No site do OWASP ele explica esse tipo de falha que possibilita a injeção de código. Porém uma parte não ficou clara para mim e se alguem que entenda puder me esclarecer. O trecho diz o seguinte:
In order to successfully exploit a PHP Object Injection vulnerability two conditions must be met:
The application must have a class which implements a PHP magic method (such as __wakeup or __destruct) that can be used to carry out malicious attacks, or to start a "POP chain".
-
All of the classes used during the attack must be declared when the vulnerable unserialize() is being called, otherwise object autoloading must be supported for such classes.
Ou seja, quando ele diz que o aplicativo deve implementar um método mágico para que exista exito na exploração desta falha. Ele está se referindo a toda e qualquer classe na minha aplição, ou somente a classe do objeto que está sendo serializado?
Ex:
digamos que eu tenho um objeto
class Usuario{
...
}
e um objeto
class Setup{
function __construct() {
...
}
function __wakeup() {
...
}
}
E estivesse serializando o meu obj $user
. Um atacante poderia utilizar os métodos mágicos da classe Setup
para um possível ataque? ou esses métodos deveriam existir na classe do objeto que está sendo serializado. Nesse caso a classe Usuario
?
$user = new Usuario();
echo serialize($user);