PHP安全编码三大致命坑：老站长血泪避坑指南

　　去年一月，凌晨三点十七分，机房空调滴水声像坏了的节拍器，嗒、嗒、嗒——每一下都卡在error_log滚动到第十八行的时候。我盯着screen里那个刚被拖库的后台，手指悬在键盘上，没敲delete，也没敲vim，就那么晾着。老张在隔壁工位啃冷掉的葱油饼，咔嚓咔嚓，渣子掉进机械键盘缝隙里。他刚接完派出所电话，说没立案，因为“数据没卖，只是被扫走了”。

　　三大坑？不是理论题，是三道血痂结了又裂的口子——SQL注入、反序列化、文件上传。我原以为PDO预处理一加，$pdo->prepare($sql)->execute($params)，万事大吉；结果那条“SELECT FROM users WHERE id = ? AND status = ?”的语句，前端传过来的status值居然是'active\\0-- '，后面带个空字节加注释符。PDO认它，MySQL也认它。我敢打包票：2023年12月之后所有用mysqli_real_escape_string做兜底的站点，只要字段里存过JSON或带斜杠的密码盐，全在等一个sleep(1)的盲注payload。这玩意儿不是漏洞，是幻觉。

文章配图，仅供参考

　　文件上传？呵。那个用$_FILES['avatar']['type']判断是不是jpg的站，是我表弟写的。去年一月他辞职前最后改的代码，说是“老板要上线，来不及加白名单”。我翻Git log看到他删掉了extension_loaded('fileinfo')那段校验，留了个//临时绕过。现在呢？攻击者上传的是xxx.jpg.php，但Content-Type设成image/jpeg，服务器真就当它是图。更绝的是，他用move_uploaded_file($_FILES['avatar']['tmp_name'], $dst)时，$dst路径拼接用了basename($_FILES['avatar']['name'])，可没过滤点号。你猜怎么着？上传一个a..b.jpg，Linux下就是a.b.jpg，但Windows识别成目录跳转——他那台测试机装的XAMPP，跑的是NTFS。那天下午四点二十三分，他微信问我：“哥，为啥我的upload目录里多了个‘php’文件夹？里头全是eval($_POST[x])？”我没回，把聊天框划掉了。这个我说不准，到底算Windows兼容性问题，还是PHP本身在跨平台时对路径解析的放任？反正我不碰windows版Apache anymore。

　　对了，小王今早来问，说他用symfony的Form组件验证上传文件类型，觉得“总该安全了吧”。我把vendor/symfony/form/Extension/Core/Type/FileType.php拉出来指给他看——ValidationListener里只校验mimeType和maxSize，没碰扩展名，也没开fileinfo检测真实内容。他听完低头扒拉手机，突然说：“等等……我刚刚重启了PHP-FPM，日志里有条warning：‘Unable to load dynamic library /usr/lib/php/20220829/fileinfo.so’。”我嗯了一声，顺手点了外卖——宫保鸡丁，微辣，不要花生，备注“酱汁多一点”。骑手十分钟后来敲门，穿蓝色制服，左袖口脱了一截线头，在风里飘着。

　　优胜劣汰？可不是什么进化论鸡汤。是活下来的站长，要么删光所有ini里关于magic_quotes的旧注释，要么把所有base64_decode($_GET['id'])换成throw new BadRequestHttpException(); 要么干脆不接新项目，守着三个还能跑的Discuz! 3.5站，等PHP8.4彻底砍掉mysql_函数那天，一起退役。我桌上那台老ThinkPad，风扇声音像哮喘病人半夜翻身，T430，i5-3320M，内存八G焊死的。它开机比人醒得早，启动时屏幕泛绿，得按三次Fn+F7才能切回VGA输出。上周五它蓝屏了，错误码0x0000007E，原因：php_opcache.dll试图访问无效内存。我重装了opcache，它又好了。但我没动config.php里那一行error_reporting(E_ALL & ~E_NOTICE)——有些notice，报出来不如烂在肚子里。

　　说到这个……你记得去年十月那个被挂马的WordPress站吗？就挂JS在wp-includes/class-wp-editor.php末尾那种。我们俩拆包到凌晨，发现恶意代码是通过wp_ajax_nopriv_xxx钩子注入的，而钩子注册位置在主题functions.php里，藏在一堆add_action('wp_head', ...)下面。当时我喝的是冰美式，杯底沉着半融的方糖，他拿牙签戳，一下，两下，第三下糖碎了，浮起来。我们谁都没说话。后来查到，源头是某个用了三年没更新的Contact Form 7插件，补丁早在2022年9月就发了。可站长说：“我试过更新，表单提交后收不到邮件，就回滚了。”

　　所以接下来？我不打算写补丁脚本。我准备把家里那台二手群晖DS218+搬出来，装上OpenResty，以后所有新站的PHP层全走Lua filter做前置过滤：挡掉含__HALT_COMPILER、phar://、data://、expect://的请求头；干掉所有Referer为空但含PHPSESSID的POST；对所有upload路径自动strip ../。干不干净？不知道。但至少让攻击者得先读懂我写的那三百七十二行nginx.conf里的location @filter块，才能摸到PHP-FPM。这事儿我现在就去干——刚收到通知，快递到了，盒子上印着“群晖科技”，胶带缠得歪歪扭扭，右下角沾了片槐树叶，干枯的，脉络还清。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!