zoukankan      html  css  js  c++  java
  • php 禁用eval( )函数

    php的eval函数并不是系统组件函数,因此我们在php.ini中使用disable_functions是无法禁止它的。

    但是eval()对于php安全来说具有很大的杀伤力,因此一般不用的情况下为了防止类似如下的一句话木马入侵,需要禁止!

    <?php
    $string = "beautiful";
    $time = "winter";
    
    $str = 'This is a $string $time morning!';
    echo $str. "<br />";
    
    eval("$str = "$str";");
    echo $str;
    ?> 
    

     然而网上很多说使用disable_functions禁止掉eval的方法都是错误的!
    其实eval()是无法用php.ini中的disable_functions禁止掉的 :
    because eval() is a language construct and not a function

    eval是zend的,因此不是PHP_FUNCTION 函数;

    那么php怎么禁止eval呢?

    如果想禁掉eval可以用php的扩展 Suhosin:
    安装Suhosin后在php.ini中load进来Suhosin.so,再加上suhosin.executor.disable_eval = on即可!

    总结,php的eval函数在php中是无法禁用的,因此我们也只有使用插件了!

    安装 Suhosin

    官网:http://suhosin.org/stories/index.html

    1、安装编译工具
    yum install wget  make gcc gcc-c++ zlib-devel openssl openssl-devel pcre-devel kernel keyutils  patch perl
    2、安装suhosin
    cd /usr/local/src  #进入软件包存放目录
    wget http://download.suhosin.org/suhosin-0.9.33.tgz  #下载
    tar zxvf suhosin-0.9.33.tgz  #解压
    cd suhosin-0.9.33  #进入安装目录
    /usr/local/php5/bin/phpize  #用phpize生成configure配置文件
    ./configure  --with-php-config=/usr/local/php/bin/php-config  #配置
    make  #编译
    make install  #安装
    安装完成之后,出现下面的界面,记住以下路径,后面会用到。
    /usr/local/php5/lib/php/extensions/no-debug-non-zts-20090626/  #suhosin模块路径
    3、配置php支持suhosin
    vi /usr/local/php5/etc/php.ini  #编辑配置文件,在最后一行添加以下内容
    extension="suhosin.so"
    4、测试
    vi /usr/local/nginx/html/phpinfo.php   #编辑

    5.禁用eval

    suhosin.executor.disable_eval = on

  • 相关阅读:
    Delphi WinAPI SetLocaleInfo / GetLocaleInfo
    语言环境代码LCID对照表
    Delphi WinAPI SetThreadLocale
    光刻技术发展
    关于TVM的点滴记录
    TVM 各个模块总体架构
    TVM 图优化Graph Optimization
    Atomic Layer Deposition原子层沉积技术
    智加VS图森VS嬴彻
    汽车网络处理设计
  • 原文地址:https://www.cnblogs.com/mr-amazing/p/5501872.html
Copyright © 2011-2022 走看看