PHP反序列化

序列化

序列化是将对象的状态信息转换为可以存储或传输的形式的过程；
不同的类型序列化结果不同；

    序列化
对象——————》字符串
$a = null;
echo serilaize($a);
空字符：N
整型：i：123
浮点型：d：2.2
bool型：b：1/0
字符串：s：长度：“xxx”

不能序列化‘类’，可以序列化‘对象’；
private私有属性序列化时，在变量名前加“%00类名%00”；
protected受保护属性序列化时，在变量名前加“%00*%00”;

反序列化漏洞生成poc时需要：urlencode(serialize($a));

反序列化特性

• 反序列化之后的内容为一个对象；
• 反序列化生成的对象里的值，由反序列化里的值提供；与原有类预定义的值无关；

$a = array('aby', 'hell');
$j = abya:2:{i:0;s:3:"abc";i:1;s:4:"hell";}
var_dump($j)===>abc,hell

• 反序列化不触发类的成员方法；需要调用方法后才能触发；

class test{private $a;function f() {echo 'hello';}
}
class test1{protected $b;function g() {echo $b;}function __construct(){$this->b = new test;}}
$c = new test1;
echo serialize($c);
$j =O:5:"test1":1:{s:4:.....";
$j->g();
?>

可以直接通过反序列化对象来调用原本类中的成员方法，不需要实例化；
但是原本的类不能被删除，否则不能调用，且输出的值是当前反序列化对象的值，而不是类原有的值；