php反序列化数据 php反序列化漏洞原理
php中序列化与反序列化
把复杂的数据类型压缩到一个字符串中
创新互联坚持“要么做到，要么别承诺”的工作理念，服务领域包括：成都做网站、网站设计、企业官网、英文网站、手机端网站、网站推广等服务，满足客户于互联网时代的陇川网站设计、移动媒体设计的需求，帮助企业找到有效的互联网解决方案。努力成为您成熟可靠的网络建设合作伙伴！
serialize() 把变量和它们的值编码成文本形式
unserialize() 恢复原先变量
eg:
结果：a:3:{i:0;s:3:"Moe";i:1;s:5:"Larry";i:2;s:5:"Curly";}
Array ( [0] = Moe [1] = Larry [2] = Curly )
当把这些序列化的数据放在URL中在页面之间会传递时，需要对这些数据调用urlencode()，以确保在其中的URL元字符进行处理：
margic_quotes_gpc和magic_quotes_runtime配置项的设置会影响传递到unserialize()中的数据。
如果magic_quotes_gpc项是启用的，那么在URL、POST变量以及cookies中传递的数据在反序列化之前必须用stripslashes()进行处理：
如果magic_quotes_runtime是启用的，那么在向文件中写入序列化的数据之前必须用addslashes()进行处理，而在读取它们之前则必须用stripslashes()进行处理：
当对一个对象进行反序列化操作时，PHP会自动地调用其__wakeUp()方法。这样就使得对象能够重新建立起序列化时未能保留的各种状态。例如：数据库连接等。
php的序列化和反序列化有什么好处
序列化是将变量转换为可保存或传输的字符串的过程；反序列化就是在适当的时候把这个字符串再转化成原来的变量使用。这两个过程结合起来，可以轻松地存储和传输数据，使程序更具维护性。
PHP中的序列化和反序列化分别通过函数serialize()和unserialize()即可实现。serialize()的参数可以是resource类型外的所有变量类型，最常见的是用来序列化对象，unseialize()将serialize的返回结果作为参数，进行反序列化，得到原对象。
在PHP中，序列化和反序列化很多地方都可以用到！~
例如：数据库连接，序列化数组等等。
php数据库数组反序列化取指定内容
$str = 'a:2:{i:0;b:0;s:8:"bankinfo";a:1:{i:1;a:2{s:6:"bankid";i:1;s:7:"cardnum";s:4:"adda";}}}';
$res = unserialize($str);
echo $res['bankinfo'][1]['cardnum'];
这个数组整个结构是
Array (
[0] = false
[bankinfo] = Array (
[1] = Array (
[bankid] = 1
[cardnum] = adda
)
)
)
请写出php变量序列化和反序列化的函数，并举出1个应用例子
PHP中的序列化和反序列化分别通过函数serialize()和unserialize()即可实现。serialize()的参数可以是resource类型外的所有变量类型，最常见的是用来序列化对象，unseialize()将serialize的返回结果作为参数，进行反序列化，得到原对象。$str = serialize ($obj);...$obj222 = unserialize($str);现在可以用$object222对象来执行该对象可以执行的各种操作。在用serialize序列化对象时，会自动调用__sleep方法，__sleep方法必须返回一个数组，包含需要串行化的属性。 PHP会抛弃其它属性的值， 如果没有__sleep方法，PHP将保存所有属性，包括private属性。用unserialize反序列化对象时，PHP 会调用__wakeup方法。__sleep和__wakeup方法可以根据实际需要，都添加上，也可以只要其中的一个，当然也可以都不要。下面给出一个序列化的代码：共serialize.php和unserialize.php两个文件。// serialize.php?php
class User
{
private $name;
private $id;
public $sex="F";
function __construct()
{
//give user a unique ID 赋予一个不同的ID
$this-id = uniqid();
}
function __sleep()
{
//do not serialize this-id 不串行化id
return(array("name","sex"));
}
function __wakeup()
{
//give user a unique ID
$this-id = uniqid();
}
function p(){
echo "in function p() \t";
return $this-name;
}
function setname($name){
$this-name = $name;
}
} //create object 建立一个对象
$u = new User;
$u-setname("pphu");
//serialize it 串行化
$s = serialize($u);
echo "in serialize.php br/";
print_r($s);
echo "br/";
print_r($u);
echo "br/br/";
? //// unserialize.php?php
include('serialize.php');
//global $s;
$u2 = unserialize($s);
echo "in unserialize.phpbr/";
echo $u2-p()."br/";
echo $u2-sex."br/";
print_r($u2);
?
新闻名称：php反序列化数据 php反序列化漏洞原理
文章源于：http://scyanting.com/article/doodies.html
