wgpsec/php-serialization-audit

PHP 序列化与模板类漏洞源码审计

本 skill 聚焦源码层面判断"反序列化/XXE/SSTI 是否成立"，核心是验证 Source→Sink 路径上的数据可控性和安全配置。构造 payload、链条利用等运行时技术属于对应黑盒 exploit skill 范畴。

深入参考

• 3 类漏洞的危险模式 / 安全模式代码对比 / EVID 证据示例 → references/deser-patterns.md

3 类漏洞速查表

| 类型 | 典型 Sink | 利用条件 | 严重度 | |------|-----------|----------|--------| | 反序列化 | unserialize, phar:// 触发函数 | 用户可控序列化数据 + 可用 Gadget 类 | Critical | | XXE | DOMDocument::loadXML, simplexml_load_string, XMLReader::xml | 外部实体未禁用 + 用户可控 XML 输入 | High-Critical | | SSTI | Twig::render, Smarty::display, Blade {!! !!}, eval | 用户输入直接进入模板渲染上下文 | Critical |

反序列化审计要点

• unserialize() 入口: 搜索所有 unserialize 调用，追踪参数来源（Cookie、Session、缓存、数据库、HTTP 请求体），判断用户是否可控
• Phar 反序列化: file_exists/is_dir/fopen/filesize/copy 等 40+ 文件系统函数在处理 phar:// 协议时自动触发反序列化，检查路径参数是否用户可控
• POP 链搜索: 从 __destruct/__wakeup/__toString 入口出发，沿链式方法调用追踪到危险 Sink（文件写入/命令执行/SQL 操作）。重点关注 Composer 依赖中的 Gadget 类
• allowed_classes 限制: unserialize($data, ['allowed_classes' => [...]]) 是否生效？空数组 [] 或 false 才完全安全，true（默认）不做任何限制

XXE 审计要点

• libxml_disable_entity_loader: 在 PHP < 8.0 中需显式调用 libxml_disable_entity_loader(true) 禁用外部实体。PHP 8.0+ 该函数已废弃且默认禁用，但 LIBXML_NOENT 标志仍可重新启用
• DOMDocument 风险: loadXML($input, LIBXML_NOENT) 是最大风险点，该标志会展开外部实体。即使不传 LIBXML_NOENT，PHP < 8.0 默认仍可能加载实体
• SimpleXML/XMLReader: simplexml_load_string 默认安全（PHP 8.0+），但 LIBXML_NOENT 标志使其危险；XMLReader::xml 同理
• 盲 XXE vs 带外: 解析结果是否回显到页面？无回显时检查是否可利用带外通道（HTTP/FTP/DNS）

SSTI 审计要点

• Twig: 普通 {{ user_input }} 变量输出通常只是渲染变量并受自动转义保护；SSTI 重点检查用户输入是否进入模板源码解析流程，如 createTemplate($userInput)、动态拼接模板字符串，或沙箱模式 sandbox 策略过于宽松（允许危险 filter/function）
• Smarty: {php} 标签（Smarty 3.1+ 已废弃但可能未禁用）、{if} 表达式中注入 PHP 函数调用（{if system('id')}{/if}）
• Blade: {!! $var !!} 输出未转义内容，若 $var 用户可控则存在 XSS 或更严重风险；@php 指令如果可注入则直接 RCE
• 自定义模板引擎: 搜索 eval/preg_replace(/e) + 字符串替换模式，自研模板引擎常见的致命组合

检测清单

• [ ] 所有 unserialize 调用点已逐一审查参数来源
• [ ] Phar 协议触发函数的路径参数可控性已检查
• [ ] POP 链入口魔术方法已列举，链路可达性已追踪
• [ ] allowed_classes 配置已验证，默认值 true 已标记
• [ ] XML 解析器的 LIBXML_NOENT 标志使用情况已确认
• [ ] libxml_disable_entity_loader 调用状态已检查（PHP < 8.0）
• [ ] Twig/Smarty/Blade 模板中用户输入的渲染方式已审查
• [ ] 自定义模板引擎的 eval 调用已排查
• [ ] 严重度评分使用了统一公式，与 pipeline 一致