近些阵子反序列化缝隙横行，看了几篇文章，整个缝隙发现进程对错常有意思的，所以期望总结下来，共享给我们一同研究讨论，如有缺乏还请多多纠正。 正文 phar RCE 2019年HITCON上，baby cake这一题，触及到了本年BlackHat大会上的Sam Thomas共享的File Operation Induced Unserialization via the「phar://」Stream Wrapper这个议题，详细能够看这儿【传送门】。它的主要内容是，经过phar://协议对一个phar文件进行文件操作，如file_get_contents，就能够触发反序列化，然后达到RCE的作用。 由于在phar.c#L618处，其调用了 php_var_unserialize： if (!php_var_unserialize(metadata, &p, p + zip_metadata_len, &var_hash)) {[1][2][3][4]黑客接单网