参考: https://www.freebuf.com/articles/web/167721.html
php反序列化漏洞
什么是反序列化
serialize()、unserialize()
首先呢,序列化就是利用serialize()函数将一个对象变成可以传输的字符串。例如json格式就是一种序列化。
‘Bill’=>‘35’
“Steve”=>“37”
“Elon”=>“43”
这是一个关于age的数组,如果我们想传输这个数组该怎么办呢。我们可以用json_encode()函数来将这个数组变成一串字符。
php使用序列化的原因
上面我们使用序列化是为了方便传输。那么php使用序列化的原因是什么呢?
假如,我们要创建一个class(类),在对象实例化之后里面的变量又发生了变化。如果我们之后要使用这些变量怎么办呢?又不能一直不销毁class,因为这样太耗资源了。
这时候我们就可以使用序列化将对象,需要使用的时候再反序列化就好了。
那么如何将对象序列化呢。
1、创建对象
这里,我们先创了个DemoClass,里面存了点信息,后来我们new了一个实例$example的时候,将这个class里的一些信息给改变了。如果我们之后还要用到这个实例怎么办呢,我们就先将他序列化存起来,到时候用的时候再放出来就好啦。
那么如何反序列化呢?
为什么会产生这个漏洞
为什么序列化以下然后反序列化就出毛病了呢?这就与php魔术方法有关了。魔法函数一般以”_“开头
_construct() | 当一个对象创建时被调用 |
---|---|
_destruct() | 当一个对象销毁时被调用 |
_tostring() | 当一个对象被当作一个字符串使用调用 |
_sleep() | 在对象被序列化之前运行 |
_wakeup() | 在对象被序列化之后立即被调用 |