网站漏洞防护之phar反序列化与流包装禁用

网站防护中的PHAR反序列化漏洞常被忽视，但危害极大。攻击者通过上传恶意PHAR文件，配合反序列化操作就能执行任意代码。要解决这个问题，最直接的方法是禁用PHAR流包装器，同时严格控制反序列化操作。具体操作是在PHP配置中设置phar://流包装为禁用状态，并对所有反序列化入口进行严格过滤。

PHAR文件格式如何成为攻击载体

PHAR（PHP Archive）本是PHP的打包格式，类似JAR文件，能将多个PHP文件、资源打包成单一文件。但PHAR的元数据部分支持序列化数据存储，当使用phar://协议读取文件时，这些元数据会被自动反序列化。如果网站存在类似file_get_contents('phar://uploaded_file')的代码，攻击者只需构造一个包含恶意序列化数据的PHAR文件，上传后触发读取，就能利用__wakeup()或__destruct()等魔术方法执行系统命令。

攻击场景与利用条件分析

实际攻击需要满足三个条件：一是网站存在文件上传功能且未校验文件内容；二是存在通过phar://协议读取文件的操作；三是系统中存在可被利用的类链（POP链）。常见场景是图片上传功能——攻击者将恶意PHAR文件后缀改为.jpg，绕过前端检测，后端使用phar://处理图片时触发漏洞。即使没有显式的unserialize()调用，只要使用file_exists()、is_dir()等函数处理phar://路径，反序列化也会自动执行。

禁用PHAR流包装器的具体方法

最有效的防护是在PHP配置中彻底禁用PHAR流包装。修改php.ini文件，在disable_functions或allow_url_include配置基础上，增加流包装器限制：

// 在php.ini中添加
allow_url_include=Off
allow_url_fopen=Off
// 或通过代码动态禁用
if (in_array('phar', stream_get_wrappers())) {
    stream_wrapper_unregister('phar');
}

对于无法修改全局配置的共享主机，可在网站入口文件（如index.php）添加stream_wrapper_unregister('phar')。注意该方法需在业务代码执行前调用，且要确保所有PHP文件都经过该入口。

强化反序列化操作的安全策略

禁用流包装只是第一层防护，还需对反序列化操作本身加固。建议：

1. 避免直接反序列化用户输入，如需使用应严格限制可反序列化的类，通过allowed_classes参数白名单控制；

2. 使用JSON等安全格式替代序列化存储；

3. 对上传文件进行内容检测，不仅检查后缀，还要验证文件头签名。示例代码：

// 安全的反序列化示例
$data = unserialize($input, ['allowed_classes' => ['SafeClass1', 'SafeClass2']]);
// 文件签名检测
$signature = file_get_contents($uploaded_file, false, null, 0, 4);
if ($signature !== "\x47\x4B\x50\x00") { // 自定义签名检测
    unlink($uploaded_file);
    throw new InvalidFileException();
}

服务器环境与依赖库的漏洞管理

PHAR漏洞常与第三方库的POP链结合。例如ThinkPHP、Laravel等框架的特定版本中存在可被利用的类链。防护措施包括：

1. 定期更新框架和依赖库；

2. 使用漏洞扫描工具检查项目中已知的POP链；

3. 在WAF规则中添加PHAR协议检测。同时建议在nginx配置中拦截异常协议请求：

# nginx配置示例
location ~* \.(phar|php[0-9]?)$ {
    deny all;
}
# 或拦截包含phar://的请求
if ($request_uri ~* "phar://") {
    return 403;
}

纵深防御体系构建建议

单一措施无法完全防护，需要多层防御：第一层在Web服务器禁止phar://协议访问；第二层在PHP运行时禁用流包装；第三层在代码层实现上传文件重命名、内容扫描；第四层使用开源RASP工具监控反序列化行为。同时建议在开发流程中加入安全审计，使用静态分析工具（如PHPStan）检测潜在的脆弱反序列化点。

应急响应与漏洞检测方案

若网站已遭攻击，需立即：

1. 检查上传目录是否存在异常文件；

2. 审查日志中phar://关键词；

3. 扫描网站源码中所有file_get_contents()、include等函数调用。检测工具可使用自制脚本扫描项目：

// 简易漏洞扫描脚本
$pattern = '/phar:\/\//';
$files = new RecursiveIteratorIterator(new RecursiveDirectoryIterator('./src'));
foreach ($files as $file) {
    if ($file->isFile() && preg_match('/\.php$/', $file->getFilename())) {
        $content = file_get_contents($file->getPathname());
        if (preg_match($pattern, $content)) {
            echo "风险文件: " . $file->getPathname() . PHP_EOL;
        }
    }
}

长期防护需建立文件上传安全规范，包括强制重命名、存储到非Web目录、使用独立域名服务静态资源等架构级解决方案。

网站漏洞防护之phar反序列化与流包装禁用

服务指南

帮助中心