日本語
日本語
脱力化とは、JSONまたはPHPに固有のシリアル化形式など、特定の形式で保存されたデータをオブジェクトまたはデータ構造に再構成するプロセスです。 PHPでは、「serialize（） `関数を元のオブジェクトまたは配列に使用してシリアル化後に保存されたデータを復元できます。
PHPでは、脱出は単純なプロセスであると思われ、多くの開発者はこの機能をコードで頻繁に使用しています。例えば：
クラスユーザー{
public $ name;
public $ email;
}
$ user = new user（）;
$ user-> name = "Alice";
$ user-> email = "[email protected]";
// Serialized Object $ serializeduser = serialize（$ user）;
//オブジェクトdeserialize $ unserializeduser = unserialize（$ serializeduser）;
この操作は外観に問題はありませんが、潜在的なリスクは、脱上化が深刻なセキュリティの脆弱性をもたらす可能性があることです。
脱出によってもたらされる主な問題の1つは、セキュリティです。悪意のあるユーザーは、「unserialize（）」機能に提供されたデータを制御することにより、すべてのオブジェクトを埋め込み、これらのオブジェクトを使用して不正な操作を実行できます。
オブジェクトインジェクション攻撃は、攻撃の一般的な方法です。攻撃者は、特定のシリアル化されたデータを構築して、既存のクラスのオブジェクトを作成し、特定のメソッドをトリガーできます。機密操作を含む方法があり、攻撃者は特別に作成されたシリアル化されたデータを送信してこの方法を呼び出して、不必要なセキュリティの脆弱性をもたらすことができるとします。
クラスマネージャー{
public function deleteuser（）{
//ユーザーのロジックを削除}
}
//攻撃者によって構築された悪意のあるオブジェクト$ maliousobject = 'o：5： "admin"：0：{}'; //悪意のあるオブジェクトUnserialize（$ maliousobject）;
この例では、悪意のあるオブジェクトが誤って作成され、「DeleteUser」メソッドをトリガーし、システム全体のセキュリティに影響を与える可能性があります。
脱出中の効果的なデータ検証の欠如も重要な問題です。多くの開発者は、脱必要な際にデータの合法的なチェックを実行しません。違法なオブジェクトを処理したり、予期せぬ回答を見せたりするときにプログラムをクラッシュさせます。この場合、攻撃者は偽のデータを渡して、コードの潜在的な脆弱性を活用できます。
脱isionによってもたらされるセキュリティリスクを減らすために、開発者に役立ついくつかのプラクティスがあります。
PHP固有のシリアル化方法の代わりにJSONの使用を検討してください。 JSONは、コードを実行する機能を持たない軽量のデータ交換形式です。したがって、データが改ざんされていても、攻撃者は実行可能なコードを単純に挿入することはできません。
$ data = ['name' => 'alice'、 'email' => '[email protected]']; $ jsondata = json_encode（$ data）; // JSONにシリアル変化します $ decodedData = json_decode（$ jsondata）; //降下
PHPは、「Unserialize」関数に2番目のパラメーターを提供します。このパラメーターは、不正なオブジェクトを制限できます。たとえば、「unserialize（）」と呼ばれると、脱出を許可するクラスを明示的に定義できます。
$ AldoctClasses = ['user']; $ unserializedObject = unserialize（$ serializedData、["Aldoct_classes" => $ alasplasses]）;
脱気面化オブジェクトは、PHPのシンプルで便利な機能のように思えるかもしれませんが、それらの背後にあるセキュリティリスクは無視することはできません。開発者は、関連する脱皮の関連する操作を真剣に受け止め、潜在的な攻撃面を減らすために適切な代替案とセキュリティ対策を採用する必要があります。コードのセキュリティとデータの信頼性を確保することによってのみ、アプリケーションとそのユーザーのデータセキュリティを効果的に保護できます。
