有人可以利用我下面的反序列化代码吗

Question

根据unserialize (http://php.net/manual/en/function.unserialize.php) 上的 PHP.net 手册，经过几次谷歌搜索后发现 - unserialize 代码可以被利用。

我没有太多关于黑客如何利用unserialize 代码的信息。我只是害怕，因为我使用的是来自外部用户输入的反序列化代码。

下面是我的代码，我想知道这个代码是否可以被利用：

<?php

if(filter_var($_GET['url'], FILTER_VALIDATE_URL)) {

    // $_GET['url'] = 'http://example.com/page/1.html'
    $html = file_get_contents($_GET['url']); 

    $doc = new DOMDocument();
    $encode = mb_convert_encoding($html, 'HTML-ENTITIES', "UTF-8");
    libxml_use_internal_errors(true);
    $doc->loadHTML($encode);
    libxml_clear_errors();

    $nodes = $doc->getElementsByTagName('title');
    $title = strtolower($nodes->item(0)->nodeValue);

    // storing in mysqli database
    // hiding mysql code.. 
    $serialize = serialize(['icon' => 'check', 'data' => $title]);

    // fetching from mysqli database.
    // hiding other mysql code..
    $row = $fetch->fetch_assoc();
    $unserialize = unserialize($row['title']);
}

黑客能否制作“恶意标题”标签并提供其 URL 以利用我的反序列化代码？

更新：我正在为 mysql 使用PDO，这没问题。我担心的是来自外部网站title html 标记的反序列化代码，对此我无法控制。

Answer 1

如果攻击者能够以某种方式将特制字符串直接获取到您的数据库中，可能是通过次要的、不相关的漏洞，那么在您从数据库中获取该字符串时unserializeing 该字符串可能会导致对象/代码注入.

只有在您确定自己之前也对其进行过序列化的情况下，您才能信任要反序列化的数据。现在，您如何确定您从数据库中获取的数据之前已经被可信方序列化了？这取决于系统的整个其余部分，不会为攻击者提供绕过序列化的可利用方法。本质上，您无法确定谁对数据库中的数据进行了序列化。此处缺少的微小完整性检查加上那里看起来无害的代码可能共同导致漏洞。

更好的解决方案是使用像 JSON 这样的无漏洞数据格式。它纯粹是描述数据，没有机会往里面注入任何代码相关的东西。

Answer 2

很多非常好的 cmets，我很惊讶还没有人回答。

黑客可以制作“恶意标题”标签并提供他的 URL 来利用我的反序列化代码吗？

没有。

我假设您指的是PHP Object Injection 漏洞。这是关于直接反序列化不受信任的输入。在这种情况下，你正在反序列化你自己序列化的东西，所以你很好。以下是它的表现：

1. 攻击者制作恶意标题
2. 你序列化它
3. 您将其反序列化 - 此时它仍然是相同的恶意标题作为字符串。您需要再次对其进行反序列化，以便它成为一个对象并且您的代码存在风险。

我还是建议使用 JSON，因为它更标准（例如，更容易从另一种语言中使用）。

现在真正的问题是：

黑客能否制作恶意标题标签来利用某事（不一定是unserialize）

答案是是的，这就是为什么在使用用户提供的标题时始终需要防范 XSS 和 SQL 注入的原因。

话虽如此，在我看来，真正的漏洞在于您验证 URL 的方式。 filter_var($_GET['url'], FILTER_VALIDATE_URL) 会很乐意验证一个 URL，例如 file:///var/www/index.html。因此，您的代码允许用户读取您服务器上的任何文件。

ftp://、ssh:// 等其他协议也是如此。它完全容易被滥用。