一、引言：PHP代码审计的核心价值

PHP作为全球最流行的Web开发语言之一，其代码安全性直接影响着数百万网站的安全。代码审计作为安全防护的重要环节，能够帮助开发者发现潜在漏洞、防范攻击。在PHP代码审计中，危险函数和特殊函数是审计的重点对象，它们往往成为攻击者利用的突破口。本文将系统梳理PHP中常见的危险函数与特殊函数，分析其风险原理，并提供防御建议。

二、常见危险函数：漏洞的温床

1. 文件操作类函数：路径遍历与文件包含

PHP的文件操作函数如file_get_contents()、fopen()、include、require等，若未对用户输入进行严格过滤，极易引发路径遍历攻击（Path Traversal）和文件包含漏洞（Local/Remote File Inclusion）。

案例分析：

// 危险代码：未过滤用户输入直接拼接文件路径
$file = $_GET['file'];
include($file); // 可能包含恶意文件

防御建议：

• 使用白名单机制限制文件路径
• 调用basename()函数过滤路径中的../
• 配置open_basedir限制文件访问范围

2. 执行系统命令类函数：命令注入

exec()、system()、passthru()、shell_exec()等函数允许执行系统命令，若未对输入参数进行转义，攻击者可注入恶意命令。

案例分析：

// 危险代码：直接拼接用户输入到命令中
$ip = $_GET['ip'];
system("ping " . $ip); // 可能注入`;rm -rf /`

防御建议：

• 避免使用此类函数，改用PHP内置函数
• 必须使用时，使用escapeshellarg()转义参数
• 限制命令执行权限

3. 数据库操作类函数：SQL注入

mysql_query()（已废弃）、mysqli_query()、PDO::query()等若直接拼接用户输入到SQL语句中，将导致SQL注入漏洞。

案例分析：

// 危险代码：未使用预处理语句
$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id = $id"; // 可能注入`1 OR 1=1`

防御建议：

• 使用预处理语句（PDO或mysqli）
• 对输入参数进行类型检查
• 最小化数据库用户权限

4. 序列化与反序列化函数：对象注入

serialize()和unserialize()若处理不可信数据，可能导致对象注入攻击，触发任意代码执行。

案例分析：

// 危险代码：反序列化用户输入
$data = $_GET['data'];
$obj = unserialize($data); // 可能注入恶意对象

防御建议：

• 避免反序列化用户输入
• 使用JSON替代序列化
• 实现__wakeup()或__destruct()方法时谨慎处理

三、特殊函数：隐蔽的安全风险

1. 变量函数与动态调用：代码混淆

call_user_func()、call_user_func_array()等函数允许动态调用函数，若未对调用目标进行验证，可能被利用执行意外函数。

案例分析：

// 危险代码：未验证函数名
$func = $_GET['func'];
call_user_func($func); // 可能调用`phpinfo()`或`system()`

防御建议：

• 使用白名单限制可调用函数
• 对函数名进行严格验证

2. 错误处理函数：信息泄露

error_reporting()、display_errors等配置若不当，可能泄露敏感信息（如数据库结构、路径等）。

案例分析：

// 危险配置：开发环境错误信息暴露
ini_set('display_errors', 1); // 生产环境应关闭

防御建议：

• 生产环境关闭错误显示
• 使用自定义错误处理器
• 记录错误日志而非直接输出

3. 会话处理函数：会话固定与劫持

session_start()、session_id()等若未正确配置，可能导致会话固定（Session Fixation）或会话劫持（Session Hijacking）。

案例分析：

// 危险代码：未重新生成会话ID
session_start(); // 攻击者可预测或固定会话ID

防御建议：

• 登录后重新生成会话ID
• 使用HTTPS保护会话Cookie
• 设置session.cookie_httponly和session.cookie_secure

四、代码审计实践：如何发现与修复

1. 静态分析工具

使用如PHPStan、Psalm、RIPS等工具扫描代码，识别危险函数调用。

2. 动态测试方法

通过模糊测试（Fuzzing）输入异常数据，观察程序行为。

3. 修复策略

• 替换：用安全函数替代危险函数（如filter_input()替代直接获取$_GET）
• 过滤：对输入数据进行严格验证和过滤
• 隔离：限制敏感函数的执行权限

五、总结与展望

PHP代码审计中的危险函数与特殊函数是安全防护的重点。开发者应：

1. 熟悉常见危险函数及其风险
2. 遵循最小权限原则
3. 定期进行代码审计和安全测试
4. 关注PHP安全更新和漏洞通报

未来，随着PHP版本的演进（如PHP 8.x），新的安全特性（如属性注解、JIT安全）将为代码安全提供更多保障，但开发者仍需保持警惕，持续优化安全实践。

通过系统掌握PHP危险函数与特殊函数的安全风险，开发者能够显著提升代码的安全性，有效防范Web攻击，保护用户数据和企业资产。