反序列化漏洞详解（一）

一、php面向对象

二、类

2.1 类的定义

2.2 类的修饰符介绍

三、序列化

3.1 序列化的作用

3.2 序列化之后的表达方式/格式

① 简单序列化

② 数组序列化

③ 对象序列化

④ 私有修饰符序列化

⑤ 保护修饰符序列化

⑥ 成员属性调用对象序列化

四、反序列化

4.1 反序列化的特性

4.2 反序列化的作用

五、反序列化漏洞

5.1 反序列化漏洞概述

5.2 魔术方法

魔术方法简介

什么是魔术方法

魔术方法的作用

魔术方法相关机制

重要魔术方法

六、pop链前置知识

一、php面向对象

面向对象程序设计(Object Oriented Programming,简称OOP)是一种计算机编程架构。面向对象思想的核心：计算机模拟现实世界，解决现实世界的问题。注意：面向对象思想很重要，其次是编程语言的语法。相比于面向过程，两者思想方式不同，面向过程注重功能，怎么一步一步去实现，其程序基本单位大多是函数组成的；而面向对象注重对象，是谁去做这个事情，也就是行为以及状态，其程序基本单位是对象，对象是通过类的实例化产生的。

二、类

2.1 类的定义

类是定义了一件事物的抽象特点，将数据的形式以及这些数据上的操作封装在一起，对象是具有类类型的变量，是类的实例。类是对象的抽象，而对象是类的具体实例。类的想法，把类实例化(new)，调用具体值后就变成了对象。

内部构成：成员变量(属性)+成员函数(方法)

成员变量：定义在类内部的变量，该变量对外是不可见的，但是可以通过成员函数访问，在类被实例化成为对象后，该变量即可成对象的属性。

成员函数：定义在类的内部，用于访问对象的数据，是实现某个独立的功能，类中一个行为

大白话解释一下(比较形象)：

类和对象的关系：类好比公司让你填写个人简介的表格有姓名年龄等如果没有人填写那么这个表格(类)将毫无用处，但是同学A 填写了这个表格，A填写完表格(对象)就是表格(类)的实例化表格实例化成为了一个对象，A就可以拿着简介去公司面试了，否则表格空空公司看都不看。举的例子中个人信息属于成员属性成员函数好比表格上写跳舞，电脑的操作者属于面试官对象属于填写完的表格信息当面试官查看个人信息的时候只能看到对象中的属性，这时候面试官看到对象里面写着个人爱好为跳舞，面试官对同学A说（执行类中函数）你跳舞吧，边跳舞边说自己的个人信息同学A就展示动作并说出自己的个人信息（这就是成员函数可以访问成员变量，并且个人信息别人是不知道的），（通过这也可以看出对象里有属性和方法，属性是可以一看看出来的，但是方法需要面试官主动让你跳，你才能跳）

继承：继承性是子类自动共享父类数据结构和方法的机制，是类之间的一种关系（也就是说一个类的子类和类本身是没有什么区别的）

2.2 类的修饰符介绍

在类中直接声明的变量成为成员属性(也可以成为成员变量)，可以在类中声明多个变量，即对象中可以有多个成员属性，每个变量都存储对象不同的属性信息

访问权限修饰符：对属性的定义定义权限

如果定义了权限就不可以在哪都能调用了

代码演示

<?php
class jianjie{  //定义一个类 简介的表格
  var $name; //定义一个属性 表格中需要填写的
  var $sex;  
  function dance($var1) { //定义一个方法 也就是跳舞
    echo $this->name."<br />";//如果对象为A A跳舞的时候可以说出自己的个人信息
    echo $var1."<br />";
    }
}
$A= new hero();//将类实例化为对象 也就是表格让同学A填写
$A->name='chengyaojin'; //同学A进行填写
$A->sex='man';
print_r($cyj);//面试官查看个人信息 只能查看到属性
$A->dance('tiaotiaotiao'); //面试官知道表格里有个跳舞，面试官就让A跳舞 A就跳舞了
?>

<?php
class hero{
  //三个属性 定义了该属性的权限
  public  $name='chengyaojin'; //公共的
  private  $sex='man';//私有的
  protected  $shengao='165';//私有加子类的
  function jineng($var1) {
    echo $this->name; //可以
    echo $var1;       //可以
    }
}
class hero2 extends hero{ //hero2位hero的子类
    function test(){
    echo $this->name."<br />";//可以
    echo $this->sex."<br />"; //不可以
    echo $this->shengao."<br />";//可以
    }
}
$cyj= new hero();
$cyj2=new hero2();
echo $cyj->name."<br />";
echo $cyj2->test();
?>

三、序列化

3.1 序列化的作用

序列化是将对象的状态信息(属性)转换为可以存储或传输的形式的过程（方便存储和方便传输）

将对象或者数组转化为可存储/传输的字符串

举例：如果有session 会把传进来的参数键值对转换成字符串存储在session文件里面

在php中使用函数serialize()来将对象或者数组进行序列化并返回一个包含字节流的字符串来表示

3.2 序列化之后的表达方式/格式

① 简单序列化

<?php
$a=null;
echo serialize($a);
?>

② 数组序列化

<?php
$a = array('benben','dazhuang','laoliu');
echo $a[0];
echo serialize($a);
?>

benben
a:3:{i:0;s:6:"benben";i:1;s:8:"dazhuang";i:2;s:6:"laoliu";}

③ 对象序列化

<?php
class test{
    public $pub='benben';
    function jineng(){
        echo $this->pub;
    }
}
$a = new test();
echo serialize($a);
?>

O:4:"test":1:{s:3:"pub";s:6:"benben";}

④ 私有修饰符序列化

<?php
class test{
    private $pub='benben';
    function jineng(){
        echo $this->pub;
    }
}
$a = new test();
echo serialize($a);
?>

O:4:"test":1:{s:9:"testpub";s:6:"benben";}
//因为pub是私有属性 序列化会在前面加上类名 并且类名前后要有空字符 所以一共是9个字符

⑤ 保护修饰符序列化

<?php
class test{
    protected $pub='benben';
    function jineng(){
        echo $this->pub;
    }
}
$a = new test();
echo serialize($a);
?>

O:4:"test":1:{s:6:"*pub";s:6:"benben";}
如果一个属性属于保护的修饰符 序列化的时候会在属性的前面加上* 并且*前后也会有空字符 一共是6个字符

⑥ 成员属性调用对象序列化

<?php
class test{
    var $pub='benben';
    function jineng(){
        echo $this->pub;
    }
}
class test2{
    var $ben;
    function __construct(){
        $this->ben=new test();
    }
}
$a = new test2();
echo serialize($a);
?>

O:5:"test2":1:{s:3:"ben";O:4:"test":1:{s:3:"pub";s:6:"benben";}}

整体演示

<?php
highlight_file(__FILE__);
class TEST {
    public $data;
    public $data2 = "dazzhuang";
    private $pass;

    public function __construct($data, $pass)
    {
        $this->data = $data;
        $this->pass = $pass;
    }
}
$number = 34;
$str = 'user';
$bool = true;
$null = NULL;
$arr = array('a' => 10, 'b' => 200);
$arr2 = array2('benben','dazhuang','tzy');
$test = new TEST('uu', true);
$test2 = new TEST('uu', true);
$test2->data = &$test2->data2;
echo serialize($number)."<br />";
echo serialize($str)."<br />";
echo serialize($bool)."<br />";
echo serialize($null)."<br />";
echo serialize($arr)."<br />";
echo serialize($test)."<br />";
echo serialize($test2)."<br />";
?>

i:34;
s:4:"user";
b:1;
N;
a:2:{s:1:"a";i:10;s:1:"b";i:200;}
a:3:{i:0;s:6:"benben";i:1;s:8:"dazhuang";i:2;s:6:"laoliu";}
O:4:"TEST":3:{s:4:"data";s:2:"uu";s:5:"data2";s:9:"dazzhuang";s:10:"TESTpass";b:1;}
O:4:"TEST":3:{s:4:"data";s:9:"dazzhuang";s:5:"data2";R:2;s:10:"TESTpass";b:1;}

注意

切记整型666被序列化后是 i:666; 分号要记住

实例化为对象后只会携带成员属性，做序列化的时候只会序列化属性，成员方法调用才有

带权限输出的时候最好用urlcode进行编码如果编码为url后就能看到test两边是空字符

s:10:"TESTpass" 明明8个字符确显示10个字符就是因为空字符的原因