php 反序列化漏洞簡介

0x01.反序列化漏洞介紹 序列化在內部沒有漏洞，漏洞產生是應該程序在處理對象、魔術函數以及序列化相關的問題導致的 當傳給unserialize()的參數可控時，那麼用戶就可以注入payload,進行反序列化的時候就可能觸發對象中的一些魔術方法。 什麼是序列化（serialize）？ 對象的狀態信息轉換爲可以存儲或傳輸的形式的過程 在序列化期間，對象將當前的狀態寫入到臨時或持久性的存儲區 【將狀態

>>阅读原文<<