反序列化漏洞详解

最新推荐文章于 2025-07-21 18:38:22 发布

原创

最新推荐文章于 2025-07-21 18:38:22 发布 · 3.9w 阅读

本文详细介绍了PHP中的序列化和反序列化概念，以及相关函数如serialize()和unserialize()的使用。讨论了反序列化漏洞的产生原因，通过魔术方法如__destruct()、__wakeup()和__toString()的示例展示了如何被利用，并提供了防御反序列化漏洞的建议。内容涵盖了PHP面向对象编程中的关键知识点和安全实践。

一、什么是序列化和反序列化

序列化是将对象转换为字符串以便存储传输的一种方式。而反序列化恰好就是序列化的逆过程,反序列化会将字符串转换为对象供程序使用。在PHP中序列化和反序列化对应的函数分别为serialize()和unserialize()。

二、什么是反序列化漏洞

当程序在进行反序列化时，会自动调用一些函数，例如__wakeup(),__destruct()等函数，但是如果传入函数的参数可以被用户控制的话，用户可以输入一些恶意代码到函数中，从而导致反序列化漏洞。

三、序列化函数（serialize）

当我们在php中创建了一个对象后，可以通过serialize()把这个对象转变成一个字符串，用于保存对象的值方便之后的传递与使用。

测试代码

<?php 
 class Stu{
    public $name = 'aa';
    public $age = 18;
    public function demo(){
        echo "你好啊";
    }
$stu = new Stu();
echo "<pre>";
print_r($stu);
//进行序列化
$stus = serialize($stu);
print_r($stus);
}

?>

查看结果：

四、反序列化(unserialize)

unserialize()可以从序列化后的结果中恢复对象（object）为了使用这个对象，在下列代码中用unserialize重建对象.

测试代码：

<?php 
	//定义一个Stu类
	class Stu
	{	
		//定义成员属性
		public $name = 'aa';
		public $age = 19;
		//定义成员方法
		public function demo()
		{
			echo '你吃了吗';
		}
	}
	//实例化对象
	$stu = new Stu();
	//进行序列化
	$stus = serialize($stu);
	print_r($stus);
	echo "<br><pre>";
	//进行反序列化
	print_r(unserialize($stus));
 ?>

查看结果：