|
|
Pubblicato su 14/12/2015 22:34:33
|
|
|
Quando si compila PHP, se non c'è una necessità particolare, è necessario vietare la compilazione del supporto per l'analisi PHP che genera pattern da riga di comando CLI. Puoi usare –disable-CLI a tempo di compilazione. Una volta compilato PHP per generare pattern CLI, può essere sfruttato da un intruso per impostare un processo backdoor WEB Shell o eseguire codice arbitrario tramite PHP.
phpinfo()
Descrizione della funzione: Fornire informazioni sull'ambiente PHP e moduli correlati, ambiente WEB e altre informazioni.
Livello di pericolo: Medio
passthru()
Descrizione della funzione: Permette di eseguire un programma esterno ed esegue l'output, simile a exec().
Livello di pericolo: alto
exec()
Descrizione della funzione: Permette l'esecuzione di un programma esterno (come comandi UNIX Shell o CMD, ecc.).
Livello di pericolo: alto
system()
Descrizione della funzione: Permette di eseguire un programma esterno ed emettere l'output in eco, simile a passthru().
Livello di pericolo: alto
chroot()
Descrizione della funzione: Può modificare la directory principale funzionante del processo PHP corrente, e può funzionare solo se il sistema supporta PHP in modalità CLI, e questa funzione non è applicabile ai sistemi Windows.
Livello di pericolo: alto
scandir()
Descrizione della funzione: Elenca file e directory in un percorso specificato.
Livello di pericolo: Medio
chgrp()
Descrizione della funzione: Modifica il gruppo utenti a cui appartiene un file o una directory.
Livello di pericolo: alto
chown()
Descrizione della funzione: Cambia il proprietario di un file o di una directory.
Livello di pericolo: alto
shell_exec()
Descrizione della funzione: Eseguire comandi attraverso la shell e restituire il risultato dell'esecuzione come stringa.
Livello di pericolo: alto
proc_open()
Descrizione della funzione: Eseguire un comando e aprire il puntatore del file per la lettura e la scrittura.
Livello di pericolo: alto
proc_get_status()
Descrizione della funzione: Ottieni informazioni sul processo aperto usando proc_open().
Livello di pericolo: alto
error_log()
Descrizione della funzione: Inviare messaggi di errore a posizioni specifiche (file).
Nota di sicurezza: In alcune versioni di PHP, puoi usare error_log() per bypassare la modalità provvisoria PHP,
Esegui comandi arbitrari.
Livello di pericolo: basso
ini_alter()
Descrizione della funzione: è una funzione alias della funzione ini_set(), che ha la stessa funzione di ini_set(). Vedi ini_set() per i dettagli.
Livello di pericolo: alto
ini_set()
Descrizione della funzione: può essere utilizzata per modificare e impostare i parametri di configurazione dell'ambiente PHP.
Livello di pericolo: alto
ini_restore()
Descrizione della funzione: può essere utilizzata per ripristinare i parametri di configurazione dell'ambiente PHP ai loro valori iniziali.
Livello di pericolo: alto
dl()
Descrizione della funzione: Caricare un modulo esterno PHP durante l'esecuzione di PHP, non all'avvio.
Livello di pericolo: alto
pfsockopen()
Descrizione della funzione: Stabilire una connessione persistente socket a un dominio Internet o UNIX.
Livello di pericolo: alto
syslog()
Descrizione della funzione: Chiama la funzione syslog() a livello di sistema del sistema UNIX.
Livello di pericolo: Medio
readlink()
Descrizione della funzione: restituisce il contenuto del file di destinazione a cui punta la connessione del simbolo.
Livello di pericolo: Medio
symlink()
Descrizione della funzione: Creare un collegamento simbolico in un sistema UNIX.
Livello di pericolo: alto
Popen()
Descrizione della funzione: Puoi passare un comando attraverso i parametri di popen() ed eseguire il file aperto da popen().
Livello di pericolo: alto
stream_socket_server()
Descrizione della funzione: Stabilire una connessione Internet o server UNIX.
Livello di pericolo: Medio
putenv()
Descrizione della funzione: Utilizzata per modificare l'ambiente del set di caratteri di sistema mentre PHP è in esecuzione. Nelle versioni PHP precedenti alla 5.2.6, questa funzione può essere usata per modificare l'ambiente del set di caratteri di sistema e poi utilizzare il comando sendmail per inviare parametri speciali per eseguire il comando SHELL di sistema.
Livello di pericolo: alto
|
Precedente:Multithreading Thread Il ruolo importante di IsBackground per i threadProssimo:Funzioni di libreria comparativa molto utili, un po' vaghe durante l'apprendimento, scoprile e condividele con tutti
|
Pubblicato su 24/09/2019 13:30:17
