【愚公系列】2024年03月 《CTF实战：从入门到提升》 011-Web安全入门（PHP反序列化漏洞）(1)

🏆《近期荣誉》：2022年度博客之星TOP2，2023年度博客之星TOP2，2022年华为云十佳博主，2023年华为云十佳博主等。
🏆《博客内容》：.NET、Java、Python、Go、Node、前端、IOS、Android、鸿蒙、Linux、物联网、网络安全、大数据、人工智能、U3D游戏、小程序等相关领域知识。
🏆🎉欢迎 👍点赞✍评论⭐收藏

文章目录

• 🚀前言
• 🚀一、PHP反序列化漏洞
• • 🔎1.PHP的类与对象
    • 🔎2.PHP的序列化与反序列化
    • 🔎3.PHP中的反序列化漏洞
    • 🔎4.案例解析–2019强网杯 UPLOAD
• 🚀感谢：给读者的一封信

---

🚀前言

PHP是一种广泛使用的开源服务器端脚本语言，它支持面向对象的编程范式。在PHP中，类和对象是用于封装数据与功能的核心组件，它们使得代码更加模块化、易于管理和扩展。在处理对象持久化——即在不同会话或不同请求之间保存对象状态的过程中，序列化和反序列化是两个非常重要的概念。

反序列化漏洞通常发生在不安全地反序列化用户提供的数据时。如果反序列化的数据被恶意篡改，攻击者可能会利用这个过程执行不安全的代码，这可能导致各种安全问题，包括但不限于：

• 代码执行：攻击者可能会注入恶意对象，当这个对象被反序列化时，它可能会触发任意代码执行。
• 对象注入：通过构造特殊的序列化数据，攻击者可能会在应用程序上下文中创建不正当的对象实例。
• 数据泄露：攻击者可能通过篡改序列化字符串来访问或泄露敏感数据。
• 服务拒绝（DoS攻击）：通过发送大量复杂的序列化数据，攻击者可能试图耗尽服务器资源，导致服务不可用。

🚀一、PHP反序列化漏洞

🔎1.PHP的类与对象

在探讨PHP中的序列化与反序列化概念之前，有必要先理解面向对象编程中的一些基础概念和术语。

类（Class）：
类是面向对象编程语言中的一个基本结构，它是创建对象的模板或蓝图。类定义了一组对象共有的属性（即变量）和方法（即函数）。通过类，可以描述一组具有相同特性（属性）和行为（方法）的对象。

对象（Object）：
对象是类的一个实例。每个对象都拥有唯一的标识，并且包含了由其类定义的属性和方法。对象的属性用于存储特定于该对象的数据，而方法定义了对象可以执行的操作。在面向对象的软件中，对象是构成程序的基本单位。

方法（Methods）：
方法是定义在类或对象中的子程序，用于执行特定的操作。方法可以处理输入参数，并可能返回一个值。在面向对象编程中，方法可以是类方法（也称为静态方法，属于类本身）、实例方法（属于对象实例），或工厂方法（用于创建并返回对象实例）。

属性（Properties）：
属性是定义在类中的变量，用于描述对象的状态或特征。比如，如果你被视为一个对象，你的属性可能包括姓名、性别和年龄等。

总结以上内容，对象是通过类的实例化而创建的，包含了方法和属性。属性分为公开（public）、受保护（protected）和私有（private）三种访问级别：

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

net/topics/618653875)

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！