如何拦截 PHP5.3 恶意时间戳参数-php教程-PHP中文网

php 5.3 时间戳校验核心是业务语义合规而非格式正确，需通过强类型过滤、业务区间检查和反向验证三步实现，并严防类型转换与执行顺序导致的绕过。

如何拦截 php5.3 恶意时间戳参数

PHP 5.3 本身不校验时间戳参数的业务合理性，攻击者常利用 strtotime()、date_create() 或直接传入非法整数（如负数、超大值、Unix 时间戳溢出值）触发解析异常、逻辑绕过甚至 DoS。拦截关键不在“时间戳格式”，而在“是否符合业务语义”。下面从三个实操层面讲清楚怎么做。

识别恶意时间戳的常见形态

不是所有非法数字都该拦，得看上下文。典型恶意模式包括：

超出业务合理范围：比如订单创建时间传 -1、0、或 9999999999（对应 2286 年），而系统只处理近 5 年数据；
非整数但被强制转换：传字符串 "2026-01-01<script>alert(1)</script>"，若未过滤就进 strtotime()，可能静默失败或触发意外行为；
时区混淆型构造：如传 "now + 1000 years" 或 "1970-01-01 00:00:00 UTC" 后拼接恶意内容，绕过简单正则；
空值/NULL 变形：""、null、"undefined" 被 PHP 自动转为 0，变成 1970 年，可能绕过权限判断。

服务端参数校验三步法（PHP5.3 兼容）

不用依赖新版本 DateTime 类，用原生函数就能稳控：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

第一步：强类型过滤 —— 用 filter_input() 指定整数类型，自动丢弃非数字字符串：
$ts = filter_input(INPUT_GET, 'time', FILTER_VALIDATE_INT);
若返回 false 或 null，直接拒绝；

第二步：业务区间检查 —— 设定硬性上下限（例如允许 2021–2031 年）：

$min = strtotime('2021-01-01'); $max = strtotime('2031-12-31');<br>
  if ($ts  $max) { die('时间参数非法'); }

；

第三步：防静默失败兜底 —— 对需要转为日期对象的场景，用 date() 反向验证：
if (date('U', $ts) != $ts) { /* 溢出或无效，PHP5.3 date() 对非法时间戳会返回 -1 或 1970 */ die(); }。

避免被绕过的两个关键细节

很多项目加了判断仍被绕过，问题出在执行顺序和函数行为上：

别在 strtotime() 之后再校验：它对很多畸形输入（如 "123abc"）返回 false 或 int(0)，此时你校验的是“0”，不是原始值；必须先过滤原始参数，再传给时间函数；
警惕自动类型转换陷阱：比如 $_GET['t'] == 0 会把 "0x123"、"0e123" 都判为 true，要用 === 和 is_int() 显式判断；
日志里记录原始值：不要只记 date('Y-m-d', $ts)，要记下 $_GET['t'] 原始字符串，方便溯源攻击手法。