了解php un serialize，防范安全风险

terry 2年前 (2023-09-30) 阅读数 49 #PHP

文章标签 PHP

1.什么是php un serialize

PHP 是一种流行的网络编程语言。它有一个叫做“serialize”的功能，可以将复杂的数据结构转换成可以存储或发送的字符串。相比之下，“unserialize”是一个将序列化字符串返回到 PHP 变量的函数。这个功能已经应用在很多地方，比如session、cookie等数据传输和数据库存储。

2。 php unserialize 的安全问题是什么

虽然serialize和unserialize功能非常有用，但它们也存在安全问题。由于unserialize无法保证您输入的字符串是安全的，因此它可能会被恶意应用程序利用。

例如，黑客可以创建包含恶意代码的序列化字符串，将其发送到目标应用程序，然后使用PHP的反序列化功能将其恢复为代码并在运行时执行。这样就可以攻击目标应用程序，实现窃取数据或控制应用程序等恶意行为。

3。如何避免 php 安全问题 unserialize

1。使用 unserialize 之前验证输入字符串

输入数据验证的良好实践。在使用unserialize之前，可以使用各种方法来验证输入的字符串，比如长度是否正确、是否包含非法字符等。这降低了攻击者构建恶意序列化字符串的可能性。

$data = $_GET['data'];
if(preg_match('/^[a-zA-Z0-9_\-]+$/',$data)){
    $obj = unserialize($data);
}
else{
    die('Invalid data!');
}

2。控制输入数据源

控制输入数据源是另一个好的实践。在Web上，您可以通过设置白色请求参数来确保只接收来自合法来源的数据。如果输入的数据不在白名单中，则可能会要求用户检查操作。

$whitelist = array('user1','user2','user3');
if(in_array($_GET['user'],$whitelist)){
    $obj = unserialize($_GET['data']);
}
else{
    die('Invalid user!');
}

3。严格控制反序列化对象

反序列化对象可能包含可执行代码或指向未定义类或函数的指针。为了避免安全问题，必须严格控制反序列化对象以确保它们仅执行可信操作。

class MyObject implements Serializable{
    public function serialize(){
        return serialize($this->value);
    }
    public function unserialize($data){
        if(is_numeric($data)){
            $this->value = (int)$data;
        }
        else{
            die('Invalid object!');
        }
    }
}
$data = 'O:7:"MyObject":1:{s:5:"value";s:1:"a";}';
$obj = unserialize($data);
// $obj->value = 97 (ASCII code for 'a')
// This is not what we expect, so the object is invalid