编程语言
首页 > 编程语言> > 10、php反序列化

10、php反序列化

作者:互联网

10 反序列化

概念

      序列化就是把对象转换成字节流,便于保存在内存、文件、数据库;反序列化即逆过程,由字节流还原成对象。php允许保存一个对象方便以后重用,这个过程被称为序列化。

      为什么要有序列化这种机制呢?在传递变量的过程中,有可能遇到变量值要跨脚本文件传递的过程。试想,如果为一个脚本中想要调用之前一个脚本的变量,但是前一个脚本已经执行完毕,所有的变量和内容释放掉了,我们要如何操作呢?难道要前一个脚本不断的循环,等待后面脚本调用?这肯定是不现实的。serialize和unserialize就是用来解决这一问题的。

serialize可以将对象转换为字符串并且在转换中可以保存当前对象的值;

 

unserialize则可以将serialize生成的字符串变换回对象。PHP中序列化用于存储或传递PHP值的过程中,同时不丢失其类型和结构。

 

magic函数__construct和__destruct会在对象创建或者销毁时自动调用;

__sleep:serialize() 函数会检查类中是否存在一个魔术方法    __sleep()。如果存在,该方法会先被调用,然后才执行序列化操作。此功能可以用于清理对象,并返回一个包含对象中所有应被序列化的变量名称的数组。如果该方法未返回任何内容,则    NULL 被序列化,并产生一个 E_NOTICE 级别的错误。

__wakeup: unserialize() 会检查是否存在一个 __wakeup()方法。如果存在,则会先调用 __wakeup 方法,预先准备对象需要的资源。__wakeup() 经常用在反序列化操作中,例如重新建立数据库连接,或执行其它初始化操作。

__construct():当一个对象创建时被调用

__destruct():当一个对象销毁时被调用

__toString():当一个对象被当作一个字符串使用

实例1:文件删除

 

攻击代码

 

 

实例2:文件读取

 

 

标签:__,10,调用,对象,serialize,wakeup,序列化,php
来源: https://www.cnblogs.com/guike/p/11191424.html