【PHP8.x】BadFunctionCallException::__wakeup()メソッドの使い方

Copy
1<?php
2
3/**
4 * __wakeup() のバイパス脆弱性(CVE-2016-7124)が
5 * 現在のPHPバージョンでどのように動作するかを示すためのクラス。
6 */
7class WakeupBypassDemo
8{
9    // 本来は保護したいプロパティ
10    public ?string $sensitiveData = 'secret';
11
12    /**
13     * unserialize() 時に呼び出されるマジックメソッド。
14     * 攻撃者は、プロパティを無効化するこのメソッドの実行を避けたいと考える。
15     */
16    public function __wakeup(): void
17    {
18        echo "__wakeup() が呼び出されました。プロパティをリセットします。\n";
19        $this->sensitiveData = null; // プロパティを安全な値にリセット
20    }
21
22    /**
23     * オブジェクトが破棄される際に呼び出されるマジックメソッド。
24     * __wakeup() がバイパスされると、このメソッドが意図しない状態で実行される危険性があった。
25     */
26    public function __destruct()
27    {
28        echo "__destruct() が呼び出されました。\n";
29        if ($this->sensitiveData) {
30            echo "機密データにアクセスします: {$this->sensitiveData}\n";
31        } else {
32            echo "機密データはリセットされています。\n";
33        }
34    }
35}
36
37// 脆弱性を悪用するために、シリアライズ文字列内のプロパティ数を不正に操作したペイロード。
38// 本来のプロパティ数 '1' を、意図的に多い数 '2' に書き換えている。
39// O:クラス名長:"クラス名":プロパティ数:{...}
40$payload = 'O:16:"WakeupBypassDemo":2:{s:13:"sensitiveData";s:6:"secret";}';
41
42echo "現在のPHPバージョン: " . PHP_VERSION . "\n";
43echo "不正なペイロードのデシリアライズを試みます...\n\n";
44echo "ペイロード: {$payload}\n\n";
45
46// PHP 7.0.10以降 (PHP 8を含む) では、この脆弱性は修正されています。
47// シリアライズデータ内のプロパティ数と実際のプロパティ数が一致しないため、
48// unserialize() は失敗し、E_NOTICE が発生して false を返します。
49// 結果として、__wakeup() も __destruct() も呼び出されません。
50$result = @unserialize($payload); // NOTICEエラーを抑制
51
52echo "unserialize() の実行結果:\n";
53var_dump($result);
54
55if ($result === false) {
56    echo "\n期待通りデシリアライズに失敗しました。__wakeup() のバイパス脆弱性は対策済みです。\n";
57}

__wakeupは、PHPのマジックメソッドの一つです。unserialize()関数によって、文字列化されたデータからオブジェクトが復元される際に自動的に呼び出されます。このメソッドは引数を受け取らず、戻り値もありません。主な用途として、デシリアライズ後にデータベース接続を再確立したり、何らかの初期化処理を行ったりするために使用されます。

提示されたサンプルコードは、過去に存在した__wakeupメソッドの実行を不正に回避できてしまう脆弱性（CVE-2016-7124）が、現在のPHPバージョンではどのように対策されているかを実証するものです。このコードでは、unserialize()が実行されると__wakeupが呼び出され、機密情報を保持するプロパティを安全な値（null）にリセットするよう設計されています。

コード内で試みられているのは、シリアライズデータ内のプロパティ数を意図的に不正な値に書き換えたペイロードを使い、__wakeupの呼び出しを回避する攻撃のシミュレーションです。しかし、現在のPHPバージョンではこのようなデータの不整合は正しく検知されます。その結果、unserialize()は失敗してfalseを返し、__wakeupメソッドが呼び出されることもないため、この脆弱性は安全に対策済みであることが確認できます。

Copy
1<?php
2
3declare(strict_types=1);
4
5/**
6 * __wakeup() マジックメソッドの使用例を示すクラス
7 *
8 * このクラスは、データベース接続を模倣します。
9 * unserialize() 関数が実行されると、__wakeup() メソッドが自動的に呼び出され、
10 * データベースへの再接続処理など、オブジェクトの復元に必要な初期化処理を行います。
11 */
12class DatabaseConnection
13{
14    private string $dsn;
15    private ?string $connectionStatus = null;
16
17    public function __construct(string $dsn)
18    {
19        $this->dsn = $dsn;
20        $this->connect();
21    }
22
23    /**
24     * データベースへの接続を模倣する
25     */
26    public function connect(): void
27    {
28        $this->connectionStatus = "CONNECTED to {$this->dsn}";
29        echo "データベースに接続しました。" . PHP_EOL;
30    }
31
32    /**
33     * オブジェクトが serialize() される際に呼ばれるマジックメソッド
34     *
35     * @return string[] 保存するプロパティ名の配列
36     */
37    public function __sleep(): array
38    {
39        echo "オブジェクトをシリアライズします。接続は一旦切断します。" . PHP_EOL;
40        // 接続状態は保存せず、接続情報(dsn)のみを保存対象とする
41        return ['dsn'];
42    }
43
44    /**
45     * オブジェクトが unserialize() される際に呼ばれるマジックメソッド
46     *
47     * ここでリソースの再初期化などを行う
48     */
49    public function __wakeup(): void
50    {
51        echo "オブジェクトがアンシリアライズされました。" . PHP_EOL;
52        // 接続を再確立する
53        $this->connect();
54    }
55
56    public function getStatus(): ?string
57    {
58        return $this->connectionStatus;
59    }
60}
61
62// 1. インスタンスを作成（__construct が呼ばれる）
63$connection = new DatabaseConnection('mysql:host=localhost;dbname=test');
64echo '現在の状態: ' . $connection->getStatus() . PHP_EOL;
65echo PHP_EOL;
66
67// 2. インスタンスをシリアライズ（文字列化）する（__sleep が呼ばれる）
68$serializedData = serialize($connection);
69echo 'シリアライズされたデータ: ' . $serializedData . PHP_EOL;
70echo PHP_EOL;
71
72// 3. シリアライズされたデータからインスタンスを復元する（__wakeup が呼ばれる）
73$restoredConnection = unserialize($serializedData);
74echo '復元後の状態: ' . $restoredConnection->getStatus() . PHP_EOL;
75
76?>

PHPの __wakeup() は、unserialize() 関数によってオブジェクトが復元される際に自動的に呼び出される「マジックメソッド」です。このメソッドは、オブジェクトが文字列から元の状態に戻る際の初期化処理を定義するために使用されます。

このサンプルコードでは、データベース接続を模倣した DatabaseConnection クラスを例に説明します。まず、serialize() 関数でオブジェクトを文字列データに変換（シリアライズ）します。このとき、マジックメソッド __sleep() が呼び出され、接続情報（dsn）のみが保存対象となります。データベース接続そのものは一旦破棄されます。

次に、unserialize() 関数を使って、この文字列データからオブジェクトを復元（アンシリアライズ）します。この復元処理の完了直後に __wakeup() メソッドが自動的に呼び出されます。コード内では、このメソッドがデータベースへの再接続処理（connect()）を行い、オブジェクトが再び利用できる状態になるように初期化しています。

このように __wakeup() は、シリアライズによって失われたリソースを再確立する重要な役割を担います。このメソッドは引数を受け取らず、また、戻り値もありません。