最有效方式是修改php.ini中disable_functions禁用exec、system等函数并重启服务；需同步配置open_basedir限制路径、拦截反引号操作符、应用层检测调用链、高危操作启用沙盒隔离。
一、通过php.ini全局禁用危险函数
当Web服务器运行PHP环境时，直接修改主配置文件php.ini可一次性阻止exec及其同类函数被调用，该方式作用于全部PHP进程，无需修改业务代码即可切断多数RCE入口。
1、使用文本编辑器打开php.ini文件，典型路径包括/etc/php/8.2/apache2/php.ini或/usr/local/php/etc/php.ini。
2、搜索disable_functions配置项，若该行以分号开头则删除分号取消注释。
3、在disable_functions = 后追加exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec，多个函数间严格使用英文逗号分隔，注意不可添加空格。
4、保存文件后执行systemctl restart apache2或systemctl restart php8.2-fpm，使配置立即生效。
二、利用open_basedir限制文件操作边界
即使exec等函数已被禁用，攻击者仍可能借助文件包含、临时目录写入或符号链接等方式实现跨目录访问，open_basedir能强制将所有文件类操作约束在指定路径内，形成第二道隔离屏障。
1、在php.ini中定位open_basedir指令，若不存在则新增一行。
2、设置其值为网站根目录与必需临时路径的组合，例如：/var/www/html:/tmp:/var/tmp。
3、确保各路径之间使用冒号分隔，且末尾不带斜杠，避免因路径匹配失败导致功能异常。
4、重启PHP服务后，尝试在脚本中执行scandir('/')将返回false或警告，验证限制已生效。
三、检测并拦截动态函数调用行为
攻击者常绕过disable_functions，通过反射、变量函数、array_map等机制间接调用被禁函数，因此需在应用层主动识别并阻断此类调用链，而非仅依赖配置层封堵。
1、在关键执行入口处插入预检逻辑，调用is_callable('exec')判断函数是否可用。
2、进一步读取ini_get('disable_functions')返回值，使用逗号包围法校验exec是否在禁用列表中：stripos(',' . $disabled . ',', ',exec,') !== false。
3、若检测到exec被禁但调用意图存在，立即记录日志并终止流程，避免后续反射或回调触发。
4、对用户可控的函数名参数（如$_GET['func']）实施白名单校验，仅允许safe_log、format_date等已知安全函数名通过。
四、屏蔽反引号命令执行操作符
PHP中反引号（`）操作符具有与shell_exec相同的功能，且不受disable_functions控制，是常见绕过点。必须在Web服务器层面或应用输入过滤中显式拦截该语法结构。
1、在Nginx配置的location块中添加rewrite规则，匹配URL中出现反引号的请求并返回403：if ($args ~ "`") { return 403; }。
2、Apache环境下，在.htaccess中启用mod_rewrite后添加：RewriteCond %{QUERY_STRING} "`" [NC]，RewriteRule ^ - [F]。
3、PHP应用层对所有用户输入执行preg_replace('/[`\\$\{\}]/', '', $input)，清除反引号、美元符、花括号及反斜杠。
4、在日志中单独记录含反引号的请求，便于后续分析攻击尝试频率与来源IP。
五、部署PHP沙盒环境隔离高风险操作
对于确需执行外部命令的业务场景（如代码编译、图像处理），不应开放system/exec，而应启用独立沙盒进程，在资源、网络、文件系统维度实施硬性隔离，防止逃逸影响主服务。
1、使用firejail或bubblewrap启动受限子进程，禁止网络访问与文件系统写入，仅挂载只读的必要库路径。
2、通过pcntl_fork()创建子进程后，在子进程中调用posix_setsid()和chroot()构建轻量级隔离环境。
3、设置子进程最大执行时间为3秒，超时后由父进程调用pcntl_kill()强制终止。
4、命令输出统一重定向至内存缓冲区，禁止直接写入磁盘，输出内容须经HTML实体编码后再返回前端。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
