【PHP8.x】__wakeupメソッドの使い方

Copy
1<?php
2
3class MyClass
4{
5    private $obj;
6
7    public function __construct()
8    {
9        $this->obj = new stdClass(); // 適当なオブジェクト
10    }
11
12    public function __wakeup()
13    {
14        // __wakeupメソッド内でオブジェクトを初期化しない場合、
15        // シリアライズされたオブジェクトのメンバー変数が古い状態になる可能性がある。
16        // この例では、__wakeup をバイパスすると $obj は初期化されず、古いオブジェクトのままになる。
17        // これを悪用して脆弱性が発生する可能性がある。
18        // echo "__wakeup called\n"; // デバッグ用
19    }
20
21    public function getObj()
22    {
23        return $this->obj;
24    }
25}
26
27// オブジェクトをシリアライズ
28$obj = new MyClass();
29$serialized = serialize($obj);
30
31// シリアライズされた文字列を操作して、__wakeup をバイパス
32$serialized = str_replace('O:7:"MyClass":1:{s:5:"\0*\0obj";O:8:"stdClass":0:{}}', 'O:7:"MyClass":1:{s:5:"\0*\0obj";N;}', $serialized);
33
34// __wakeupをバイパスさせるには、オブジェクトのプロパティ数を変更する手口がよく使われる。
35// 例： O:7:"MyClass":1:{ ... } を O:7:"MyClass":2:{ ... } に変更する。
36$serialized = str_replace('O:7:"MyClass":1:', 'O:7:"MyClass":2:', $serialized);
37
38// アンシリアライズ
39$unserialized = unserialize($serialized);
40
41// 結果の確認
42// __wakeup が呼ばれていないため、$obj は初期化されていない
43// var_dump($unserialized->getObj());
44
45//脆弱性対策として、__wakeupメソッド内で必要な初期化処理を必ず実行する。

PHP 8のDateMalformedPeriodStringExceptionクラスには、__wakeupというメソッドが存在します。このメソッドは、オブジェクトがunserialize関数によって復元される際に自動的に呼び出されます。引数はなく、戻り値はvoid型です。

サンプルコードは、__wakeupメソッドのバイパスによる脆弱性の可能性を示しています。MyClassというクラスがあり、__wakeupメソッドは空です。オブジェクトをシリアライズした後、シリアライズされた文字列を操作することで、__wakeupメソッドの呼び出しを回避しています。具体的には、シリアライズされた文字列中のクラス名とプロパティ数を書き換えることで、unserialize関数が__wakeupメソッドを呼び出さないようにします。

__wakeupがバイパスされると、オブジェクトのメンバー変数が意図しない状態になる可能性があります。サンプルコードでは、$objプロパティが初期化されず、古いオブジェクトのままになってしまいます。

この例からわかるように、__wakeupメソッド内で必要な初期化処理を必ず実行することが重要です。そうすることで、シリアライズされたオブジェクトの復元時に、オブジェクトの状態が適切に保たれ、脆弱性の発生を防ぐことができます。特に、データベース接続やファイルハンドルなどのリソースを扱う場合は、__wakeupメソッドで再初期化することを検討してください。

Copy
1<?php
2
3class DateMalformedPeriodStringException extends Exception
4{
5    // シリアライズを禁止するために __wakeup() メソッドを定義する
6    public function __wakeup() : void
7    {
8        throw new \Exception("Cannot unserialize " . __CLASS__);
9    }
10}
11
12// 例外をシリアライズ・アンシリアライズしようとすると例外が発生する
13try {
14    $exception = new DateMalformedPeriodStringException("Invalid period string");
15    $serialized = serialize($exception);
16    $unserialized = unserialize($serialized); // ここで例外が発生する
17} catch (Exception $e) {
18    echo "Caught exception: " . $e->getMessage() . PHP_EOL;
19}

DateMalformedPeriodStringExceptionクラスの__wakeup()メソッドは、PHPがオブジェクトのアンシリアライズ処理を行う際に自動的に呼ばれる特殊なメソッドです。このメソッドは引数を取らず、戻り値もありません（void）。

このサンプルコードでは、DateMalformedPeriodStringExceptionクラスのオブジェクトがシリアライズされた後、アンシリアライズされるのを防ぐために__wakeup()メソッドが定義されています。

__wakeup()メソッドの中では、新しいExceptionをスローしています。これにより、DateMalformedPeriodStringExceptionオブジェクトをアンシリアライズしようとすると、例外が発生し、プログラムの実行が中断されます。

サンプルコードでは、try-catchブロックを使用して、アンシリアライズ時に発生する例外を捕捉しています。unserialize()関数が呼ばれると、__wakeup()メソッドが実行され、例外がスローされます。catchブロックでは、この例外を捕捉し、エラーメッセージを出力しています。

このように__wakeup()メソッドを定義することで、特定のクラスのオブジェクトが意図せずアンシリアライズされるのを防ぎ、プログラムの安全性を高めることができます。シリアライズされたオブジェクトの整合性を維持する必要がある場合に有効なテクニックです。