检测PHP反序列化漏洞的关键是确认用户可控输入是否被当作序列化字符串送入unserialize()流程且无白名单或签名校验，常见入口参数包括data、payload、obj等，可通过传入O:1:"A":0:{}等特征字符串观察报错、回显、延迟或OOB请求来综合判断。
检测 PHP 应用是否存在反序列化漏洞，关键不是直接找 unserialize() 函数，而是通过黑盒行为观察 + 特征验证组合判断。重点在于确认“用户可控输入是否被当作序列化字符串送入反序列化流程”，且该流程未做白名单或签名校验。
看参数是否接收序列化格式数据
常见入口参数名包括：data、payload、obj、o、serialized、request、_input、token 等。对这些参数尝试传入典型 PHP 序列化字符串，例如：
-
O:1:"A":0:{}（非法类名，触发解析失败） -
a:1:{i:0;s:3:"abc";}（合法数组序列化） -
O:4:"Test":0:{}（虚构类名，看是否报错）
若返回类似 Notice: unserialize(): Error at offset、Warning: Erroneous data format 或空白响应但服务端日志报错，说明后端确实调用了 unserialize()，且未屏蔽错误输出。
观察响应中是否暴露魔术方法触发痕迹
PHP 反序列化过程中会自动调用 __wakeup()（反序列化后立即）、__destruct()（对象销毁时）等魔术方法。可构造含可控属性的 payload 并观察响应变化：
立即学习“PHP免费学习笔记（深入）”；
- 传入
O:1:"S":1:{s:4:"test";s:5:"hello";}，若页面回显hello，说明__wakeup()或__toString()被触发且输出了属性值 - 若请求变慢（如延迟 3–5 秒），可能
__destruct()中执行了sleep()或system()类操作 - 结合 OOB 技术（如 DNSLog、interactsh）发送带外请求，确认是否真正触发了 gadget 链
检查是否使用危险组件或框架默认行为
某些组件在无配置防护时默认启用反序列化，属于高危信号：
- Laravel：检查 Cookie 中
laravel_session是否 Base64 解码后为 PHP 序列化字符串（开头为a:或O:） - ThinkPHP：老版本（input() +
unserialize()组合，参数如s、ids值为序列化内容时易触发 - Phar 文件：上传
.phar后通过file_get_contents()、include()等函数间接触发反序列化（需配合文件操作函数）
用畸形输入试探服务端处理逻辑
不依赖已知类名，用通用结构探测解析行为：
- 传入
O:1:"X":1:{s:3:"abc";s:3:"def";}（字段名长度与实际不符）→ 观察是否报错offset - 传入
s:5:"hello";（纯字符串，非完整结构）→ 若返回Invalid argument或空，说明底层确实在尝试解析 - 多次修改同一参数，对比响应头（如
X-Powered-By、Set-Cookie）或响应时间突变，辅助判断是否进入反序列化分支
