PHP序列化与XXE漏洞攻防实验指南.pdfVIP

1PHP的序列化和反序列化函数

参

序列化函数：string

serialize(mixed

$value)。反

序列化函数：mixed

unserialize(string

$str)。

2

PHP中与反序列漏洞相关的魔术函数有哪些

参

通常以两个下划线开头的函数都是魔术方法，所谓的魔术无非就是会被自动调用罢了。

construct()

在对象创建时被调用

destruct()

在对象

销毁时被调用

toString()

当一个对象被当作一个字符

串使用时被调用

sleep()

在对象被序列化之前运行

wakeup()

在反序列化立刻被调用

3

定义一个轿车类，包含品牌和颜色属性。创建轿车对象，并完成序列化和反序列化。

参

1)

创建一个php文件serial.php，文件内容如下。

01.

?php

02.

class

车辆{

03.

var

$颜色;

04.

var

$品牌;

05.

function

构造($颜色,$品牌){

06.

$this‑颜色

=$颜色;

07.

$this‑品牌=$品牌;

08.

}

func