m0_46390077的博客

JAVA反序列化漏洞是由于开发者重写了readObject方法，该readObject方法方法调用了别的方法，最终执行到了例如Transfrom方法的危险方法。person调用talk时时调用了自己的talk，student中没有自己的talk但是student继承了person父类的talk方法。方法，该方法用于向标准输出设备（通常是控制台）打印一行字符串并自动换行。在这里，它打印出的是字符串"lin"。：这一行是在主方法内部的唯一一行代码，它调用了Java内置的。自己有了talk就调用自己的。

这里的$s可以进行传参判断是否能够被反序列化，即上传的参数是否经过序列化如果上传的序列化后的参数，将上传的数据反序列化后，自动执行魔术方法 __construct() ，$unser->test 用来输出反序列化后的对象的 test 属性的值到页面上。

​ PHP的反序列化和java的反序列化是两种不同的类型，序列化和反序列化本身没有漏洞点，只是为了实现数据的完整高效的传输。​ PHP反序列漏洞是由于类里面的魔术方法调用了某个函数，该危险函数又调用了别的函数，最终执行到了危险函数的位置转存中…(img-6467S4OE-1700661213322)]