PHP是否对字符串中的对象进行反序列化工作？

Question

serialize($_POST); 

其中$_POST总是一个数组。我控制一个数组值，例如$_POST['evil']。使用这种结构可以进行非序列化攻击吗？

我不能让它和这样的结构一起工作：

a:2:{s:4:"evil";s:76:"s:26:"EXPLOIT_OBJECT_INSIDE_HERE";}

Answer 1

利用非序列化的通常方法是调用代码执行(使用所提供的数据取消序列化类中定义的对象触发__唤醒法 )。数组没有方法，因此不能使用它们来利用这一点。请注意，类是已经定义的服务器端。

这并不能解决PHP非序列化函数中更一般的漏洞，但是序列化格式的性质以及PHP在变量中管理数据的方式使得这样的漏洞不太可能出现，而且我也不知道有这样的漏洞。