【PHP8.x】Dom\Text::__wakeup()メソッドの使い方

Copy
1<?php
2
3/**
4 * Dom\Text::__wakeup はPHPの内部クラスのメソッドであり、通常ユーザーが直接制御したり、
5 * その挙動を観察して「バイパス」の影響を確認することは困難です。
6 * しかし、「__wakeup bypass」というキーワードは、PHPオブジェクトインジェクション (POI) の文脈で
7 * 一般的なユーザー定義クラスの脆弱性を悪用する際によく使われる概念です。
8 *
9 * このサンプルコードでは、__wakeup マジックメソッドの一般的な動作と、
10 * PHPのデシリアライゼーションにおける__wakeupのバイパス手法を理解するために、
11 * ユーザー定義のクラスを例として示します。
12 *
13 * __wakeupバイパスは、シリアライズされた文字列のオブジェクトのプロパティ数を
14 * 実際のプロパティ数よりも少なくすることで、__wakeupメソッドの呼び出しをスキップする手法です。
15 * これにより、攻撃者は__wakeupで意図された初期化や検証を迂回し、
16 * __destructのような他のマジックメソッドの脆弱性を悪用できる可能性があります。
17 */
18class MaliciousOperation
19{
20    public string $filepath;
21    public bool $isAdmin;
22
23    public function __construct(string $filepath, bool $isAdmin = false)
24    {
25        $this->filepath = $filepath;
26        $this->isAdmin = $isAdmin;
27        echo "{$this->filepath} にアクセスを試みるオブジェクトが作成されました。\n";
28    }
29
30    /**
31     * オブジェクトがデシリアライズされる際に呼び出されます。
32     * ここでは、isAdmin が true でなければファイル操作をブロックするような、
33     * セキュリティチェックを模倣しています。
34     */
35    public function __wakeup(): void
36    {
37        if (!$this->isAdmin) {
38            echo "[__wakeup] 管理者権限がないため、ファイル操作をブロックします。\n";
39            $this->filepath = '/dev/null'; // 危険な操作を無効化
40        } else {
41            echo "[__wakeup] 管理者権限があります。ファイル操作を許可します。\n";
42        }
43    }
44
45    /**
46     * オブジェクトが破棄される際に呼び出されます。
47     * ここでは、危険なファイル削除操作を模倣しています。
48     */
49    public function __destruct(): void
50    {
51        if (file_exists($this->filepath) && $this->filepath !== '/dev/null') {
52            echo "[__destruct] 危険: '{$this->filepath}' を削除します。\n";
53            // 例のため実際に削除はしない
54            // unlink($this->filepath);
55        } else {
56            echo "[__destruct] '{$this->filepath}' は削除されませんでした。\n";
57        }
58        echo "オブジェクトが破棄されました。\n\n";
59    }
60}
61
62/**
63 * __wakeupバイパスのデモンストレーション関数
64 */
65function demonstrateWakeupBypass(): void
66{
67    // ダミーファイルを作成 (実際には作成しないが、存在を仮定)
68    $dummyFilePath = 'malicious_file.txt';
69    // file_put_contents($dummyFilePath, 'This is a sensitive file.'); // 実際のファイル作成はセキュリティリスク
70
71    // 1. 通常のデシリアライズ（__wakeupが呼び出される）
72    echo "--- シナリオ1: 通常のデシリアライズ (__wakeupが呼び出される) ---\n";
73    $objNormal = new MaliciousOperation($dummyFilePath, false);
74    $serializedNormal = serialize($objNormal);
75    unset($objNormal); // __destructを呼び出し、メモリを解放
76    
77    echo "シリアライズされた文字列 (通常): " . $serializedNormal . "\n";
78    $unserializedNormal = unserialize($serializedNormal);
79    unset($unserializedNormal); // __destructを呼び出し
80
81    // 2. __wakeup バイパス（__wakeupがスキップされる）
82    echo "--- シナリオ2: __wakeup バイパス (__wakeupがスキップされる) ---\n";
83    // デシリアライズ時にisAdminがtrueのMaliciousOperationオブジェクトを生成する想定
84    // ただし、__wakeupでisAdminがfalseの場合にfilepathを無害化するロジックが存在する
85    $objBypassBase = new MaliciousOperation($dummyFilePath, true); // isAdminをtrueに設定 (通常では不可能)
86    $serializedBypass = serialize($objBypassBase);
87    unset($objBypassBase); // __destructを呼び出し、メモリを解放
88
89    echo "シリアライズされた文字列 (改ざん前): " . $serializedBypass . "\n";
90
91    // プロパティ数を実際の数 (2) より少なく (1) することで__wakeupをバイパス
92    // O:クラス名:プロパティ数:{...}
93    // O:20:"MaliciousOperation":2:{s:8:"filepath";s:17:"malicious_file.txt";s:7:"isAdmin";b:1;}
94    //                 ^ ここを 1 に変更すると __wakeup は呼ばれない (PHP 7.0.0 以降)
95    $modifiedSerializedBypass = preg_replace('/O:\d+:"MaliciousOperation":(\d+):/', 'O:20:"MaliciousOperation":1:', $serializedBypass, 1);
96    
97    echo "シリアライズされた文字列 (改ざん後、プロパティ数1): " . $modifiedSerializedBypass . "\n";
98    echo "注: 改ざんにより '__wakeup' メソッドはスキップされ、isAdminプロパティのセキュリティチェックが迂回されます。\n";
99
100    // 改ざんされた文字列をデシリアライズ
101    $unserializedBypass = unserialize($modifiedSerializedBypass);
102    unset($unserializedBypass); // __destructを呼び出し
103
104    // unlink($dummyFilePath); // cleanup
105}
106
107// デモンストレーションを実行
108demonstrateWakeupBypass();

このサンプルコードは、PHPの内部クラスであるDom\Textの__wakeupメソッド自体を直接操作するものではなく、一般的なPHPのオブジェクトのデシリアライゼーションにおけるマジックメソッド__wakeupの動作と、その「バイパス」手法について解説しています。

__wakeupメソッドは、オブジェクトがシリアライズされた文字列から元のオブジェクトに復元（デシリアライズ）される直前に自動的に呼び出されます。これはオブジェクトのプロパティを初期化したり、セキュリティチェックを行ったりするために利用されます。Dom\Text::__wakeupも同様の目的を持つ内部メソッドであり、引数を受け取らず、何も返さない（void）挙動をします。

本サンプルコードで示されている「__wakeupバイパス」とは、シリアライズされた文字列内でオブジェクトのプロパティ数を意図的に改ざんし、PHPのデシリアライゼーション処理において__wakeupメソッドの呼び出しをスキップさせる攻撃手法です。通常、__wakeupで危険な操作を防ぐためのセキュリティチェックが実装されている場合、このバイパスによってそのチェックが迂回され、__destructなどの他のマジックメソッドに存在する脆弱性を悪用される可能性があります。

コードでは、MaliciousOperationクラスが__wakeupで管理者権限のチェックを行い、危険なファイル操作（__destructで模倣）をブロックするシナリオを示しています。通常のデシリアライズでは__wakeupが呼び出されセキュリティチェックが機能しますが、シリアライズされた文字列のプロパティ数を改ざんすることで__wakeupがスキップされ、セキュリティチェックが迂回され危険な操作につながる可能性をデモンストレーションしています。

Copy
1<?php
2
3/**
4 * PHPのオブジェクトデシリアライズ時における__wakeupマジックメソッドの動作例です。
5 * Dom\Text クラスもこのメソッドを持ちますが、それはPHP内部で利用され、
6 * ユーザーが直接オーバーライドしたり呼び出したりすることは一般的ではありません。
7 * この例では、カスタムクラスを使って__wakeupの基本的な機能を示します。
8 */
9class MyCustomObject
10{
11    public string $name;
12    private string $internalState;
13
14    public function __construct(string $name)
15    {
16        $this->name = $name;
17        $this->internalState = '初期状態';
18    }
19
20    /**
21     * オブジェクトがデシリアライズされる直前に自動的に呼び出されます。
22     * シリアライズ中に失われたリソース接続の再確立など、必要な初期化処理を実行できます。
23     * Dom\Text::__wakeup も、Dom\Textオブジェクトがデシリアライズされる際にPHP内部で呼び出されます。
24     *
25     * @return void
26     */
27    public function __wakeup(): void
28    {
29        echo "MyCustomObject::__wakeup() が呼び出されました。オブジェクトがデシリアライズされました。\n";
30        // デシリアライズ後の状態を調整する例
31        $this->internalState = 'デシリアライズ後の再初期化状態';
32    }
33
34    public function getInternalState(): string
35    {
36        return $this->internalState;
37    }
38}
39
40// --------------------------------------------------------
41// サンプルコードの実行
42// --------------------------------------------------------
43
44echo "--- 1. オブジェクトの作成 ---\n";
45$original = new MyCustomObject('MyObject');
46echo "元のオブジェクトの名前: " . $original->name . "\n";
47echo "元のオブジェクトの内部状態: " . $original->getInternalState() . "\n\n";
48
49echo "--- 2. オブジェクトをシリアライズ ---\n";
50$serializedData = serialize($original);
51echo "シリアライズされたデータ:\n" . $serializedData . "\n\n";
52
53echo "--- 3. シリアライズされたデータをデシリアライズ ---\n";
54// unserialize() の実行によって、MyCustomObject::__wakeup() が自動的に呼び出されます。
55$deserialized = unserialize($serializedData);
56echo "デシリアライズされたオブジェクトの名前: " . $deserialized->name . "\n";
57echo "デシリアライズされたオブジェクトの内部状態: " . $deserialized->getInternalState() . "\n\n";
58
59echo "デシリアライズによって、__wakeup メソッドが呼び出され、オブジェクトが正しく復元されたことを確認できます。\n";
60

PHP 8のDom\Text::__wakeupメソッドは、オブジェクトがシリアライズされたデータから元のオブジェクトへと復元（デシリアライズ）される直前に、PHP内部で自動的に呼び出される特殊なマジックメソッドです。このメソッドの主な目的は、オブジェクトがシリアライズされる際に失われた可能性のあるリソース接続の再確立や、デシリアライズ後のオブジェクトの内部状態を適切に再初期化することです。

Dom\Textクラスに存在する__wakeupメソッドは、PHPのDOM拡張機能の内部処理で利用されるものであり、通常、システムエンジニアが直接オーバーライドしたり呼び出したりすることはありません。引数はなく、戻り値もvoid（何も返さない）です。これは、オブジェクトの内部状態を調整すること自体が目的であり、特定の値を返す必要がないためです。

提示されたサンプルコードは、カスタムクラスを用いて__wakeupメソッドがオブジェクトのデシリアライズ時に自動的に実行され、内部状態を調整する動作の基本的な仕組みを示しています。Dom\Textの場合も、これと同様のタイミングでこのメソッドが内部的に呼び出され、オブジェクトが正しく復元されます。