本文介绍: 例如，在反序列化一个恶意的对象时，攻击者可以通过重写__construct方法或者__wakeup方法来执行一些非法的代码，比如执行系统命令、读取敏感文件等。如果反序列化的参数受到攻击者的控制，就会产生漏洞。PHP中存在可利用的类，且类中有魔术方法: 漏洞的触发还依赖于PHP中存在可利用的类，并且该类中实现了魔术方法。攻击者可以通过操纵序列化字符串中的数据来控制反序列化的过程，从而导致漏洞的触发。序列化与反序列化漏洞的精髓在于攻击者可以构造恶意的序列化字符串，使得应用程序在反序列化时执行攻击者指定的操作。
1、原理:
序列化与反序列化是保证数据一致性的过程。
2、产生:
序列化与反序列化的过程中，用户可控
如果反序列化的参数受到攻击者的控制，就会产生漏洞。攻击者可以通过修改参数个数等方式来控制反序列化过程，从而导致代码执行、SQL注入、目录遍历等不可控后果。如果在反序列化过程中没有对用户输入的序列化字符串进行检测，就会导致安全漏洞。
3、触发:
unserialize()函数参数可控: 漏洞的触发点在于调用了unserialize()函数，并且该函数的参数是可被用户控制的。攻击者可以通过操纵序列化字符串中的数据来控制反序列化的过程，从而导致漏洞的触发。
PHP中存在可利用的类，且类中有魔术方法: 漏洞的触发还依赖于PHP中存在可利用的类，并且该类中实现了魔术方法。攻击者可以通过构造特定的序列化字符串来触发目标类中的魔术方法，进而执行恶意代码或者产生其他不可预期的行为。
4、魔术方法
PHP中以双下划线为前缀开头的方法，统称为魔术方法。这些方法都是系统预定义的特殊方法，在类或对象发生某个事件之前或之后，会自动调用这些方法，无需手动进行调用。如果希望根据自己的程序定制特殊功能的类，就需要对这些方法进行重写。
常见的魔术方法包括:
- __construct: 在对象创建时(new)自动调用。
- __destruct: 在对象销毁时自动调用。允许在销毁一个类之前执行一些操作或完成一些功能，比如关闭文件、释放结果集等。
- __sleep: 在使用serialize()函数时自动调用。
- __wakeup: 在
原文地址:https://blog.csdn.net/weixin_43263566/article/details/135596770
本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.7code.cn/show_56504.html
如若内容造成侵权/违法违规/事实不符，请联系代码007邮箱：suwngjj01@126.com进行投诉反馈，一经查实，立即删除！
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
