PHP命令注入攻击的防范措施有哪些？

本文共计2065个文字，预计阅读时间需要9分钟。

本次实验内容为了解php命令注入攻击过程，掌握攻击思路。命令注入（Command Injection），是指黑客通过利用系统命令执行漏洞，在系统命令的执行过程中插入恶意代码，从而获取系统权限或执行非法操作。

这次实验内容为了解php命令注入攻击的过程，掌握思路。

命令注入攻击

命令注入攻击（Command Injection），是指黑客通过利用HTML代码输入机制缺陷(例如缺乏有效验证限制的表格域)来改变网页的动态生成的内容。从而可以使用系统命令操作，实现使用远程数据来构造要执行的命令的操作。
PHP中可以使用下列四个函数来执行外部的应用程序或函数：system、exec、passthru、shell_exec。

信息来源——合天网安实验室

命令攻击为什么会形成漏洞？
首先是因为应用需要调用一些执行系统命令的函数，比如上面说的php中的system等函数。其次，当用户能够控制这些函数中的参数，就可以将一些恶意的命令拼接到一个正常的命令当中，然后就会造成命令执行漏洞。
所以我们可以得出命令执行漏洞需要的条件：

1. 应用调用的执行系统命令的函数
2. 用户可以对命令进行控制，从而拼接恶意命令
3. 应用没有对用户的输入进行过滤或者过滤不严格

通过命令执行漏洞，我们可以读写一些服务器上的文件，并且这些文件是不想让用户看到的，比如密码类的敏感文件。而且，我们可以通过命令打开服务器的远程服务，这样就可以拿到服务器的shell，从而操控服务器或者这个网页。再者，我们还可以对内网进行进一步的渗透。

下面开始实验。