PHP反序列化漏洞研究

序列化

序列化说通俗点就是把一个对象变成可以传输的字符串

函数

用于序列化对象或数组，并返回一个字符串。序列化对象后，可以很方便的将它传递给其

他需要它的地方，且其类型和结构不会改变。





 

)(代表数组里面有 ) 个变量

(代表数据类型(4；(4

,(代表数据长度

反序列化

54函数

用于将通过 函数序列化后的对象或数组进行反序列化，并返回原始的对象结构。



()(*(+(,(--(.(/(--(0(1(--2

54 54

4 54 

45!!!!!!!!!!!在每次创建新对象时先调用

5!!!!!!!!!!!!某个对象的所有引用都被删除或者当对象被显式销毁时执行

94!!!!!!!!!!!!用于一个类被当成字符串时应怎样回应

!!!!!!!!!!!!!!在被序列化之前运行

:5!!!!!!!!!!!!!!反序列化时被调用

实例分析

;<神盾局的秘密

通过  文件包含漏洞获得源码，这里仅介绍后面的  反序列化漏洞部分

4=!(

