PHP 代码执行漏洞：从 eval 到可变函数，5类危险函数原理与实战利用

PHP 代码执行漏洞：从 eval 到可变函数，5类危险函数原理与实战利用

在Web应用安全领域，PHP代码执行漏洞因其高危害性始终占据着漏洞排行榜的前列。这类漏洞允许攻击者在服务器上执行任意代码，轻则泄露敏感信息，重则导致服务器完全沦陷。本文将深入剖析PHP中5类典型的代码执行函数，从语言设计层面揭示其安全隐患，并提供防御思路。

1. eval函数：字符串即代码的双刃剑

eval函数是PHP中最直接的代码执行方式，它将传入的字符串作为PHP代码执行。这种设计初衷是为了提供动态代码生成的能力，但却成为攻击者最爱的"后门"。

// 典型漏洞代码示例 $user_input = $_GET['input']; eval("echo $user_input;");

执行原理：

  • 解析器会先对字符串进行词法分析
  • 生成对应的opcode并执行
  • 执行环境与当前作用域相同

危险特征对比表：

特性eval常规函数
执行方式即时编译预编译
作用域当前作用域独立作用域
错误处理终止脚本可捕获异常
性能影响每次重新编译一次编译

防御提示：在生产环境中应完全禁用eval函数。如必须使用，需严格过滤所有输入，禁止用户可控数据传入。

2. assert函数：调试工具的致命变身

assert本是为调试设计的断言函数，但其字符串参数执行特性常被滥用：

// 危险用法示例 assert($_GET['cmd']);

与eval的关键差异：

  • 不需要语句结束分号
  • 在PHP 7.0+版本行为有变化
  • 错误处理机制不同

版本行为对比：

PHP版本字符串参数处理返回值
<7.0作为代码执行布尔值
>=7.0仅布尔判断无返回值

3. create_function：匿名函数的陷阱

这个已废弃的函数在创建匿名函数时存在注入风险：

$func = create_function('$a', 'return $a.' . $_GET['cmd'] . ';');

注入原理：

  1. 函数内部通过拼接生成代码
  2. 闭合原语句构造新语句
  3. 利用注释符/*截断后续代码

典型payload：

id=1;}phpinfo();/*

4. 回调函数家族：array_map与call_user_func

PHP丰富的回调机制暗藏杀机：

// array_map示例 array_map($_GET['func'], [$argv]); // call_user_func示例 call_user_func($_GET['func'], $_GET['arg']);

回调函数风险矩阵：

函数参数灵活性常见利用方式
array_map数组遍历执行系统命令
call_user_func多参数支持调用危险函数
usort比较函数通过返回值推断信息
preg_replace/e修饰符代码执行(已移除)

5. 可变函数：动态调用的代价

PHP的可变函数特性允许通过变量值调用函数：

$func = $_GET['func']; $func($_GET['arg']); // 相当于直接调用

利用场景：

  • 调用system执行命令
  • 调用phpinfo泄露配置
  • 调用文件操作函数

防护方案对比：

方法有效性实施成本
函数名白名单高中
参数过滤中低
禁用危险函数高高
沙箱环境极高极高

综合防御策略

  1. 输入过滤：

    • 使用filter_var系列函数
    • 设置严格的正则表达式校验

  2. 环境加固：

; php.ini安全配置 disable_functions = eval,assert,create_function,system,exec open_basedir = /var/www

  1. 代码审计要点：

    • 追踪所有用户输入流向
    • 检查动态函数调用
    • 验证回调函数参数

  2. 运行时防护：

    • 使用Suhosin扩展
    • 部署RASP解决方案

在最近参与的某次安全评估中，我们发现一个使用可变函数处理API请求的案例。开发者本意是实现灵活的插件架构，但未对函数名做限制，导致攻击者可以通过精心构造的请求调用任意函数。这再次证明，强大的灵活性往往伴随着更高的安全风险。