Advanced Web Application

 

 

 

 

 

 

 

 

 

 

 

 

 

---

 

 

© 2020 Caendra Inc. | WAPTXv2 

32 

2. 

A

TTACKING 

PHP

 

A

PPLICATIONS

 

 

a. PHP Deserialization (A Deeper Dive) 

We have already covered Attacking PHP Deserialization during the course. Let’s now see two more 

complicated cases and specifically, how the Property Oriented Programming (POP) chains are made. 

 

First, we will analyze a PHP Object Injection vulnerability in Magento 1.9.0.1 

 

Let’s first try the attack inside the provided Virtual Machine and then we will see how the POP chain 

was discovered. 

 

The root cause of the vulnerability is the below. 

// app/code/core/Mage/Adminhtml/controllers/DashboardController.php 

public function tunnelAction()   

{   

    $gaData = $this->getRequest()->getParam('ga');   

    $gaHash = $this->getRequest()->getParam('h');   

    if ($gaData && $gaHash) {   

        $newHash = Mage::helper('adminhtml/dashboard_data')-

>getChartDataHash($gaData);   

        if ($newHash == $gaHash) {   

            if ($params = unserialize(base64_decode(urldecode($gaData)))) {   

 

User-supplied data are insecurely deserialized in the ga parameter.