【H3x笔记】反序列化——魔术方法

反序列化

字符串序列化后是自己本身

魔术方法

__construct，__destruct（__destruct通常为反序列化的入口）

 __constuct构建对象的时被调用；
 __destruct明确销毁对象或脚本结束时被调用；

__get，__set

__set当给不可访问或不存在属性赋值时被调用
__get读取不可访问或不存在属性时被调用

__isset，__unset

__isset对不可访问或不存在的属性调用isset()或empty()时被调用
__unset对不可访问或不存在的属性进行unset时被调用

__call，__callStatic

__call调用不可访问或不存在的方法时被调用
__callStatic调用不可访问或不存在的静态方法时被调用

__sleep，__wakeup（__wakeup通常为反序列化的入口）

__sleep当使用serialize时被调用，当你不需要保存大对象的所有数据时很有用
__wakeup当使用unserialize时被调用，可用于做些对象的初始化操作

__clone

进行对象clone时被调用，用来调整对象的克隆行为

__toString

当一个类被转换成字符串时被调用

__invoke

当以函数方式调用对象时被调用

__set_state

当调用var_export()导出类时，此静态方法被调用。用__set_state的返回值做为var_export的返回值

反序列化正则绕过

例:

preg_match('/[oc]:\d+:/i')		//匹配了 O:数字

采用替换方法

$a = serialize(new user());		//先看反序列化后的结果
$b = str_replace(':11','+11','$a');		//在结果中找O:数字并替换，用+数字来绕过
$c = str_replace(':8','+8','$a');