首页 / PHP / PHP序列化与反序列化学习

PHP序列化与反序列化学习

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PHP序列化与反序列化学习，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含10339字，纯文字阅读大概需要15分钟。

内容图文

<h6>序列化与反序列化学习</h6>
把对象转换为字节序列的过程称为对象的序列化；把字节序列恢复为对象的过程称为对象的反序列化。
<pre><code><?php
class UserInfo {
 public $name = "admin";
 public $age = 1;
 public $blog = "file:///var/www/html/flag.php";
}
$data = new UserInfo();
echo serialize($data);
?>
</code></pre>
页面显示： 
<code>O:8:"UserInfo":3:{s:4:"name";s:5:"admin";s:3:"age";i:1;s:4:"blog";s:29:"file:///var/www/html/flag.php";}</code> 
此处调用到了serialize函数，对数据进行了序列化并返回了一组字符串。

<pre><code><?php
$sites = array(‘t1‘, ‘tt2‘, ‘ttt3‘);
$serialized_data = serialize($sites);
echo $serialized_data;
?>
</code></pre>
输出：<code>a:3:{i:0;s:2:"t1";i:1;s:3:"tt2";i:2;s:4:"ttt3";}</code>
对这个序列化的输出进行分析：

<pre><code>a:3表示数组里面有三个分类。
i:0：表示第一个数组。
s:2：表示有两个字符
"t1":表示内容为‘t1‘。
i:1：表示第二个数组。
s:3:"tt2"：标识有三个字符，内容为‘tt2‘
</code></pre>
反序列化：
 <?php
 $sites = array(‘t1‘, ‘tt2‘, ‘ttt3‘);
 $serializeddata = serialize($sites);
 #echo $serializeddata;
 $unserializeddata = unserialize($serializeddata);
 printr($unserializeddata);
 ?>
此时又生成回：<code>Array ( [0] => t1 [1] => tt2 [2] => ttt3 )</code>

其中：o表示对象,a表示数组,s表示字符,i表示数字
<h4>类</h4>
在php中，一个类可以包含有属于自己的常量，变量（属性）以及函数（方法） 
一段反序列化，序列化代码：（来自https://www.jianshu.com/p/8f498198fc3d）
<pre><code><?php
class Test
{
 public $handle1;
 private $handle2;
 protected $handle3;
 public function __construct($handle1,$handle2,$handle3)
 {
 $this->handle1 = $handle1;
 $this->handle2 = $handle2;
 $this->handle3 = $handle3;
 echo ‘__construct ‘;
 }
 public function __destruct()
 {
 echo $this->handle2.‘ ‘;
 echo ‘__destruct ‘;
 }
 public function __wakeup()
 {
 echo ‘__wakeup ‘;
 }
}
$obj = new Test("111","222","333");
$see = serialize($obj);
print ‘Serialized: ‘ . $see . ‘ ‘;
# %00Test%00v2 表示 private %00*%00v3 表示protected
$ss = ‘O:4:"Test":3:{s:7:"handle1";s:3:"777";s:17:"%00Test%00handle2";s:3:"888";S:14:"%00*%00handle3";s:3:"999";}‘;
$obj2 = unserialize($ss);
var_dump($obj2);
?>
</code></pre>
在这段php代码中： 
<code>$obj = new Test("111","222","333");</code>创建了类的实例，所以使用到了new的关键字。
在类中对于静态方法和静态属性的引用：

<pre><code>class Test{
public static $test = 1;
public static function test(){
}
}
</code></pre>
此时我们不用实例化对象，直接使用Test::$test就能获取$test属性的值，Test::test()这样可以直接调用静态方法test。

范围解析操作符：可以用于访问静态成员，类常量，还可以用于覆盖类中的属性和方法，即<code>：：</code>
<pre><code><?php
class MyClass {
 const CONST_VALUE = ‘A constant value‘;
}
$classname = ‘MyClass‘;
echo $classname::CONST_VALUE; // 自 PHP 5.3.0 起
echo ‘ ‘;
echo MyClass::CONST_VALUE;
?>
</code></pre>
此时我们就使用了变量静态地调用了类MyClass当中的常量，注意自 PHP 5.3.0 起，可以通过变量来引用类，但该变量的值不能是关键字。 
结果：

<pre><code>A constant value
A constant value
</code></pre>
使用子类覆盖父类：
<pre><code><?php
class OtherClass extends MyClass
{
 public static $my_static = ‘static var‘;
 public static function doubleColon() {
 echo parent::CONST_VALUE . "\n";
 echo self::$my_static . "\n";
 }
}
$classname = ‘OtherClass‘;
echo $classname::doubleColon(); // 自 PHP 5.3.0 起
OtherClass::doubleColon();
?>
</code></pre>
此时PHP不会调用父类中已被覆盖的方法，是否调用父类的方法取决于子类。
调用父类方法：
<pre><code><?php
class MyClass
{
 protected function myFunc() {
 echo "MyClass::myFunc()\n";
 }
}
class OtherClass extends MyClass
{
 // 覆盖了父类的定义
 public function myFunc()
 {
 // 但还是可以调用父类中被覆盖的方法
 parent::myFunc();
 echo "OtherClass::myFunc()\n";
 }
}
$class = new OtherClass();
$class->myFunc();
?>
</code></pre>
输出： 
<code>MyClass::myFunc() OtherClass::myFunc()</code> 
其中-> 是对象成员访问符号。 
例如：<code>$this->name = $value</code> 
其中：$this是特定变量，它代表了他的类，通过->我们可以访问其类的成员，所以这段代码的意思就是：将当前类的name变量的值设置为 $value. 
继承：类可以在声明中用 extends 关键字继承另一个类的方法和属性。PHP不支持多重继承，一个类只能继承一个基类。

<pre><code>class Father
{
 public $aar;
 public function bar ()
 {
 return ‘father‘;
 }
 final public function testFinal ()
 {
 return ‘father‘;
 }
}
class Son extends father
{
 public function bar ()
 {
 return ‘son‘;
 }
 public function callFatherBar ()
 {
 return parent::bar();
 }
 //Cannot override final method Father::testFinal()
 // public function testFinal()
 // {
 // }
 //如果父类定义是设置了final 则父类方法均不能覆盖 final class Father
 //属性无final的概念
}
echo (new Son())->bar();//son
echo (new Son())->callFatherBar();//father
</code></pre>
前面写类方法获取属性我们使用的是<code>::</code>这是在静态环境中，对于非静态的，我们使用$this->property即可。 
属性的声明由关键词：public，protected或者private开头，后面加上变量。 
即：

<pre><code>public $handle1;
private $handle2;
protected $handle3;
</code></pre>
我们声明了三个不同属性的变量：
三个关键字控制 public 公有；protected 受保护；private 私有的
<pre><code>public：可以在任何地方被访问
protected：可以被自身或其子类和父类访问，表示方式是在变量名前加上%00类名%00
private：只能被其定义所在的类访问，表示方式是在变量名前加个%00*%00
</code></pre>
还有关于常量的定义： 
<code>const constant = ‘constant value‘;</code>
<h6>构造函数</h6>
在PHP5中，可以在一个类中定义一个构造函数，具有构造函数的类，当每次创建新的对象的时候会先调用这个方法，以方便我们在使用对象前做一些初始化工作。

<pre><code>class Father
{
 function __construct ()//不可为private
 {
 echo ‘Father‘;
 }
}
class Child extends Father
{ //当Child无构造函数时，自动调用父类的 Father
 function __construct ()
 {
 echo ‘Child‘;
 }
 function callFatherConstruct ()
 {
 parent::__construct();
 }
}
$obj = new Child;//Child
$obj->callFatherConstruct();//Father
</code></pre>
子类中定义了构造函数，不会隐式的调用父类的构造函数，需要用parent::__construct()调用，如果子类没有构造函数，父类的构造函数将和普通函数一样被子类继承。
参考链接：<a href="https://www.cnblogs.com/ValleyUp/p/11181141.html">https://www.cnblogs.com/ValleyUp/p/11181141.html</a>
<h6>magic函数</h6>
php类包含magic函数的特殊函数，magic函数命名是以符号 __ 开头的，例如 __ sleep, __ wakeup,__ construct, __ destruct等。 
这些函数经常会被自动调用，construct当一个对象创建时被调用，destruct当一个对象销毁时被调用。 
常用的魔术方法有：

<pre><code>serialize()：检查类中是否存在一个魔术方法 __sleep()，优先调用此方法，然后执行序列化操作。
unserialize()：检查是否存在一个 __wakeup() 方法，优先调用此方法
__construct()：当一个对象创建时被调用
__destruct()：当一个对象销毁时被调用
__call()：当调用一个未定义(包括没有权限访问)的方法是调用此方法
__callStatic()：处理静态方法调用
__get()：当调用一个未定义的属性时访问此方法
__set()：给一个未定义的属性赋值时调用
__isset()：当在一个未定义的属性上调用isset()函数时调用此方法
__unset()：当在一个未定义的属性上调用unset()函数时调用此方法
__sleep()：常用于提交未提交的数据，或类似的清理操作，在对象被序列化之前运行
__wakeup()：用于预先准备对象需要的资源，在对象被反序列化之后被调用
__toString()：用于一个类被当成字符串时应怎样回应。例如 echo $obj; 应该显示些什么。此方法必须返回一个字符串
__invoke()：当尝试以调用函数的方式调用一个对象时，__invoke() 方法会被自动调用。
__set_state()，：当调用var_export()时，这个静态方法会被调用（自PHP 5.1.0起有效）。本方法的唯一参数是一个数组，其中包含按array(’property’ => value, …)格式排列的类属性。
__clone() ：对象赋值时使用的引用赋值，使用clone方法复制一个对象时，对象会自动调用__clone魔术方法
</code></pre>
当序列化字符串中，表示对象属性个数的值大于实际属性个数时，那么就会跳过wakeup方法的执行。 
拿php一个代码为例，综合上面学习的进行理解：
<pre><code><?php
class Connection //定义一个类，类名为Connection
{
 protected $link; //定义一个变量属性，可以被自身或其子类和父类访问
 private $server, $username, $password, $db; //定义了四个变量属性，只能被其定义所在的类访问。
 public function __construct($server, $username, $password, $db) //定义一个方法，可以在任何地方被访问
 {
 $this->server = $server; //$this是特定变量，它代表了他的类connection，通过->我们可以访问其类的成员如server等，将当前类的server变量的值设置为 $server.
 $this->username = $username; //同上，以下皆是。
 $this->password = $password;
 $this->db = $db;
 $this->connect();
 }
 private function connect() //定义一个方法，只能被其定义所在的类访问
 {
 $this->link = mysql_connect($this->server, $this->username, $this->password); //当前的link，用来连接mysql数据库。
 mysql_select_db($this->db, $this->link);
 }
 public function __sleep() //提交数据时，要进行的行为。
 {
 return array(‘server‘, ‘username‘, ‘password‘, ‘db‘); //提交的时候返回
 }
 public function __wakeup() //重新建立数据库连接
 {
 $this->connect();
 }
}
?>
</code></pre>
序列化得到字符串格式：

<pre><code>s:size:value:表示字符。
a:size:{键值；值；元素}，
例如a:3:{i:0;s:2:"t1";i:1;s:3:"tt2";i:2;s:4:"ttt3";}
i:0,表示第一个数组，s:2表示有两个字符，"t1",表示字符为t1。
O：对象长度：对象类名称：成员变量数：{类型：字符个数长度："具体值"；类型：长度："具体值"；.......}
O:4:"Test":3：{s:7:"handle1";s:3:"111";s:13:"Testhandle2";s:3:"222";s:10:"*handle3";s:3:"333";}
O:1:"A":2:{s:6:" A var";i:1139586461;s:4:"var2";s:1:"b";}
</code></pre>
反序列化能将类的成员变量还原，但是不能将类的方式还原。 
解析顺序： 
<img src="https://image.3001.net/images/20190731/1564545530_5d4111fa958d0.png!small" />
<h6>jsonencode/jsondecode</h6>
<pre><code><?php
$a=array(‘a‘=>‘cuit‘,‘b‘=>‘syclover‘,‘c‘=>‘dog‘);
//序列化数组
$s=json_encode($a);
echo $s;
//反序列化
$o=json_decode($s);
?>
</code></pre>
输出：<code>{"a":"cuit","b":"syclover","c":"dog"}</code>

原文：https://www.cnblogs.com/ophxc/p/12895995.html

内容总结

以上是互联网集市为您收集整理的PHP序列化与反序列化学习全部内容，希望文章能够帮你解决PHP序列化与反序列化学习所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1328706.html

来源：【匿名】

【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【PHP序列化与反序列化学习】教程文章相关的互联网学习教程文章

PHP反序列化漏洞总结【代码】【图】

写在前边　　做了不少PHP反序列化的题了，是时候把坑给填上了。参考了一些大佬们的博客，自己再做一下总结1.面向对象2.PHP序列化和反序列化3.PHP反序列化漏洞实例1.面向对象　　在了解序列化和反序列化之前，先简单了解一下PHP的面向对象。　　万物皆可对象。根据官方手册，PHP中，以关键字class定义一个类，一个类可以包含有属于自己的常量，变量（称为“属性”）以及函数（称为“方法”）。class People {//声明属性public$name;...

南邮PHP反序列化【代码】

题目如下：<?php class just4fun {var$enter;var$secret; }if (isset($_GET[‘pass‘])) {$pass = $_GET[‘pass‘];if(get_magic_quotes_gpc()){$pass=stripslashes($pass);}$o = unserialize($pass);if ($o) {$o->secret = "*";if ($o->secret === $o->enter)echo "Congratulation! Here is my secret: ".$o->secret;elseecho "Oh no... You can‘t fool me";}elseecho "are you trolling?"; } ?>主要是涉及了一个PHP对象深浅拷贝...

Php的序列化与反序列化【代码】

1．序列化的概念序列化是指将复杂的数据类型压缩成一个字符串，反序列化则是将被序列化的数据还原成之前的数据。PHP中序列化与反序列化的函数分别是：serialize(value), unserialize(str)如：<?php//php的序列化与反序列化//serialize(value)//unserialize(str)$arr = array(‘name‘=>‘xiaoming‘,‘sex‘=>‘男‘,‘age‘=>20);$str = serialize($arr);var_dump($str);$arr2 = unserialize($str);var_dump($arr2); ?>序列化为...

PHP反序列化字符逃逸详解【代码】【图】

这段时间遇到几个关于反序列化的字符逃逸的程序，今天来分享一下经验。<?php function filter($str){return str_replace(‘bb‘, ‘ccc‘, $str); } class A{public $name=‘aaaa‘;public $pass=‘123456‘; } $AA=new A(); $res=filter(serialize($AA));$c=unserialize($res); echo $c->pass;?> 以上面代码为例，如何在不直接修改$pass值的情况下间接修改$pass的值。代码的流程为：先序列化代码，然后将里面不希望出现的字符替换...

PHP数组序列化和反序列化【代码】【图】

PHP序列化在我们实际项目运行过程中是一种非常常见的操作。比如当我们想要将数组值存储到数据库时，就可以对数组进行序列化操作，然后将序列化后的值存储到数据库中。其实PHP序列化数组就是将复杂的数组数据类型转换为字符串，这样就方便数组存库操作。我们对PHP数组进行序列化和反序列化操作，主要就用到两个函数，serialize和unserialize。一、PHP数组序列化：serialize<?php$data=[‘PHP‘,‘HTML‘,‘Java‘,‘Python‘];echo ...

php反序列化漏洞-咖面Amber【代码】【图】

https://www.bilibili.com/video/BV1Ft41187ZXphp反序列化原理php序列化与反序列化基础序列化与反序列化序列化:将变量转换为可保存或传输的字符串的过程反序列化:在适当的时候把这个字符串转化为原来的变量使用php序列化与反序列化函数serialize:可以将变量转换为字符串并且在转换中可以保存当前变量的值unserialize:可以将serialize生成的字符串变换回变量php进行序列化的目的是保存一个对象方便以后重用类,变量,方法,对象<?php//...

Web_php_unserialize(序列化与反序列化)【代码】

题目题目是这样的很明显是一道 PHP 反序列化的题目，直接来看题目给出的流程首先判断当前是否存在 GET 参数 " var " ，若存在则对其进行 Base64 解码后存入 $var 变量 . 若不存在则输出当前页面源码对 $var 进行一个正则过滤，若通过正则过滤，则对其进行反序列化操作，否则响应提示信息 .题目中给出一个 Demo 类，需要注意一下其中三个魔术方法__wakeup()该方法是PHP反序列化时执行的第一个方法， unserialize()会先检...

CVE-2016-7124php反序列化漏洞复现【代码】【图】

CVE-2016-7124php反序列化漏洞复现0X00漏洞原因如果存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，但是序列化字符串中表示对象属性个数的值大于真实的属性个数时会跳过__wakeup的执行0X01漏洞影响版本PHP5 < 5.6.25PHP7 < 7.0.100X02漏洞详情PHP（PHP：HypertextPreprocessor，PHP：超文本预处理器）是PHPGroup和开放源代码社区共同维护的一种开源的通用计算机脚本语言。该语言主要用于Web开发，支持多种数据...

php _weakup()反序列化漏洞【代码】

概念&原理序列化就是使用 serialize() 将对象用字符串的方式进行表示；反序列化是使用 unserialize() 将序列化的字符串构造成相应的对象，为序列化的逆过程。序列化的对象可以是class或者是Array\String对象序列化与反序列化的作用对象是在内存中存储的数据类型，其寿命随着生成程序的终止而终止。为了将对象的状态保存下来，在需要的时候将其恢复，使用序列化将对象转化为二进制字符串进行保存。用于对象的传递。对象序列化示例...

BugkuCTF flag.php(反序列化)【图】

进去后是个登录页面，但是login根本不会跳转，看源码也没提示，但是这道题给了一个提示：hint，那么盲猜应该是一个get参数，因为post不能跳转，那么get总有内容吧，跟上hint参数，随便赋一个值。发现报出了源码审计一波发现只要cookie的值等于$key变量的序列化字符就能输出flag。那么发现之前没有给$key定义赋值，但是最下面出现了，我们先在本机上查看这种情况下的$key变量的序列化值发现这种情况下的序列化值是这样的，那么我...

PHP多种序列化/反序列化的方法

序列化是将变量转换为可保存或传输的字符串的过程。反序列化就是在适当的时候把这个字符串再转化成原来的变量使用。这两个过程结合起来。能够轻松地存储和数据传输，使程序更具维护性。 1. serialize和unserialize函数这两个是序列化和反序列化PHP中数据的经常使用函数。<?php$a = array(‘a‘ => ‘Apple‘ ,‘b‘ => ‘banana‘ , ‘c‘ => ‘Coconut‘);//序列化数组 $s = serialize($a); echo $s; //输出结果：a:3:{s:1:"a";s...

php -- 魔术方法之序列化和反序列化的触发函数：sleep(),wakeup()【图】

__sleep()：当对象被当做文件保存时会自动触发的方法。该方法要做的事情，就是返回一个要保存的对象数据的数组DB.class.php中修改再次保存效果读取db对象因为没有连接数据，不能操作。__wakeup()：当对象是从文件里读出来进行反序列化得到对象的时候，会自动触发的方法wakeup是用来进行资源的初始化原文：http://www.cnblogs.com/hf8051/p/4664767.html

Natas26 Writeup（PHP反序列化漏洞）【代码】【图】

Natas26：打开页面是一个输入坐标点进行绘图的页面。<html><head><link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css"><link rel="stylesheet" href="http://natas.labs.overthewire.org/css/jquery-ui.css"/><link rel="stylesheet" href="http://natas.labs.overthewire.org/css/wechall.css"/><script src="ht...

php的序列化和反序列化【图】

序列化__sleep的时候必要返回一个数组，一定返回对象的属性，否则报错，键值的key不重要，bbbbbbbbb根本不重要，主要是值是不是对象的属性的名字对上，也就是aa就不正确,a正确这里可以看见如果sleep里面返回的有对应属性的名字a那么后续的操作也就是$de->a=‘123‘;，最后序列化的结果会被保存下来如果没有对应属性的名字，比如这里b没有，那么后续的操作$de->a=‘123‘;执行的结果那不会保存下来，序列化的仍是默认的//$de->b=‘...

php魔术常量；数据（变量）序列化／反序列化；魔术方法；static后期静态绑定特性【图】

与类有关的魔术常量： __CLASS__,：获取其所在的类的类名。 __METHOD__：获取其所在的方法的方法名。class A{function f1(){echo __CLASS__； //输出“A”echo __METHOD__； //输出“f1”//注意：get_class()也可以得到类名，但其必须有个“对象”}}数据（变量）序列化／反序列化什么叫序列化：就是将一个变量的数据“转换为”字符串——但并不是类型转换。其目的（意图）是将该字符串“存储起来”（比如存为文本文件）然后在...

首页 / PHP / PHP序列化与反序列化学习

PHP序列化与反序列化学习

内容导读

内容图文

内容总结

内容备注

内容手机端

【PHP序列化与反序列化学习】教程文章相关的互联网学习教程文章

反序列化 - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程