pikachu之PHP反序列化

随便传个值进去

那就再传如一个序列化进去看看，可以看到被直接输出在网页中

那就再去看看源代码

意思大概就是POST传入的值赋给$S，再对$S反序列化，如果反序列化后值为空则输出‘大兄弟,来点劲爆点儿的!’，不为空就会不做任何处理的拼接到p>标签上，利用拼接这一点就可以构造xss攻击，

O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}