PHP建议禁用的危险函数

发布日期: 2019-11-17 10:03:50 作者: Stephen 评论: 0

PHP配置文件中的disable_functions选项能够在PHP中禁用指定的函数。PHP中有很多危险的内置功能函数,如果使用不当,可造成系统崩溃。禁用函数可能会为研发带来不便,但禁用的函数太少又可能增加研发人员写出不安全代码的概率,同时为黑客非法获取服务器权限提供遍历。

在PHP配置文件中添加需要禁用的函数可以有效避免webshell。在PHP中配置如下:

disable_functions=phpinfo,eval,exec,system,chroot,shell_exec,chown……
函数名称 函数功能 危险级别
chgrp() 改变文件或目录所属的用户组
chown() 改变文件或目录的所有者
chroot() 可改变当前PHP进程的工作根目录,仅当系统支持CLI模式时PHP才能工作,且该函数不适用于Windows系统
dl() 在PHP运行过程当中(而非启动时)加载一个PHP外部模块
exec() 允许执行一个外部程序(如UNIX Shell或CMD命令等)
ini_alter() 时ini_set()函数的一个别名函数,功能与ini_set()相同
ini_restore() 可用于将PHP环境配置参数恢复为初始值
ini_set() 可用于修改、设置PHP环境配置参数
passthru() 允许执行一个外部程序并回显输出,类似于exec()
pfsockopen() 建立一个Internet或UNIX域的socket持久连接
phpinfo() 输出PHP环境信息以及相关的模块、web环境等信息
popen() 可通过popen()的参数传递一条命令,并对popen()所打开的文件进行执行
proc_get_status() 获取使用proc_open()所打开进程的信息
proc_open() 执行一个命令并打开文件指针用于读取以及写入
putenv() 用于在PHP运行时改变系统字符集环境。在低于5.2.6版本的PHP中,可利用该函数。修改系统字符集环境后,利用sendmail指令发送特殊参数执行系统Shell命令
shell_exec() 可通过Shell执行命令,并将执行结果作为字符串返回
symlink() 对已有的target建立一个名为link的符号链接
system() 允许执行一个外部程序并回显输出,类型于passthru()
readlink() 返回符号连接指向的目标文件内容
scandir() 列出指定路径中的文件和目录
stream_socket_server() 建立一个Internet或UNIX服务器连接
syslog() 可调用UNIX系统的系统层syslog()函数

参考:《PHP安全配置

快来抢沙发