php中eval函數(shù)的危害與正確禁用方法
php的eval函數(shù)并不是系統(tǒng)組件函數(shù)，因此我們在php.ini中使用disable_functions是無法禁止它的。
但是eval()對于php安全來說具有很大的殺傷力，因此一般不用的情況下為了防止類似如下的一句話木馬入侵，需要禁止！
<?php eval($_POST[cmd]);?>
eval()使用范例：
<?php $string = '杯子'; $name = '咖啡'; $str = '這個 $string 中裝有 $name.<br>'; echo $str; eval( "$str = "$str";" ); echo $str; ?>
本例的傳回值為：
這個 $string 中裝有 $name. 這個 杯子 中裝有 咖啡.
或更高級點(diǎn)的是：
<?php
$str="hello world"; //比如這個是元算結(jié)果
$code= "print('n$strn');";//這個是保存在數(shù)據(jù)庫內(nèi)的php代碼
echo($code);//打印組合后的命令,str字符串被替代了,形成一個完整的php命令,但并是不會執(zhí)行
eval($code);//執(zhí)行了這條命令
?>
對于上面的咖啡的例子,在eval里面，首先字符串被替換了，其次替換完后形成一個完整的賦值命令被執(zhí)行了.
這類小馬砸門的情況是需要禁止掉的！
然而網(wǎng)上很多說使用disable_functions禁止掉eval的方法都是錯誤的！
其實(shí)eval()是無法用php.ini中的disable_functions禁止掉的 ：
because eval() is a language construct and not a function
eval是zend的，因此不是PHP_FUNCTION 函數(shù)；
那么php怎么禁止eval呢？
如果想禁掉eval可以用php的擴(kuò)展 Suhosin：
安裝Suhosin后在php.ini中l(wèi)oad進(jìn)來Suhosin.so，再加上suhosin.executor.disable_eval = on即可！
總結(jié),php的eval函數(shù)在php中是無法禁用的，因此我們也只有使用插件了！
相關(guān)文章
偽靜態(tài)是SEO重要的方法，通過重定向來實(shí)現(xiàn)，并且可以通過重定向來隱藏網(wǎng)站的技術(shù)，過濾異常訪問。本課分為兩部分，前半部分詳細(xì)介紹Apache重定向的基礎(chǔ)知識，后半部分通過多個實(shí)際案例再次加深對重定向的理解，并且會演示各種重定向設(shè)置后的實(shí)際效果。2017-02-02
這篇文章主要給大家介紹了使用php計算中英文字符串長度的幾種方法,文中有詳細(xì)的代碼示例供大家參考,對大家的學(xué)習(xí)或工作有一定的參考價值,需要的朋友可以參考下2023-11-11
下面小編就為大家?guī)硪黄獪\談php(codeigniter)安全性注意事項。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-04-04
PHP實(shí)現(xiàn)cookie跨域session共享的方法分析
這篇文章主要介紹了PHP實(shí)現(xiàn)cookie跨域session共享的方法,結(jié)合實(shí)例形式分析了php操作cookie的有效期、跨域、session存儲等相關(guān)操作技巧,需要的朋友可以參考下2019-08-08
這篇文章主要介紹了PHP 命名空間,結(jié)合實(shí)例形式詳細(xì)分析了PHP 命名空間概念、功能、原理、用法及操作注意事項,需要的朋友可以參考下2020-04-04
利用瀏覽器的Javascript控制臺調(diào)試PHP程序
現(xiàn)在，越來越多的瀏覽器都有了開發(fā)這工具或者Javascript控制臺，通過這些工具，我們可以很方便的顯示PHP代碼中的變量或數(shù)組值2014-01-01
thinkphp 字母函數(shù)詳解T/I/N/D/M/A/R/U
下面小編就為大家?guī)硪黄猼hinkphp 字母函數(shù)詳解T/I/N/D/M/A/R/U。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-04-04
PHP判斷一個數(shù)組是另一個數(shù)組子集的方法詳解
這篇文章主要介紹了PHP判斷一個數(shù)組是另一個數(shù)組子集的方法,結(jié)合實(shí)例形式分析了php循環(huán)遍歷、array_diff及array_intersect函數(shù)等方法實(shí)現(xiàn)數(shù)組子集判斷的相關(guān)操作技巧,需要的朋友可以參考下2017-07-07
解析PHP強(qiáng)制轉(zhuǎn)換類型及遠(yuǎn)程管理插件的安全隱患
這篇文章主要介紹了PHP強(qiáng)制轉(zhuǎn)換類型及遠(yuǎn)程管理插件的安全隱患,需要的朋友可以參考下2014-06-06
本篇文章是對smarty基礎(chǔ)中的拼接字符串進(jìn)行了詳細(xì)的分析介紹，需要的朋友參考下2013-06-06