深入讲解PHP的对象注入(Object Injection)

前言

虽然这篇文章叫做PHP对象注入，但是本质上还是和PHP的序列化的不正确使用有关。如果你阅读了PHP中的SESSION反序列化机制对序列化就会有一个大致的认识。PHP对象注入其实本质上也是由于序列化引起的。

基础知识

在php类中可能会存在一些叫做魔术函数(magic 函数)，这些函数会在类进行某些事件的时候自动触发，例如__construct()会在一个对象被创建时调用， __destruct()会在一个对象销毁时调用， __toString当对象被当做一个字符串的时候被调用。常见的魔术函数有__construct() 、 __destruct() 、 __toString() 、 __sleep() 、 __wakeup() 。

举例如下：

<?phpclass test{ public $varr1="abc"; public $varr2="123"; public function echoP(){  echo $this->varr1."<br>"; } public function __construct(){  echo "__construct<br>"; } public function __destruct(){  echo "__destruct<br>"; } public function __toString(){  return "__toString<br>"; } public function __sleep(){  echo "__sleep<br>";  return array('varr1','varr2'); } public function __wakeup(){  echo "__wakeup<br>"; }}$obj = new test();  //实例化对象，调用__construct()方法，输出__construct$obj->echoP();   //调用echoP()方法，输出"abc"echo $obj;    //obj对象被当做字符串输出，调用__toString()方法，输出__toString$s =serialize($obj);  //obj对象被序列化，调用__sleep()方法，输出__sleepecho unserialize($s);  //$s首先会被反序列化，会调用__wake()方法，被反序列化出来的对象又被当做字符串，就会调用_toString()方法。// 脚本结束又会调用__destruct()方法，输出__destruct?>

原理

为什么会用到序列话这样的方法？主要就是就是方便进行数据的传输，并且数据恢复之后，数据的属性还不会发生变化。例如，将一个对象反序列化之后，还是保存了这个对象的所有的信息。同时还可以将序列化的值保存在文件中，这样需要用的时候就可以直接从文件中读取数据然后进行反序列化就可以了。在PHP使用serialize()和unserialize()来进行序列化和反序列化的。

而序列化的危害就在于如果序列化的内容是用户可控的，那么用户就可以注入精心构造的payload。当进行发序列化的时候就有可能会出发对象中的一些魔术方法，造成意想不到的危害。

对象注入

本质上serialize()和unserialize()在PHP内部实现上是没有漏洞的，漏洞的主要产生是由于应用程序在处理对象、魔术函数以及序列化相关问题的时候导致的。

如果在一个程序中，一个类用于临时将日志存储进某个文件中，当