Web攻防10_PHP反序列化_概念&魔术方法&POP链构造

1、什么是反序列化操作？ - 类型转换

- PHP & JavaEE & Python

序列化：将对象转换为数组或字符串等格式

反序列化：将数组或字符串等格式转换成对象

相关函数

serialize() //将对象转换成一个字符串

unserialize() //将字符串还原成一个对象

为什么要序列化（将对象转换为字节序列字符串格式）？

1. 要将对象状态保存在文件或数据库中时，无法直接保存，需要将对象进行序列化，读取时反序列化
2. 要将对象进行远程传输时（如前后端交互发送数据），将字符化的数据进行传输，接收后进行反序列化

2、常见PHP魔术方法- 对象逻辑

魔术方法概念

一个类中自带的特殊的方法，可以不需要主动调用，会在程序运行的一些特殊时刻自动触发。

魔术方法名称不可更改，但是可以重写。

常见魔术方法

• __construct(): 在实例化一个对象时自动调用，用于对象的初始化操作。
• __destruct(): 在对象被销毁时自动调用，用于执行清理操作。
• __get($property): 在访问一个不可访问的属性时自动调用，用于获取属性的值。
• __set($property, $value): 在给一个不可访问的属性赋值时自动调用，用于设置属性的值。
• __isset($property): 在对不可访问的属性使用 isset() 或 empty() 时自动调用，用于判断属性是否已设置。
• __unset($property): 在对不可访问的属性使用 unset() 时自动调用，用于销毁属性。
• __call($method, $arguments): 在调用一个不可访问的方法时自动调用，用于动态调用方法。
• __callStatic($method, $arguments)