Java反序列化和PHP反序列化的区别

这篇具有很好参考价值的文章主要介绍了Java反序列化和PHP反序列化的区别。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

反序列化存在的意义是为了数据传输，类是无法直接进行传输的。通过序列化后转换为字符串格式或者JSON格式进行传输。

序列化与反序列化

seriallization 序列化：将对象转化为便于传输的格式，常见的序列化格式：二进制格式，字节数组，json字符串，xml字符串。
deseriallization 反序列化：将序列化的数据恢复为对象的过程。

PHP反序列化漏洞

PHP反序列化

serialize()将对象序列化成字符串。
unserialize()将字符串反序列化回对象。

序列化

对象转换成字符串
方便传输

反序列化

字符串转换成对象
O：object

<?php
    //创建类
    class Stu{
        public $name;
        public $age;
        public $sex;
    }
	
	//创建对象
    $stu1 = new Stu();
    $stu1->name = "wuhu";
    $stu1->age = 18;
    $stu1->sex = true;
    var_dump($stu1);
    echo "<hr />";
    echo serialize($stu1);

?>

Java反序列化和PHP反序列化的区别,Web漏洞原理,网络安全,系统安全,安全,开发语言,java,php,反序列化

类中的魔术方法，在特定情况下会自动调用。即使魔术方法在类中没有被定义，也是真实存在的。

两个下划线：

__construct()：在创建对象时自动调用。
__destruct()：：在销毁对象时自动调用。
__wakeup()：unserialize()时会自动调用这个函数。
__sleep()：serialize()时会自动调用这个函数。

以_开头的函数，是PHP中的魔术方法，是为了更快的响应。__wakeup()和__sleep()方法在互联网上会被频繁调用。

反序列化漏洞不能通过黑盒测试来查找漏洞。只能通过白盒测试，也就是代码审计。

反序列化漏洞攻击者是不可控的，因为功能代码全是开发者自己写的。

<?php

    class animal{
        public $name;
        public $age;

        public function __sleep(){
            if(@$_GET['cmd']=="abc"){
                a();
            }
        }

    }

    $an1=new animal;

    $an1->name="dog";
    $an1->age=3;

    //var_dump($an1);

    @serialize($an1);

?>

Java反序列化和PHP反序列化的区别,Web漏洞原理,网络安全,系统安全,安全,开发语言,java,php,反序列化

什么是反序列化漏洞？

序列化和反序列化本身是为了实现数据在网络上完整高效的传输，但是由于反序列化过程中，对象的魔术方法会自动调用，魔术方法本身调用了别的方法，最终呈现一种链式调用，直到执行任意的代码或者命令。并且危险函数的参数可控。

修改序列化后的数据，目的是什么？

为了满足一定的条件以后实现链式调用。

Java反序列化漏洞

序列化：

ObjectOutputStream --> writeObject()

反序列化:

ObjectInputStream --> readObject()

实验

Person类

import java.io.IOException;
import java.io.ObjectInputStream;
import java.io.Serializable;

public class Person implements Serializable {
    public int age;
    public String name;

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
        Runtime.getRuntime().exec("calc");
        // 默认的反序列化操作
        in.defaultReadObject();
    }
}

注意：想让某个类执行序列化或者反序列化必须实现Serializable接口。

Test类

import java.io.*;

public class Test {
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        Person p=new Person();
        p.age=18;
        p.name="wuhu";
		
        //将Person这个类的对象序列化后存放到wuhu.bin文件中
        //没有指定路径就表示存放到当前路径中
        serialize(p,"wuhu.bin");


        System.out.println("反序列化结果：" + deserialize("xiu.bin"));
    }
	
    //序列化
    public static void serialize(Object obj, String filePath) throws IOException {
        try (FileOutputStream fileOut = new FileOutputStream(filePath);
             ObjectOutputStream objectOut = new ObjectOutputStream(fileOut)) {
            objectOut.writeObject(obj);
        }
    }
	
    //反序列化
    public static Object deserialize(String filePath) throws IOException, ClassNotFoundException {
        try (FileInputStream fileIn = new FileInputStream(filePath);
             ObjectInputStream objectIn = new ObjectInputStream(fileIn)) {
            return objectIn.readObject();
        }
    }
}