[渗透测试笔记] 14.php反序列化及利用原理

本文章为作者渗透测试自学系列文章，所有内容仅作为个人学习实验使用，请勿用于实战环境。

php序列化与反序列化

php序列化就是将复杂的数据类型(比如说数组，字典，或者一个对象)转换为字符串，方便传输或者存库等操作,并且之后还能后恢复成原来的数据类型的过程。这样可以在不用这个数据的时候让它占用尽可能少的空间。
要注意的是，序列化只是对他的变量进行序列化，类中的函数是不会参与进来的。

	php序列化与反序列化的函数
serialize()	用于序列化对象或数组，并返回一个字符串。序列化对象后，可以很方便的将它传递给其他需要它的地方，且其类型和结构不会改变。
unserialize()	可以将serialize序列化复杂数据类型后得到的字符串类型的数据重新转换成原来复杂的数据类型。

举个栗子

<?php  
class