【安全攻防知识-8】CTF之web（2）

1、PHP反序列化介绍

序列化(serialize):是将变量或对象转换成字符串的过程。从而达到传输和存储的目的。

反序列化，即将序列化的字符串，转换为程序可以处理的对象。

在PHP中，反序列化可以实现覆盖函数中的变量。

当变量存在漏洞点，例如作为echo的参数，反序列化甚至可以注入一句话木马。

2、PHP反序列化CTF题型

总的来说，分为三类：

（1）直接给源码型，建议直接上PHPstudy调试；

（2）只给一部分源码型，使用php://filter/read=convert.base64-encode/resource=index.php

读出相关文件和源码后，进行分析；

（3）利用PHP特性型，比如使用php://filter等，这种需要在网上查询资料，有些比较新的特性，某种PHP版本特有的特性，需要花些心思对待。

3、PHP原理及利用介绍

这里推荐一个博客。

3. php反序列化从入门到放弃(入门篇) - bmjoker - 博客园