CTF反序列化：一场关于信任的序列攻防游戏

PHP的`unserialize()`函数，在CTF赛题里几乎成了送分题和送命题的序列分水岭。别被“反序列化”这个术语唬住，序列说白了就是序列：程序把一段字符串还原成对象。问题在于，序列这段字符串里藏着什么，序列完全取决于攻击者的序列想象力。

拿最常见的序列`__wakeup()`和`__destruct()`魔法方法来说。前者在对象被还原时自动触发，序列后者在对象销毁时执行。序列攻击者要做的序列，就是序列精心构造一个序列化字符串，让这些魔法方法执行他们想要的序列代码。比如某个类里有`eval($_POST['cmd'])`这种危险代码，序列你只需要把它的序列属性值改一改，再序列化出来，提交给目标站点。目标站点一调用`unserialize()`，你就拿到webshell了。

但真正的高手早就不玩这种直白套路了。他们玩“POP链”——Property-Oriented Programming，面向属性编程。听起来玄乎，其实类比一下：你手头只有几个普通的类，每个类里有些看似无害的方法调用链。A方法里调用了B方法，B方法又调用了C方法，C方法最后执行了`system('cat /flag')`。你不需要直接碰到危险函数，只需要找到一条从可控输入到危险函数的路。

我见过最巧妙的赛题，把反序列化藏在文件上传功能里。选手上传一个图片，服务端读取图片的EXIF信息，然后把这个信息数组序列化后存进session。你只要在图片的注释字段里塞入精心构造的序列化payload，就能覆盖session数据。整场比赛只有三个人做出来，不是因为难，而是因为没人想到攻击点会藏在图片元数据里——这就是反序列化题目的魅力，它考验的不是技术深度，而是思维广度。

还有个容易踩的坑：PHP的`__wakeup()`在版本差异下行为不同。7.4之前，如果对象属性个数大于实际值，就能绕过`__wakeup()`的执行。很多老题用这个特性，但新版本PHP修复了。赛题环境一变，老解法直接失效。所以打CTF反序列化题，第一件事是确认PHP版本，其次是看有没有`phar://`协议可利用——phar文件的反序列化不需要`unserialize()`函数，只要文件操作函数碰到phar流包装器就会触发。

防御角度其实很简单：永远不要反序列化不可信数据。但现实是，框架本身就在用序列化存session、缓存、cookie。所以真正要做的，不是禁止使用，而是确保类白名单里没有危险方法。Java那边用`ObjectInputStream`做类过滤，PHP这边可以用`allowed_classes`参数设为`false`，或者干脆用`json_decode`替代。可赛题里，出题人偏偏会留一个能让你构造出危险链的类——这就是出题人和解题人的猫鼠游戏。

打多了你会发现，反序列化题的本质是代码审计加逻辑推理。你不光要读懂代码，还得像个侦探一样，把散落在各个类中的方法调用关系拼凑成一条完整的攻击链。那种感觉，有点像用乐高搭出一把能开锁的钥匙——每一块积木都是现成的，关键是你得知道该把哪块插在哪。

最后说个实战技巧：遇到反序列化题先别急着找payload，先把所有类的魔法方法列出来，画个调用关系图。哪个方法能控制参数，哪个方法能触发危险函数，中间需要经过几层跳板。思路畅通了，写exp就是水到渠成的事。毕竟，反序列化攻击不是写代码，是拼逻辑。