|
|
Opublikowano 14.12.2015 22:34:33
|
|
|
Podczas kompilacji PHP, jeśli nie ma szczególnej potrzeby, konieczne jest zakazanie kompilacji wsparcia dla parsowania PHP, które generuje wzorce wiersza poleceń CLI. Możesz użyć –disable-CLI podczas kompilacji. Po skompilowaniu PHP do generowania wzorców CLI, może być wykorzystywany przez intruza do skonfigurowania tylnego wejścia w WEB Shell lub uruchomienia dowolnego kodu za pomocą PHP.
phpinfo()
Opis funkcji: Wyjście informacji o środowisku PHP i powiązanych modułach, środowisku WEB oraz innych danych.
Poziom zagrożenia: Średni
passthru()
Opis funkcji: Pozwala na wykonanie zewnętrznego programu i echo wyjścia, podobnie jak exec().
Poziom zagrożenia: wysoki
exec()
Opis funkcji: Umożliwia wykonanie zewnętrznego programu (takiego jak polecenia UNIX Shell lub CMD itp.).
Poziom zagrożenia: wysoki
system()
Opis funkcji: Pozwala na wykonanie zewnętrznego programu i echo wyjścia, podobnie jak passthru().
Poziom zagrożenia: wysoki
chroot()
Opis funkcji: Może zmieniać działający katalog główny obecnego procesu PHP i działa tylko wtedy, gdy system obsługuje PHP w trybie CLI, a ta funkcja nie jest stosowalna w systemach Windows.
Poziom zagrożenia: wysoki
scandir()
Opis funkcji: Lista plików i katalogów w określonej ścieżce.
Poziom zagrożenia: Średni
chgrp()
Opis funkcji: Zmień grupę użytkowników, do której należy plik lub katalog.
Poziom zagrożenia: wysoki
chown()
Opis funkcji: Zmień właściciela pliku lub katalogu.
Poziom zagrożenia: wysoki
shell_exec()
Opis funkcji: Wykonaj polecenia przez powłokę i zwróć wynik wykonania jako ciąg znaków.
Poziom zagrożenia: wysoki
proc_open()
Opis funkcji: Wykonaj polecenie i otwórz wskaźnik pliku do odczytu i zapisu.
Poziom zagrożenia: wysoki
proc_get_status()
Opis funkcji: Uzyskaj informacje o procesie otwartym za pomocą proc_open().
Poziom zagrożenia: wysoki
error_log()
Opis funkcji: Wysyłanie komunikatów o błędzie do określonych lokalizacji (plików).
Uwaga bezpieczeństwa: W niektórych wersjach PHP można użyć error_log(), aby obejść tryb awaryjny PHP,
Wykonuj dowolne polecenia.
Poziom zagrożenia: niski
ini_alter()
Opis funkcji: Jest to funkcja aliasu funkcji ini_set(), która ma tę samą funkcję co ini_set(). Zobacz ini_set() po szczegóły.
Poziom zagrożenia: wysoki
ini_set()
Opis funkcji: Może być używany do modyfikowania i ustawiania parametrów konfiguracyjnych środowiska PHP.
Poziom zagrożenia: wysoki
ini_restore()
Opis funkcji: Może być używany do przywracania parametrów konfiguracji środowiska PHP do ich wartości początkowych.
Poziom zagrożenia: wysoki
dl()
Opis funkcji: Ładuj zewnętrzny moduł PHP podczas uruchomienia PHP, a nie przy starcie.
Poziom zagrożenia: wysoki
pfsockopen()
Opis funkcji: Ustanowij trwałe połączenie socket z domeną internetową lub UNIX.
Poziom zagrożenia: wysoki
syslog()
Opis funkcji: Wywołuje funkcję syslog() na poziomie systemowym systemu UNIX.
Poziom zagrożenia: Średni
readlink()
Opis funkcji: Zwraca zawartość pliku docelowego, do którego łączy się symbol.
Poziom zagrożenia: Średni
symlink()
Opis funkcji: Stwórz symboliczne połączenie w systemie UNIX.
Poziom zagrożenia: wysoki
popen()
Opis funkcji: Możesz przesłać polecenie przez parametry popen() i uruchomić plik otwarty przez popen().
Poziom zagrożenia: wysoki
stream_socket_server()
Opis funkcji: Nawiązanie połączenia z serwerem internetowym lub UNIX.
Poziom zagrożenia: Średni
putenv()
Opis funkcji: Używany do zmiany środowiska zestawu znaków systemowego podczas działania PHP. W wersjach PHP starszych niż 5.2.6 funkcja ta może modyfikować środowisko zestawu znaków systemowych, a następnie użyć polecenia sendmail do wysłania specjalnych parametrów wykonujących polecenie systemowego SHELL.
Poziom zagrożenia: wysoki
|
Poprzedni:Wątkowość wielowątkowa Ważna rola IsBackground dla wątkówNastępny:Bardzo przydatne funkcje biblioteczne porównawcze, trochę niejasne podczas nauki, odkrywaj i udostępniaj wszystkim
|
Opublikowano 24.09.2019 13:30:17
