会怎样，毫无疑问反序列化失败，由于溢出(s本来是4结果多了一个字符出来)，我们可以利用这一点实现字符串逃逸

PHP反序列化字符逃逸学习_字符串_02

首先看看效果

PHP反序列化字符逃逸学习_字符串_03

我们传入​​name=hggxxxxxxxxxxxxxxxxxxxx";i:1;s:6:"woaini";}​​​​";i:1;s:6:"woaini";}​​这一部分一共二十个字符
由于一个x会被替换为两个，我们输入了一共20个x，现在是40个，多出来的20个x其实取代了我们的这二十个字符​​";i:1;s:6:"woaini";}​​，从而造成​​";i:1;s:6:"woaini";}​​的溢出，而​​"​​闭合了前串，使得我们的字符串成功逃逸，可以被反序列化，输出​​woaini​​ Add:
最后的​​;}​​闭合反序列化全过程导致原来的​​";i:1;s:7:"I am 11";}"​​被舍弃，不影响反序列化过程`

过滤后字符变少

<?php

function change($str){
    return str_replace("xx","3",$str);
}

$arr['name'] = $_GET['name'];
$arr['age'] = $_GET['age'];
echo "反序列化字符串：";
var_dump(serialize($arr));
echo "<br/>";
echo "过滤后:";
$old = change(serialize($arr));
var_dump($old);
echo "<br/>";
$new = unserialize($old);
var_dump($new);
echo "<br/>此时，age=";
echo $new['age'];

这是正常的情况，

PHP反序列化字符逃逸学习_字符串_04

加了两个x后

PHP反序列化字符逃逸学习_php_05

老规矩看看最后的效果

PHP反序列化字符逃逸学习_php_06


简单来说，就是前面少了一半，导致后面的字符被吃掉，从而执行了我们后面的代码；

我们来看，这部分是age序列化后的结果

PHP反序列化字符逃逸学习_php_07


由于前面是40个x所以导致少了20个字符，所以需要后面来补上，这一部分刚好20个，后面由于有​​"​​闭合了前面因此后面的参数就可以由我们自定义执行了

PHP反序列化字符逃逸学习_字符串_08