flawopen.com/Deserialización insegura/PHP unserialize()

¿Es seguro PHP unserialize() con datos no confiables?

<?php
// Cookie content is controlled by the client.
$input = $_COOKIE['prefs'] ?? '';
$data = unserialize($input);

// Restoring an object may invoke its
// __unserialize() or __wakeup() method.
// Later object destruction may invoke __destruct().

// The risk depends on available classes,
// their serialized state, and reachable behavior.

<?php
$input = $_POST['prefs'] ?? null;
if (!is_string($input)) {
    http_response_code(400);
    exit;
}

try {
    $data = json_decode(
        $input,
        true,
        512,
        JSON_THROW_ON_ERROR
    );
} catch (JsonException $e) {
    http_response_code(400);
    exit;
}

if (!is_array($data)) {
    http_response_code(400);
    exit;
}

// Validate required keys and value types here.

Qué requiere una cadena de inyección de objetos en PHP

El riesgo de inyección de objetos no implica ejecución automática de código. El valor serializado debe nombrar una clase que PHP pueda resolver y que esté permitida por las opciones de deserialización; además, la restauración o el uso posterior debe alcanzar un comportamiento con impacto de seguridad. PHP puede llamar a __unserialize() o __wakeup() al restaurar el objeto; __destruct() puede ejecutarse al destruirlo y __toString() solo cuando se usa en un contexto de cadena.

Una cadena Property-Oriented Programming (POP) enlaza comportamientos ya presentes en la aplicación o en sus dependencias cargadas. La explotabilidad depende de las clases reales, las propiedades serializadas, la ruta de llamadas y las condiciones de ejecución. Hay que demostrar una cadena de gadgets para el objetivo; la mera presencia de unserialize() no basta.

Por qué filtrar la cadena o usar allowed_classes no es una solución completa

Bloquear un marcador visible como O:, filtrar nombres de clases o limitar la longitud no valida de forma segura la serialización PHP. Además, PHP advierte explícitamente que no se deben pasar datos no confiables a unserialize(), independientemente de allowed_classes. Si una clase no está permitida, PHP crea un objeto __PHP_Incomplete_Class; la estructura se sigue analizando. Para datos heredados confiables, valida la forma resultante y limita la profundidad. Prefiere JSON para estado del cliente.

Preguntas frecuentes

Referencias

• Manual de PHP — unserialize()
• Manual de PHP — métodos mágicos
• Manual de PHP — decodificación JSON
• Manual de PHP — __PHP_Incomplete_Class
• OWASP — inyección de objetos PHP
• CWE-502 — deserialización de datos no confiables
• ¿Es seguro Python pickle con datos no confiables?
• ¿Es seguro Java ObjectInputStream con datos no confiables?