zoukankan      html  css  js  c++  java
  • php 禁用eval( )函数

    php的eval函数并不是系统组件函数,因此我们在php.ini中使用disable_functions是无法禁止它的。

    但是eval()对于php安全来说具有很大的杀伤力,因此一般不用的情况下为了防止类似如下的一句话木马入侵,需要禁止!

    <?php
    $string = "beautiful";
    $time = "winter";
    
    $str = 'This is a $string $time morning!';
    echo $str. "<br />";
    
    eval("$str = "$str";");
    echo $str;
    ?> 
    

     然而网上很多说使用disable_functions禁止掉eval的方法都是错误的!
    其实eval()是无法用php.ini中的disable_functions禁止掉的 :
    because eval() is a language construct and not a function

    eval是zend的,因此不是PHP_FUNCTION 函数;

    那么php怎么禁止eval呢?

    如果想禁掉eval可以用php的扩展 Suhosin:
    安装Suhosin后在php.ini中load进来Suhosin.so,再加上suhosin.executor.disable_eval = on即可!

    总结,php的eval函数在php中是无法禁用的,因此我们也只有使用插件了!

    安装 Suhosin

    官网:http://suhosin.org/stories/index.html

    1、安装编译工具
    yum install wget  make gcc gcc-c++ zlib-devel openssl openssl-devel pcre-devel kernel keyutils  patch perl
    2、安装suhosin
    cd /usr/local/src  #进入软件包存放目录
    wget http://download.suhosin.org/suhosin-0.9.33.tgz  #下载
    tar zxvf suhosin-0.9.33.tgz  #解压
    cd suhosin-0.9.33  #进入安装目录
    /usr/local/php5/bin/phpize  #用phpize生成configure配置文件
    ./configure  --with-php-config=/usr/local/php/bin/php-config  #配置
    make  #编译
    make install  #安装
    安装完成之后,出现下面的界面,记住以下路径,后面会用到。
    /usr/local/php5/lib/php/extensions/no-debug-non-zts-20090626/  #suhosin模块路径
    3、配置php支持suhosin
    vi /usr/local/php5/etc/php.ini  #编辑配置文件,在最后一行添加以下内容
    extension="suhosin.so"
    4、测试
    vi /usr/local/nginx/html/phpinfo.php   #编辑

    5.禁用eval

    suhosin.executor.disable_eval = on

  • 相关阅读:
    让SiteMapDataSource能选择特定的SiteMap文件
    程序员之路──如何学习C语言(转载)
    Sql Server 2005 Express使用命令工具无法连接问题
    移远公司 NBIoT模块AT指令详细解释
    Excel自动化技术
    解析HTTP报文头
    SOAP报文下发
    双缓冲队列,生产者消费者模式
    夸孩子少用“你真棒”,教你如何夸孩子
    C++面试题相关
  • 原文地址:https://www.cnblogs.com/mr-amazing/p/5501872.html
Copyright © 2011-2022 走看看