1.1什么是序列化
序列化. 序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程
1.2PHP如何序列化数据？
大多数情况下，我们需要将复杂的数组存储在数据库中或PHP中的文件中。有些人可能会使用PHP内置函数来完成这项任务。所谓复杂数组是具有多个数据类型或数组的元素的数组。
1.3序列化实现
PHP序列化处理共有几种，分别为php、php_serialize、php_binary和WDDX(需要编译时开启支持)，默认为php，可通过配置中的 session.serialize_handler 修改。
如果 PHP 编译时加入了 WDDX 支持，则只能用 WDDX，WDDX从PHP 7.4版本后开始弃用。从 PHP 5.5.4 起可以使用 php_serialize。 php_serialize 在内部简单地直接使用 serialize/unserialize 函数，并且不会有 php 和 php_binary 所具有的限制。
其中PHP处理器的格式为：键名 + 竖线 + 经过serialize()函数序列化处理的值。
其中php_binary处理器的格式为：键名的长度对应的 ASCII 字符 + 键名 + 经过serialize()函数序列化处理的值。
其中php_serialize处理器的格式为：经过serialize()函数序列化处理的数组。
1.4 序列化格式
boolean b:; b:1; // true b:0; // false integer i:; double d:; NULL N; string s::""; s:1:"s"; array a::{key, value}; a:1:{s:4:"key1";s:6:"value1";} // array("key1" => "value1"); object O::""::{}; reference 指针类型 R:reference; O:1:"A":2:{s:1:"a";i:1;s:1:"b";R:2;} $a = new A();$a->a=1;$a->b=&$a->a; 1.5 private与protect
private与protect变量和public变量不同，不能直接设置。
private属性只能在其被定义的类内部访问，且不会被继承，在属性前加上类名，即 %00className%00 用于标定其是私有的。
protected属性可以在父类和子类中访问，变量前添加 %00*%00 用于标定其是受保护的。
1.6 反序列化漏洞
php在反序列化的时候会调用 __wakeup / __sleep 等函数，可能会造成代码执行等问题。若没有相关函数，在析构时也会调用相关的析构函数，同样会造成代码执行。
另外 __toString / __call 两个函数也有利用的可能。
其中 __wakeup 在反序列化时被触发，__destruct 在GC时被触发， __toString 在echo时被触发, __call 在一个未被定义的函数调用时被触发。
tips：PHP __destruct触发时间 （GC）
1 对象被null
2 对象被unset
3 对象用完自动触发
SoapClient 原生利用
php中的SoapClient类可以创建soap数据报文，在非wsdl模式下，SoapClient的实例反序列化的时候会对第二个参数指明的url进行soap请求，该特性可用于SSRF。
tips：(1条消息) SoapClient原生类在开发以及安全中利用_合天网安实验室的博客-CSDN博客_soapclient
其中wdsl接口 WSDL描述Web服务的公共接口。这是一个基于XML的关于如何与Web服务通讯和使用的服务描述
ZipArchive 原生利用
php原生类 ZipArchive::open() 中的flag参数如果设置为 ZipArchive::OVERWRITE 时，会删除指定文件，该特性在一定条件下可以用于删除文件。
PHP Session中的利用
PHP中的Session的实现是没有的问题，危害主要是由于程序员的Session使用不当而引起的。
如果在PHP在反序列化存储的$_SESSION数据时使用的引擎和序列化使用的引擎不一样，会导致数据无法正确第反序列化。通过精心构造的数据包，就可以绕过程序的验证或者是执行一些系统的方法
$_SESSION['ryat'] = '|O:11:"PeopleClass":0:{}';上述的$_SESSION的数据使用php_serialize，那么最后的存储的内容就是a:1:{s:6:"spoock";s:24:"|O:11:"PeopleClass":0:{}";}。
但是我们在进行读取的时候，选择的是php，那么最后读取的内容是:
array (size=1) 'a:1:{s:6:"spoock";s:24:"' => object(__PHP_Incomplete_Class)[1] public '__PHP_Incomplete_Class_Name' => string 'PeopleClass' (length=11)这是因为当使用php引擎的时候，php引擎会以|作为作为key和value的分隔符，那么就会将a:1:{s:6:"spoock";s:24:"作为SESSION的key，将O:11:"PeopleClass":0:{}作为value，然后进行反序列化，最后就会得到PeopleClas这个类。
这种由于序列话化和反序列化所使用的不一样的引擎就是造成PHP Session序列话漏洞的原因。
具体利用请看 PHP中SESSION反序列化机制 | Spoock
Phar反序列化
phar反序列化就是可以在不使用php函数unserialize()的前提下，进行反序列化，从而引起的严重的php对象注入漏洞
Phar是将php文件打包而成的一种压缩文档，类似于Java中的jar包。它有一个特性就是phar文件会以序列化的形式储存用户自定义的meta-data。以扩展反序列化漏洞的攻击面，配合phar://协议使用。
来源地址：https://blog.csdn.net/qq_62886656/article/details/127153207
