serialize()함수 취약점(1) php

출처: https://velog.io/@woounnan/WEB-PHP-Serialization

https://dreamhack.io/lecture/courses/15

serialize()함수

serialize란  직렬화라는 의미를 가지고 있다.

serialize()함수는 객체나 데이터의 상태나 타입을 특정한 형태의 포맷을 가진 데이터로 변환하는 것을 의미한다.

serialize($value) : string

인자로 전달된 값을 직렬화 시켜 문자열로 변환한다.

deserialize()함수

serialize()함수의 반대로, 직렬화된 데이터를 원래의 상태나 타입으로 변환하는 것을 의미한다.

직렬화된 데이터를 원하는 상황에 역직렬화해 동일한 상태나 타입을 가진 데이터를 사용할 수 있다.

serialize()함수의 취약점은 magic method를 사용할 때 발생한다.

Magic Method

magic method란 클래스를 언어의 빌트인 타입과 같은 작동을 하게 만들어주는 메소드이다.

"__name__" 나 "__init__" 함수가 magic method이다.

Object Injection

오브젝트란 클래스가 인스턴스화된 객체를 말한다. 즉, 클래스를 생성해 만든 하나의 객체를 말한다.

이 객체에 있는 메소드,변수등이 serialize()에 의해 직렬화되어 데이터를 주고받는 형태의 코드를 작성할 수 있게 되었다.

이 때 변조되거나 악의적인 오브젝트를 전달하면 서버는 조작된 값을 받아 실행한다.

예제

<?php

class Test{

var $var1 = "value1";

var $var2 = 31337;

var $var3 = True;

}

$obj = new Test();

var_dump(serialize($obj));

/*

string(73) "0:4:"Test":3:{s:4:"var1";s:6:"value1";s:4:"var2;i:5:31337;s:4:"var3";b:1;}"

*/

?>

obj 객체를 serialize시킨 데이터를 변조하여 obj의 데이터를 변조할 수 있다.

<?php

class Test{

var $var1 = "value1";

var $var2 = 31337;

var $var3 = True;

}

$obj = new Test();

$serialize_data = "0:4:"Test":3:{s:4:"var1";s:6:"Fals";s:4:"var2";i:5:77777;s:4:"var3";b:0;}"

$obj = unserialize($serialize_data); //직렬화된 데이터를 역직렬화한 후 객체에 넣어준다.

var_dump($obj);

/*

"0:4:"Test":3:{s:4:"var1";s:6:"Fals";s:4:"var2";i:5:77777;s:4:"var3";b:0;}"

변조된 데이터가 출력된다.

*/

deserialize공격에서는 객체의 특수한 상황에서 실행되는 magic method를 사용한다.

__destruct() ==> 소멸자의 개념으로 오브젝트 소멸 시 호출된다.

__wakeup() ==> 역직렬화 시 호출된다.

unserialize에 의해 호출되는 wakeup() 메소드 로직의 취약점이 존재하거나, 클래스의 데이터를 조작하여 공격을 진행한다.