flawopen.com/असुरक्षित deserialization/PHP unserialize()

क्या PHP unserialize() अविश्वसनीय input के लिए सुरक्षित है?

<?php
// Cookie content is controlled by the client.
$input = $_COOKIE['prefs'] ?? '';
$data = unserialize($input);

// Restoring an object may invoke its
// __unserialize() or __wakeup() method.
// Later object destruction may invoke __destruct().

// The risk depends on available classes,
// their serialized state, and reachable behavior.

<?php
$input = $_POST['prefs'] ?? null;
if (!is_string($input)) {
    http_response_code(400);
    exit;
}

try {
    $data = json_decode(
        $input,
        true,
        512,
        JSON_THROW_ON_ERROR
    );
} catch (JsonException $e) {
    http_response_code(400);
    exit;
}

if (!is_array($data)) {
    http_response_code(400);
    exit;
}

// Validate required keys and value types here.

PHP object-injection chain के लिए क्या आवश्यक है

Object injection का अर्थ अपने-आप code execution नहीं है। Serialized value में ऐसा class होना चाहिए जिसे PHP resolve कर सके और विकल्प अनुमति दें; restoration या बाद का उपयोग भी सुरक्षा-प्रभाव वाले व्यवहार तक पहुँचना चाहिए। Object बहाल करते समय PHP __unserialize() या __wakeup() चला सकता है; नष्ट होने पर __destruct() और string context में उपयोग पर __toString() चल सकता है।

Property-Oriented Programming (POP) chain ऐप या लोड की गई dependencies में पहले से मौजूद व्यवहार को जोड़ती है। Exploitability वास्तविक classes, serialized properties, call path और runtime शर्तों पर निर्भर है। लक्ष्य के लिए gadget chain साबित करनी होगी; केवल unserialize() की मौजूदगी पर्याप्त प्रमाण नहीं।

String filtering और allowed_classes पूरा समाधान क्यों नहीं हैं

O: जैसे marker रोकना, class नाम filter करना या string की लंबाई सीमित करना PHP serialization को सुरक्षित रूप से validate नहीं करता। PHP स्पष्ट रूप से चेतावनी देता है कि allowed_classes की परवाह किए बिना अविश्वसनीय input को unserialize() में न दें। निषिद्ध class का object __PHP_Incomplete_Class बनता है, पर संरचना फिर भी parse होती है। विश्वसनीय legacy data में परिणाम का आकार validate करें और गहराई सीमित करें। Client state के लिए JSON चुनें।

अक्सर पूछे जाने वाले प्रश्न

संदर्भ

• PHP मैनुअल — unserialize()
• PHP मैनुअल — magic methods
• PHP मैनुअल — JSON decoding
• PHP मैनुअल — __PHP_Incomplete_Class
• OWASP — PHP object injection
• CWE-502 — अविश्वसनीय डेटा का deserialization
• क्या Python pickle अविश्वसनीय डेटा के लिए सुरक्षित है?
• क्या Java ObjectInputStream अविश्वसनीय डेटा के लिए सुरक्षित है?