PHP代码注入

最新推荐文章于 2025-03-27 19:03:15 发布

曦枳icon.

最新推荐文章于 2025-03-27 19:03:15 发布

阅读量639

点赞数

文章标签： php

本文链接：https://blog.csdn.net/Marsper/article/details/109557229

版权

PHP代码注入是由于应用程序过滤不严，允许用户注入代码并执行。这可能导致Web后门，允许攻击者执行任意代码，控制网站甚至服务器。常见的函数如eval(), assert(), preg_replace()等在参数可控时可能引发此漏洞。利用代码注入，攻击者可以获取Shell、读写文件等。" 132505789,19673925,R语言获取组合结果矩阵的下三角部分,"['R语言', '矩阵运算', '组合数学']

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

代码注入

原理以及成因

PHP代码执行（注入）（web应用方面，应用脚本在服务器执行）是指应用程序过滤不严，用户可以通过请求将代码注入到应用中执行。

代码执行（注入)类似于SQL注入漏洞，SQLi是将SQL语句注入到数据库中执行，而代码执行则是可以把代码注入到应用中最终由服务器运行它。这样的漏洞如果没有特殊的过滤，相当于直接有一个web后门的存在。

原因

1、程序中含有可执行PHP代码的函数或者语言结构。
2、传入第一点中的参数，客户端可控，直接修改或者影响。

漏洞危害

web

应用如果存在代码执行漏洞是一件非常可怕的事情，可以通过代码执行漏洞继承Web用户权限，执行任意代码。如果具有服务器没有正确配置，web用户权限比较高的话，我们可以读写目标服务器任意文件内容，甚至控制整个网站以及服务器。
以PHP为例子来说明，代码执行漏洞。PHP
中有很多函数和语句都会造成PHP代码执行漏洞。

相关函数和语句*
1、eval()
eval()会将字符串当作php 代码执行。测试代码如下
在这里插入图片描述
访问执行结果如下图：

<?php
if(isset($_GET[ 'code' ])){
       $code=$_GET['code'];
       eval($code);
}else{
       echo "Please submit code!<br />?code=phpinfo();";
}
?>

访问结果如下：
在这里插入图片描述