反序列化漏洞

什么是序列化、反序列化

例子引入

序列化是将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将当前状态写入到临时或持久性存储区。以后，可以通过从存储区中读取或反序列化对象状态，重新创建该对象。

简单的来讲：（含例子easy.php）

序列化：把对象转换为字节序列的过程称为对象的序列化。( serialize )【类-->字符串，方便传输】

O:1:"S":1:{s:4:"test";s:7:"pikachu";}

反序列化：把字节序列恢复为对象的过程称为对象的反序列化。( unserialize )

object(S)#2 (2) { ["test"]=> string(7) "pikachu" ["name"]=> string(8) "xiaoming" }

# easy.php
<?php
class S{
    public $test="pikachu";
    public $name="xiaoming";
}
$s=new S(); //创建一个对象，将S这个类实例化出来
echo serialize($s); //把这个对象进行序列化并输出
echo "</br>";
var_dump(unserialize(serialize($s)));		//将序列化的结果进行反序列化并输出
?>

序列号实例（例子1）

序列化后得到的结果是这个样子的： O:1:"S":2:{s:4:"test";s:7:"pikachu";s:4:"name";s:8:"xiaoming";}
        O:代表object
        1:代表对象名字长度为一个字符
        S:对象的名称
        1:代表对象里面有一个变量
        s:数据类型
        4:变量名称的长度
        test:变量名称
        s:数据类型
        7:变量值的长度
        pikachu:变量值

1、O:1:"S":2: - 这表示对象的类型和长度信息。在这里，O表示对象，1表示对象名称的长度，"S"表示对象名称（可能是类名），2表示对象的属性数量。
2、s:4:"test"; - 这是对象的第一个属性。s表示字符串类型，4表示字符串的长度，"test"是属性的名称。
3、s:7:"pikachu"; - 这是对象的第一个属性的值。s表示字符串类型，7表示字符串的长度，"pikachu"是属性的值。
4、s:4:"name"; - 这是对象的第二个属性。s表示字符串类型，4表示字符串的长度，"name"是属性的名称。
5、s:8:"xiaoming"; - 这是对象的第二个属性的值。s表示字符串类型，8表示字符串的长度，"xiaoming"是属性的值。
6、综上所述，这段代码表示一个包含两个属性的对象。第一个属性名为test，值为pikachu；第二个属性名为name，值为xiaoming。这种格式通常用于在不同系统之间传输和存储对象数据。

反序列化实例

反序列化后得到的结果是这个样子的： object(S)#2 (2) { ["test"]=> string(7) "pikachu" ["name"]=> string(8) "xiaoming" } 
    
1、object(S)#2 - 这表示对象的类型和标识符。S可能是对象的类名或类型，2是对象的标识符。
2、(2) - 这表示对象有两个属性。
3、["test"]=> string(7) "pikachu" - 这是对象的第一个属性。"test"是属性的名称，"pikachu"是属性的值。string(7)表示属性值是一个字符串，长度为7个字符。
4、["name"]=> string(8) "xiaoming" - 这是对象的第二个属性。"name"是属性的名称，"xiaoming"是属性的值。string(8)表示属性值是一个字符串，长度为8个字符。
5、综上所述，这段代码表示一个具有两个属性的对象实例。第一个属性名为test，值为pikachu，长度为7个字符。第二个属性名为name，值为xiaoming，长度为8个字符。这段代码可能是在某种编程语言中表示和打印对象的方式。

序列化与反序列化函数

serialize()和unserialize()是在PHP中用于对象序列化和反序列化的函数。它们可以将PHP数据结构转换为字符串表示形式，以便在存储或传输时使用，并在需要时重新还原为原始数据结构。

serialize(): 这个函数将一个PHP的值（包括对象、数组、字符串等）转换为一个序列化的字符串表示形式。它可以用于将数据保存到文件、数据库或通过网络发送给其他系统。例如，serialize($object)会将对象 $object 序列化为一个字符串。
unserialize(): 这个函数将一个序列化的字符串恢复为原始的PHP值。它用于反序列化先前通过serialize()函数序列化的数据。例如，unserialize($serializedData)会将序列化的字符串 $serializedData 还原为原始的PHP值。

使用serialize()和unserialize()可以实现对象的持久化存储、数据传输和跨系统通信。序列化的字符串可以在需要时进行存储、传输和再次还原为对象，从而方便地在不同的环境中使用相同的数据。然而，需要注意的是，serialize()和unserialize()在处理不受信任的数据时可能存在安全风险，因此在从外部或不可信源接收的数据上使用这些函数时需要谨慎防范潜在的安全漏洞。

序列化函数serialize()

将一个对象转换成一个字符串--序列化

注意：

创建类-->可生成对象

创建序列(序列化)-->也可生成对象

反序列化函数unserialize()

将字符串还原成一个对象--反序列化

魔术方法

魔术方法：当我们去使用某些行为的时候，它会触发相应类中的某个方法。
魔术方法是语言中保留的方法名，各个方法会在对应操作时自动调用，以PHP语言中的魔术方法来做讲解：
    
__construct()当创建对象时触发，一般用于初始化对象，对变量赋初值【常用--实例化某个对象时就触发】
__sleep()使用serialize()时自动触发【常用】
__wakeup()使用unserialize()时自动触发【常用】
__destruct()当一个对象被销毁时触发【常用--代码即将执行完成时销毁对象(释放内存)触发】
__toString()当一个类被当成字符串使用时触发【常用--当要回显/打印某个对象时触发】
__invoke()当尝试以调用函数的方式调用一个对象时触发
__call()在对象上下文中调用不可访问的方法时触发
__callStatic()在静态上下文中调用不可访问的方法时触发
__get()用于从不可访问的属性读取数据
__set()用于将数据写入不可访问的属性
__isset()在不可访问的属性上调用isset()或empty()触发
__unset()在不可访问的属性上使用unset()时触发

总结：
①反序列化的常见起点：
__wakeup 一定会调用
__destruct 一定会调用
__toString 当一个对象被反序列化后又被当做字符串使用
②反序列化的常见中间跳板：
__toString 当一个对象被当做字符串使用
__get 读取不可访问或不存在属性时被调用
__set 当给不可访问或不存在属性赋值时被调用
__isset 对不可访问或不存在的属性调用isset()或empty()时被调用。形如 $this->$func();
③反序列化的常见终点：
__call 调用不可访问或不存在的方法时被调用
call_user_func 一般php代码执行都会选择这里
call_user_func_array 一般php代码执行都会选择这里

序列化含义（例子2）

例如： O:4:"test":2:{s:3:"age";i:18;s:4:"name";s:3:"LEO";}

# 说明一
O：代表对象
4：代表对象名(类名)长度
test：对象名
2：代表2个成员变量(属性)
其余参照如下：(从左到右)
第一个属性：
s：字符串
3：字符串长度为3
age：属性的变量名
i：属性值的数据类型为整型
这里属性值为整型是不看长度的，所以整型的长度直接省略
18：属性值
第二个属性：
s：字符串
4：字符串长度为4
name：属性的变量名
s：属性值的数据类型为字符型
3：属性值的长度
LEO：属性值
注意：每个成员变量结束后加分号;隔开，包括最后一个。

# 说明二
1、O:4:"test":2: - 这表示对象的类型和长度信息。在这里，O表示对象，4表示对象名称的长度，"test"是对象的名称，2表示对象的属性数量。
2、s:3:"age"; - 这是对象的第一个属性。s表示字符串类型，3表示字符串的长度，"age"是属性的名称。
3、i:18; - 这是对象的第一个属性的值。i表示整数类型，18是属性的值，表示年龄为18岁。
4、s:4:"name"; - 这是对象的第二个属性。s表示字符串类型，4表示字符串的长度，"name"是属性的名称。
5、s:3:"LEO"; - 这是对象的第二个属性的值。s表示字符串类型，3表示字符串的长度，"LEO"是属性的值，表示姓名为"LEO"。
6、综上所述，这段代码表示一个包含两个属性的对象。第一个属性名为age，值为18（整数类型）；第二个属性名为name，值为"LEO"（字符串类型）。这种格式通常用于在不同系统之间传输和存储对象数据。

属性值的数据类型：

序列化实例

<?php
class test{
    public $id = 'Baize';
    public $name = 'Sec';
}
$test1 = new test();     //实例化
$test2 = serialize($test1);     //序列化
print_r($test2);       //打印序列化
?>

反序列化含义（例子2）

# demo-u2.php
报错：
<?php
header("Content-type: text/html; charset=utf-8");
class Foo{
    public $aMemberVar='aMemberVar Member Variable';
    public $aFuneName='aMemberFunc';
    function aMemberFunc(){
    print 'Inside `aMemberFunc)`';
    }
}
$tr='O:3:"Foo":2:{s:10:"aMemberVar";s:26:"aMemberVar Member Variable";s:9:"aFuncName";s:ll:"aMemberEunc";}';
$ttr=unserialize($tr);
var_dump($ttr);
?>