PHP 代码执行漏洞：从 eval 到可变函数，5类危险函数原理与实战利用

2026/7/8 21:05:45

PHP 代码执行漏洞：从 eval 到可变函数，5类危险函数原理与实战利用

在Web应用安全领域，PHP代码执行漏洞因其高危害性始终占据着漏洞排行榜的前列。这类漏洞允许攻击者在服务器上执行任意代码，轻则泄露敏感信息，重则导致服务器完全沦陷。本文将深入剖析PHP中5类典型的代码执行函数，从语言设计层面揭示其安全隐患，并提供防御思路。

1. eval函数：字符串即代码的双刃剑

eval函数是PHP中最直接的代码执行方式，它将传入的字符串作为PHP代码执行。这种设计初衷是为了提供动态代码生成的能力，但却成为攻击者最爱的"后门"。

// 典型漏洞代码示例 $user_input = $_GET['input']; eval("echo $user_input;");

执行原理：

解析器会先对字符串进行词法分析
生成对应的opcode并执行
执行环境与当前作用域相同

危险特征对比表：

特性	eval	常规函数
执行方式	即时编译	预编译
作用域	当前作用域	独立作用域
错误处理	终止脚本	可捕获异常
性能影响	每次重新编译	一次编译

防御提示：在生产环境中应完全禁用eval函数。如必须使用，需严格过滤所有输入，禁止用户可控数据传入。

2. assert函数：调试工具的致命变身

assert本是为调试设计的断言函数，但其字符串参数执行特性常被滥用：

// 危险用法示例 assert($_GET['cmd']);

与eval的关键差异：

不需要语句结束分号
在PHP 7.0+版本行为有变化
错误处理机制不同

版本行为对比：

PHP版本	字符串参数处理	返回值
<7.0	作为代码执行	布尔值
>=7.0	仅布尔判断	无返回值

3. create_function：匿名函数的陷阱

这个已废弃的函数在创建匿名函数时存在注入风险：

$func = create_function('$a', 'return $a.' . $_GET['cmd'] . ';');

注入原理：

函数内部通过拼接生成代码
闭合原语句构造新语句
利用注释符/*截断后续代码

典型payload：

id=1;}phpinfo();/*

4. 回调函数家族：array_map与call_user_func

PHP丰富的回调机制暗藏杀机：

// array_map示例 array_map($_GET['func'], [$argv]); // call_user_func示例 call_user_func($_GET['func'], $_GET['arg']);

回调函数风险矩阵：

函数	参数灵活性	常见利用方式
array_map	数组遍历	执行系统命令
call_user_func	多参数支持	调用危险函数
usort	比较函数	通过返回值推断信息
preg_replace	/e修饰符	代码执行(已移除)

5. 可变函数：动态调用的代价

PHP的可变函数特性允许通过变量值调用函数：

$func = $_GET['func']; $func($_GET['arg']); // 相当于直接调用

利用场景：

调用system执行命令
调用phpinfo泄露配置
调用文件操作函数

防护方案对比：

方法	有效性	实施成本
函数名白名单	高	中
参数过滤	中	低
禁用危险函数	高	高
沙箱环境	极高	极高

综合防御策略

输入过滤：
- 使用filter_var系列函数
- 设置严格的正则表达式校验
环境加固：

; php.ini安全配置 disable_functions = eval,assert,create_function,system,exec open_basedir = /var/www

代码审计要点：
- 追踪所有用户输入流向
- 检查动态函数调用
- 验证回调函数参数
运行时防护：
- 使用Suhosin扩展
- 部署RASP解决方案

在最近参与的某次安全评估中，我们发现一个使用可变函数处理API请求的案例。开发者本意是实现灵活的插件架构，但未对函数名做限制，导致攻击者可以通过精心构造的请求调用任意函数。这再次证明，强大的灵活性往往伴随着更高的安全风险。

PHP 代码执行漏洞：从 eval 到可变函数，5类危险函数原理与实战利用