【反序列化漏洞-02】PHP反序列化漏洞实验详解

为什么要序列化

百度百科上关于序列化的定义是，将对象的状态信息转换为可以存储或传输的形式(字符串)的过程。在序列化期间，对象将其当前状态写入到临时或持久性存储区(非关系型键值对形式的数据库Redis，与数组类似)。以后，可以通过从存储区中读取或反序列化对象的状态，重新创建该对象。

1. 在PHP中，每个类的定义都以关键字class开头，后面不仅跟着类名还跟着一对花括号，里面包含有类的属性与方法的定义。

2. 一个类可以包含有属于自己的属性(常量:值变量的值不会改变、变量)和方法(函数)。

3. 由于类的实例化对象比较抽象，不方便用于传输和存储。

tips:类为class，对象是object；举例来说就是，动物为一个大类，大类之后再分小一类如猫猫或者狗狗；而具体的某个动物就为一个对象。一个对象就相当于一个变量，对象是一种语言结构。

简单来说，序列化就是把一个对象变成可以传输的字符串(字符串便于传输,只需要把字符串赋给变量即可)。在传递和保存对象时，为保证对象的完整性和可传递性，程序将对象转换为有序字节流，以保存在本地文件中，可以以特定的格式在进程之间跨平台、安全的进行通信。（比如从java平台传递到php平台）反序列化则根据字符串中保存的对象状态及描述信息，通过反序列化重建对象。

序列化的优点：

• 将对象转为字节流存储到硬盘上（实际上是存放在数据库，一般是redis数据库-键值对数据库），当JVM停机的话，字节流还会在硬盘上默默等待，等待下一次JVM的启动，把序列化的对象，通过反序列化为原来的对象。

• 序列化后的二进制序列能够减少存储空间（永久性保存对象）。

• 序列化成字节流形式的对象可以进行网络传输。

• 通过序列化可以在进程间传递对象

实际上用Redis数据库作为缓存，一般用于存储序列化后的字符串，待字符串需要使用时，再反序列化为对象，方便调用。

PHP中的序列化与反序列化

反序列化漏洞并不是PHP特有，也存在于Java、Python等语言之中，但其原理基本相通。

序列化与反序列化的定义

• 序列化：程序将对象状态转换为可存储或传输的字节序列的过程(即对象状态转换为可存储或者可传输的过程)｛序列化是对象转换为字符串的过程｝

• 反序列化：程序把存储或传输的字节序列恢复为对象的过程。｛反序列化则是字符串转化为对象的过程｝

• 如果字符串客户端可控，就会造成web应用反序列化任意对象，严重的是在反序列化的过程中会触发一些可以执行的php代码，例如phpinfo

PHP中的序列化与反序列化，基本都是围绕serialize()和unserialize()两个函数展开的。在介绍这两个函数之前，我们可以先看一个简单的例子。

简单的例子

我们可以用json格式数据的编码与解码(json格式就是格式化的字符串，也就是说json格式的数据，它具备一定的格式)，来理解序列化与反序列化的过程。虽然json数据与反序列化漏洞没有什么关系，但是这个例子有助于我们理解。代码内容如下：

<?php
$student=array('name'=>'AJEST','age'=>18,'SEX=>true','score'=>89.9);
// echo不能直接输出数组，但是如果把$student给做一个json_encode 的格式转换,就可以用echo来输出
echo $student;
echo "<hr/>";
$student_json=json_encode($student);
echo $student_json;
?>

我们定义一个数组，数组属于抽象的数据结构，为了方便跨平台传输数据，可以将其进行json编码。json格式的数据是以键值对的形式出现的。类似于这种格式的数据易于处理易于传输。结果如下

序列化与反序列化Demo

序列化会将一个抽象的对象转换为字符串。

1. 我们可以写一个Demo来说明序列化的过程，首先创建一个类，代码内容如下：

<?php
class student{
    public $name;
    public $sex;
    public $age;
    public $score;
}
?>