xiaoheizi的博客

_reduce__()魔术方法，魔术方法中执行了传递的参数，参数意思是：执行调用计算器的系统命令。__reduce__()和__reduce_ex__()魔术方法：对象被反序列化时自动调用。__setstate__()魔术方法：对象被反序列化时自动调用。__getstate__()魔术方法： 对象被序列化时自动调用。读取文件， 将文件中的序列化内容反序列化为对象。安装后会在当前Python目录下script。将字符串格式的字节流反序列化为对象。安装后会在当前Python目录下。parseObject等。

http参数，cookie，sesion，存储方式可能是base64(rO0），压缩后的base64(H4s),MII等Servlets http,Sockets,Session管理器，包含的协议就包括：JMX,RMI,JMS,JND1等(\xac\Xed) xm lXstream,XmldEcoder等（http Body:Content-type: application/xml）json(jackson,fastjson)http请求中包含。运行反序列化代码，可以看到序列化的数据被还原了。

_sleep(): //serialize()函数会检查类中是否存在一个魔术方法__sleep() 如果存在，该方法会被优先调用。当对不可访问属性调用 isset() 或 empty() 时，__isset() 会被调用。因为__toString()魔术方法是在把对象当做字符串使用的时候会被调用，所以这里会触发__toString()魔术方法。__isset(): //在不可访问的属性上调用isset()或empty()触发。

_sleep(): //serialize()函数会检查类中是否存在一个魔术方法__sleep() 如果存在，该方法会被优先调用。控制序列化字符串内的变量值为”ver“ ：O:1:"C":1:{s:3:"cmd";s:3:"ver";__isset(): //在不可访问的属性上调用isset()或empty()触发。序列化结果：O:1:"C":1:{s:3:"cmd";__unset(): //在不可访问的属性上使用unset()时触发。