php反序列化

参考： https://www.freebuf.com/articles/web/167721.html

php反序列化漏洞

什么是反序列化

serialize()、unserialize()

首先呢，序列化就是利用serialize()函数将一个对象变成可以传输的字符串。例如json格式就是一种序列化。

‘Bill’=>‘35’
“Steve”=>“37”
“Elon”=>“43”
这是一个关于age的数组，如果我们想传输这个数组该怎么办呢。我们可以用json_encode()函数来将这个数组变成一串字符。

php使用序列化的原因

上面我们使用序列化是为了方便传输。那么php使用序列化的原因是什么呢？
假如，我们要创建一个class（类），在对象实例化之后里面的变量又发生了变化。如果我们之后要使用这些变量怎么办呢？又不能一直不销毁class，因为这样太耗资源了。

这时候我们就可以使用序列化将对象，需要使用的时候再反序列化就好了。
那么如何将对象序列化呢。
1、创建对象

这里，我们先创了个DemoClass，里面存了点信息，后来我们new了一个实例$example的时候，将这个class里的一些信息给改变了。如果我们之后还要用到这个实例怎么办呢，我们就先将他序列化存起来，到时候用的时候再放出来就好啦。

那么如何反序列化呢？

为什么会产生这个漏洞

为什么序列化以下然后反序列化就出毛病了呢？这就与php魔术方法有关了。魔法函数一般以”_“开头

_construct()	当一个对象创建时被调用
_destruct()	当一个对象销毁时被调用
_tostring()	当一个对象被当作一个字符串使用调用
_sleep()	在对象被序列化之前运行
_wakeup()	在对象被序列化之后立即被调用