反序列化——php反序列化

PHP序列化

• 序列化 serialize()，是指将一个实例化的变量、数组、对象等结构从一个实例转换为一个简短的序列化字符串，这样便于保存对象，可以将序列化字节存储到数据库或者文本当中。

• 反序列化 unserialize()，当需要调用一个序列化的对象的时候，可以通过反序列化方法直接调用 序列化字符串解析获取保存的对象，而不需要重新实例化一个类。 魔术方法 ：当PHP在进行序列化、反序列化、访问对象操作的时候，会自动调用一些方法，这些被自动调用的方法，被称为魔术方法，通常以__作为方法名前缀。
  **__construct()** 对象创建(new)时会自动调用。
  **__wakeup()** 使用unserialize时触发
  __sleep() 使用serialize时触发
  **__destruct()** 对象被销毁时触发
  __call() 在对象上下文中调用不可访问的方法时触发
  __callStatic() 在静态上下文中调用不可访问的方法时触发
  __get() 用于从不可访问的属性读取数据
  __set() 用于将数据写入不可访问的属性
  __isset() 在不可访问的属性上调用isset()或empty()触发
  __unset() 在不可访问的属性上使用unset()时触发
  __toString() 把类当作字符串使用时触发
  __invoke() 当脚本尝试将对象调用为函数时触发
  __autoload() 在代码中当调用不存在的类时会自动调用该方法。

PHP反序列化漏洞利用

• 漏洞产生的原因：在反序列化过程中，可以任意修改类的属性值，所以如果未对输入的序列化字符串进行检测，就会导致攻击者可以控制反序列化过程，构造属性自定义的序列化对象，如果这些对象被魔术方法调用，就可能导致代码执行，SQL注入，目录遍历等不可控后果。

作者：努力学习的胡豆

游戏编程，一个游戏开发收藏夹~

如果图片长时间未显示，请使用Chrome内核浏览器。