1

No site do OWASP ele explica esse tipo de falha que possibilita a injeção de código. Porém uma parte não ficou clara para mim e se alguem que entenda puder me esclarecer. O trecho diz o seguinte:

In order to successfully exploit a PHP Object Injection vulnerability two conditions must be met:

The application must have a class which implements a PHP magic method (such as __wakeup or __destruct) that can be used to carry out malicious attacks, or to start a "POP chain".

-

All of the classes used during the attack must be declared when the vulnerable unserialize() is being called, otherwise object autoloading must be supported for such classes.

Ou seja, quando ele diz que o aplicativo deve implementar um método mágico para que exista exito na exploração desta falha. Ele está se referindo a toda e qualquer classe na minha aplição, ou somente a classe do objeto que está sendo serializado?

Ex:

digamos que eu tenho um objeto

class Usuario{
   ...
}

e um objeto

class Setup{
   function __construct() {
     ...
  }

  function __wakeup() {
     ...
  }
}

E estivesse serializando o meu obj $user. Um atacante poderia utilizar os métodos mágicos da classe Setup para um possível ataque? ou esses métodos deveriam existir na classe do objeto que está sendo serializado. Nesse caso a classe Usuario?

$user = new Usuario();
echo serialize($user);

1 Resposta 1

3

A classe já deve existir, com os métodos mágicos, essa é a única coisa que precisa, em geral.

Imagina que tenha isto:

class Teste {

    public  $nome = '';

    public function __destruct(){
        echo 'Olá, ' . $this->nome;
    }

}

Se fizer isto:

$id = unserialize($_GET['token']);

Um usuário poderia fazer isso:

pagina.php?token=O:5:"Teste":1:{s:4:"nome";s:28:"Isso%20aqui%20está%20meio%20bugadao";}

Resultaria nisso:

Olá, Isso aqui está meio bugadao

Teste isto aqui.


O:5:"Teste":1:{                       Objeto com 5 caracteres, nome de  "Teste" com 1 parâmetro 
s:4:"nome";                           String com 4 caracteres com valor "nome".
s:28:"Isso aqui está meio bugadao";}  String com 28 caracteres com valor "Isso aqui está meio bugadao".

O unserialize não é recomendado para se utilizar em contato com o cliente (não use em POST/GET/COOKIE, qualquer coisa onde o cliente pode altera-lo), inclusive na própria documentação:

Do not pass untrusted user input to unserialize() regardless of the options value of allowed_classes. Unserialization can result in code being loaded and executed due to object instantiation and autoloading, and a malicious user may be able to exploit this. Use a safe, standard data interchange format such as JSON (via json_decode() and json_encode()) if you need to pass serialized data to the user.

If you need to unserialize externally stored serialized data, consider to use hash_hmac() for data validation. Make sure data is not modified by anyone, but you.

Nem mesmo o DateTime/DateTimeZone escapou com o unserialize.

Se realmente essa for a única opção tenha certeza de que está verificando a integridade o conteúdo a ser "unserializado", lembre-se que utilizar openssl_encrypt pode garantir confidencialidade, mas pode não garantir integridade, tornando inútil! Tenha certeza de que o conteúdo não foi alterado, usando HMAC por exemplo.

Entretanto, como uma melhor alternativa você tem o json_decode/json_encode, apesar de também haver alguns problemas (o que me recordo é que ele é vulnerável a Hash-DoS) com o json_* são bem menos grave, mas o unserialize também já foi (se não ainda é) vulnerável há alguns DoS.

Acredito que pode obter algumas informações em:

1
  • Muito bom @Inkeliz! Obrigado pelos esclarecimentos. Porém eu não uso a function unserialize() diretamente. Eu tenho um include de uma página header em várias páginas. Nesta página header eu chamo um objeto apenas para buscar um valor get. Porém, bastou isso para o Burp Suite entender e classificar isso como 'Serialized object in HTTP message'. Eu acredito q quando eu uso o include chamando uma página q faz instancia a um obj o próprio PHP utiliza a function unserialize() por trás dos panos. Mas n tem certeza se é isso msm. :/
    – alan
    Commented 24/04/2017 às 13:40

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .