PHP8.0命令执行函数漏洞原理介绍-php教程-PHP中文网

php 8.0 的命令执行函数本身无新增漏洞，真正风险源于开发者沿用旧版不安全模式：直接拼接未过滤的用户输入，且因错误抑制增强、历史绕过失效、过滤函数移除等，使漏洞更隐蔽难发现。

php8.0命令执行函数漏洞原理介绍

PHP 8.0 中 system、exec、shell_exec 等命令执行函数本身没有新增漏洞，真正危险的是开发者仍沿用 PHP 7.x 甚至更早的不安全模式——把用户输入直接拼进命令字符串，且未做任何过滤或白名单校验。

不是函数变危险了，而是旧写法在新环境下更隐蔽、更难被静态扫描发现：

PHP 8.0 移除了 create_function 和 preg_replace 的 /e 修饰符，导致部分历史利用链失效，攻击者被迫回归更底层、更难拦截的 system 类函数
弱类型比较规则变更（如 "1a.php" == 1 在 PHP 8.0 返回 false）让某些基于字符串绕过的 WAF 规则失效，原始命令注入 payload 更容易穿透
assert() 不再支持代码执行，但部分老项目残留的 assert($input) 调用若未清理，可能被降级到 PHP 7.x 环境运行，形成“版本混用盲区”

以下写法在任意 PHP 版本下都高危，PHP 8.0 并未修复它们，反而因默认禁用 display_errors 和更严格的错误抑制，让这类漏洞更难被日志捕获：

PHP 8.5.12 RC 1

PHP 8.5.12 RC 1 候选版修复 BZ2、DOM、PDO、Opcache/JIT 和扩展内存安全问题，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

system($_GET['cmd']); —— 完全无过滤，直接拼接，攻击者可传 ?cmd=cat%20/etc/passwd%26%26id
exec('ping -c 1 ' . $_POST['host']); —— 单引号包裹 + 字符串拼接，无法阻止空格、分号、管道符注入
shell_exec("ls -la {$dir}"); —— 双引号变量解析 + 无 escapeshellarg()，$dir = '/var/www; rm -rf /' 即可触发命令串联

有些开发者以为升级到 PHP 8.0 就“自动安全”，结果保留了危险习惯：

用 filter_var($input, FILTER_SANITIZE_STRING) 过滤命令参数 —— 该 filter 在 PHP 8.0 已被彻底移除，代码会报致命错误，但若没开错误报告，就静默失败，留下裸奔入口
依赖 is_numeric() 判断是否为数字型命令参数 —— 它对 "123abc" 返回 false，但对 "123; id" 仍返回 true（因开头是数字），根本拦不住命令注入
认为 escapeshellarg() 万能 —— 它只适用于单个参数，不能用于拼接整个命令字符串；例如 system('ls ' . escapeshellarg($_GET['path']) . ' | grep foo') 中的 | 仍可被用户控制的 path 值绕过（如 path=xxx' | cat /etc/passwd #）

不要指望某个函数开关或配置项能一劳永逸。关键在控制权收口：

所有命令执行逻辑必须走白名单：只允许预定义的几个动作（如 backup_db、clear_cache），每个动作对应固定命令模板，参数仅用于填充白名单内占位符
禁止任何用户输入进入 shell_exec、system、exec、passthru、proc_open 的第一个参数，哪怕加了 escapeshellarg()
在 php.ini 中确认 disable_functions 包含 system,exec,shell_exec,passthru,proc_open,popen,pcntl_exec —— 注意：这只能防住低权限 Web 进程，不能替代代码层防御
使用 SafeExec 类封装（非标准库，需自建）：内部强制调用 escapeshellarg() + 白名单校验 + 超时控制 + 无交互模式（-n 或 --no-tty）