php中eval函數(shù)的危害與正確禁用方法
php的eval函數(shù)并不是系統(tǒng)組件函數(shù)，因此我們?cè)趐hp.ini中使用disable_functions是無(wú)法禁止它的。
但是eval()對(duì)于php安全來(lái)說(shuō)具有很大的殺傷力，因此一般不用的情況下為了防止類(lèi)似如下的一句話木馬入侵，需要禁止！
<?php eval($_POST[cmd]);?>
eval()使用范例：
<?php $string = '杯子'; $name = '咖啡'; $str = '這個(gè) $string 中裝有 $name.<br>'; echo $str; eval( "$str = "$str";" ); echo $str; ?>
本例的傳回值為：
這個(gè) $string 中裝有 $name. 這個(gè) 杯子 中裝有 咖啡.
或更高級(jí)點(diǎn)的是：
<?php
$str="hello world"; //比如這個(gè)是元算結(jié)果
$code= "print('n$strn');";//這個(gè)是保存在數(shù)據(jù)庫(kù)內(nèi)的php代碼
echo($code);//打印組合后的命令,str字符串被替代了,形成一個(gè)完整的php命令,但并是不會(huì)執(zhí)行
eval($code);//執(zhí)行了這條命令
?>
對(duì)于上面的咖啡的例子,在eval里面，首先字符串被替換了，其次替換完后形成一個(gè)完整的賦值命令被執(zhí)行了.
這類(lèi)小馬砸門(mén)的情況是需要禁止掉的！
然而網(wǎng)上很多說(shuō)使用disable_functions禁止掉eval的方法都是錯(cuò)誤的！
其實(shí)eval()是無(wú)法用php.ini中的disable_functions禁止掉的 ：
because eval() is a language construct and not a function
eval是zend的，因此不是PHP_FUNCTION 函數(shù)；
那么php怎么禁止eval呢？
如果想禁掉eval可以用php的擴(kuò)展 Suhosin：
安裝Suhosin后在php.ini中l(wèi)oad進(jìn)來(lái)Suhosin.so，再加上suhosin.executor.disable_eval = on即可！
總結(jié),php的eval函數(shù)在php中是無(wú)法禁用的，因此我們也只有使用插件了！
相關(guān)文章
偽靜態(tài)是SEO重要的方法，通過(guò)重定向來(lái)實(shí)現(xiàn)，并且可以通過(guò)重定向來(lái)隱藏網(wǎng)站的技術(shù)，過(guò)濾異常訪問(wèn)。本課分為兩部分，前半部分詳細(xì)介紹Apache重定向的基礎(chǔ)知識(shí)，后半部分通過(guò)多個(gè)實(shí)際案例再次加深對(duì)重定向的理解，并且會(huì)演示各種重定向設(shè)置后的實(shí)際效果。2017-02-02
這篇文章主要給大家介紹了使用php計(jì)算中英文字符串長(zhǎng)度的幾種方法,文中有詳細(xì)的代碼示例供大家參考,對(duì)大家的學(xué)習(xí)或工作有一定的參考價(jià)值,需要的朋友可以參考下2023-11-11
淺談php(codeigniter)安全性注意事項(xiàng)
下面小編就為大家?guī)?lái)一篇淺談php(codeigniter)安全性注意事項(xiàng)。小編覺(jué)得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2017-04-04
PHP實(shí)現(xiàn)cookie跨域session共享的方法分析
這篇文章主要介紹了PHP實(shí)現(xiàn)cookie跨域session共享的方法,結(jié)合實(shí)例形式分析了php操作cookie的有效期、跨域、session存儲(chǔ)等相關(guān)操作技巧,需要的朋友可以參考下2019-08-08
這篇文章主要介紹了PHP 命名空間,結(jié)合實(shí)例形式詳細(xì)分析了PHP 命名空間概念、功能、原理、用法及操作注意事項(xiàng),需要的朋友可以參考下2020-04-04
利用瀏覽器的Javascript控制臺(tái)調(diào)試PHP程序
現(xiàn)在，越來(lái)越多的瀏覽器都有了開(kāi)發(fā)這工具或者Javascript控制臺(tái)，通過(guò)這些工具，我們可以很方便的顯示PHP代碼中的變量或數(shù)組值2014-01-01
thinkphp 字母函數(shù)詳解T/I/N/D/M/A/R/U
下面小編就為大家?guī)?lái)一篇thinkphp 字母函數(shù)詳解T/I/N/D/M/A/R/U。小編覺(jué)得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2017-04-04
PHP判斷一個(gè)數(shù)組是另一個(gè)數(shù)組子集的方法詳解
這篇文章主要介紹了PHP判斷一個(gè)數(shù)組是另一個(gè)數(shù)組子集的方法,結(jié)合實(shí)例形式分析了php循環(huán)遍歷、array_diff及array_intersect函數(shù)等方法實(shí)現(xiàn)數(shù)組子集判斷的相關(guān)操作技巧,需要的朋友可以參考下2017-07-07
解析PHP強(qiáng)制轉(zhuǎn)換類(lèi)型及遠(yuǎn)程管理插件的安全隱患
這篇文章主要介紹了PHP強(qiáng)制轉(zhuǎn)換類(lèi)型及遠(yuǎn)程管理插件的安全隱患,需要的朋友可以參考下2014-06-06
本篇文章是對(duì)smarty基礎(chǔ)中的拼接字符串進(jìn)行了詳細(xì)的分析介紹，需要的朋友參考下2013-06-06