PHP服务器安全审计：90%高危漏洞藏于配置末行

　　“你确定没动 php.ini 最后一行？”我盯着屏幕右下角时间——去年国庆节凌晨两点四十七，监控告警刚响第三声。李工蹲在测试机后面扯充电线，那根线根本够不到插座，他最后把笔记本垫在三本《PHP 扩展开发》上硬抬高了十五度。白板上写着“7.4.33→8.1.22”，但“8.1.22”底下被擦掉一半，只剩个“8.”和两道斜杠，像谁手抖划的。

　　我原以为是 opcache 失效导致的 session 混乱，结果 grep 了十二遍 phpinfo() 输出，才发现 disable_functions 末尾多塞了个 escapeshellarg ——前面带了个空格，后面没换行，整个值被 nginx 的 fastcgi_param 覆盖时截断了。不是配置项写错了，是它后面压根没换行。第九百零七次重启 php-fpm 之后，王姐端着凉透的麻辣烫推门进来，汤底浮着层凝固的红油，她说：“你猜张磊昨天提的单，复现步骤第三步为什么总卡住？”我没接，手指悬在键盘上，那个“escapeshellarg”还停在我 vim 的最后一行，光标在字母 g 后面闪，没换行。

　　优胜劣汰——真不是嘴上说的。去年国庆节那波灰度，漏测的 case 就是这个：管理员上传 zip 包解压后触发 exec，但 disable_functions 实际生效的是前半截，因为末行没换行，PHP 解析器把它当作了注释结尾的一部分。上线前发现的那个致命问题，就卡在这儿。你打开 php.ini，Ctrl+End，停在最后一个字符上，看一眼回车键有没有被按下。90% 高危漏洞藏于配置末行，不是玄学，是 parser 遇到 EOF 时，对行尾空白和换行符的宽容度，在不同 SAPI 下根本不一样。cli 模式下它吃掉了空格然后继续，fpm 模式下它直接丢弃整行值。没人告诉你，同一份 ini 文件，在 php -v 和 php-fpm -t 里，解析结果能差出三个函数。

　　会议室又被占了，门缝底下挤着张打印纸，是产品部排期表，2023-10-02 那天标着“全量放量”，可我们直到10月3号下午才拿到完整配置包。李工桌上摆着三台手机：一台钉钉震个不停，一台连着测试机抓包，第三台锁屏界面还停在“微信支付超时”。我按了按左 Shift 键，它不回弹，卡在半途，每次输 password 都要多敲一次——后来才发现是键帽底下进灰，跟安全审计毫无关系，但它让我有五分钟没法集中盯日志。

　　你记得那次登录态跨域失效吗？不是 CORS 配置问题，是 session.cookie_httponly = On 后面那行写着 ; SameSite=None，但分号开头的注释行末尾没换行，导致 PHP 把 SameSite=None 当作了上一行的值延续，实际生效成了 httponly=On;SameSite=None——而浏览器根本不认这种连写。我们提了三天阻塞单，定位到 CDN 缓存头，最后翻到 php.ini 第 128 行才收手。那个用例管理工具一直在转圈，圆圈动画卡在 78%，从国庆前一周转到现在，没人点刷新，也没人点关闭，就那么悬着。我试过 Ctrl+R，没用；试过清缓存，没用；最后发现只要鼠标移开窗口，它就偷偷跑完。信不信？你移开两秒再看，它就跳到 100%。但这事儿跟 php.ini 末行漏洞一点关系都没有。

　　我跟张磊争了四十分钟。他说“ini 是运维改的，不该进我们回归范围”，我说“你代码里调 exec 的地方写了 if(function_exists('exec'))，可 function_exists 不查 disable_functions，只查是否加载扩展”，他当场打开 IDE 搜，结果他写的那个判据，压根没覆盖到 disable_functions 截断场景。他删了三行，加了一行 @trigger_error，就没下文了。后来他提测的冒烟用例里，“禁用 exec 后调用系统命令”的边界 case 还是空的。你猜怎么着？上线那天，有个运营同事用后台的“模板导入”功能批量上传，文件名带管道符 | ，结果绕过了前端过滤——因为后端没做二次校验，而 disable_functions 实际没生效。这算谁的漏测？

　　自己那份没人看的用例。我写了十六条 php.ini 配置项检查点，其中五条明确写“检查每行末尾是否含 LF”，但评审会上没人读完第二条。王姐扫了一眼就说“交自动化”，可咱们的扫描脚本压根不校验行尾符——它只 check 是否包含 disable_functions 关键字，不 check 关键字所在行是不是被截断了。我上周试着改脚本，在正则后面加了个 \
?\
$，跑了两轮，报了三十七个“伪阳性”，全是 Windows 换行和 Mac 换行混用导致的。现在它还是只跑关键字匹配。

　　张磊刚微信问我要不要一起核对下 fpm pool 配置，我说你先开 vim，把所有 php.ini 全打开，执行 :set list，然后 Ctrl+End，看看 $ 符号出现在哪儿。他回了个“？”。我补了句：“出现位置不对，比没出现更吓人。”

文章配图，仅供参考

　　用例管理工具又开始转圈了。这次是 83%。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!