PHP命令注入攻击是指攻击者通过恶意输入构造系统命令，利用程序漏洞执行未授权操作，防御需从输入过滤与代码规范入手：对用户输入进行严格验证，采用白名单机制限制字符集，过滤特殊字符（如|、&、;等）；使用escapeshellarg()或escapeshellcmd()对命令参数进行转义，避免直接拼接用户输入到系统命令中；同时禁用危险函数（如exec()、system()等），或通过disable_functions配置限制其使用，采用参数化查询、最小权限原则等综合措施，可有效降低命令注入风险，保障系统安全。
PHP安全实战：有效防御命令注入攻击策略
何为命令注入攻击？
命令注入（Command Injection）是一种高危安全漏洞，攻击者通过精心构造的用户输入，向应用程序注入恶意操作系统命令，当PHP代码未经严格过滤就将用户输入直接拼接到系统命令中时，攻击者可利用特殊字符（如分号 `;`、管道符 `|`、逻辑与 `&&`、逻辑或 `||` 等）连接或覆盖原有命令，从而欺骗服务器执行非预期操作，此类攻击可能导致服务器权限被获取、敏感文件泄露、数据篡改,甚至引发服务器完全沦陷。
命令注入的典型攻击场景
在PHP应用中,以下场景极易成为命令注入的温床：
直接拼接用户输入到系统命令
<?php
$userInput = $_GET['domain'];
// 危险：直接将用户输入拼接到shell_exec()中
$result = shell_exec("ping -c 4 " . $userInput);
echo $result;
?>
**攻击示例**：攻击者访问 `?domain=example.com; cat /etc/passwd`，服务器将依次执行 `ping -c 4 example.com` 和 `cat /etc/passwd`,导致系统密码文件泄露。
滥用危险函数且未过滤输入
PHP提供了一系列可直接执行系统命令的函数，如 `exec()`、`shell_exec()`、`system()`、`passthru()`、`proc_open()`、`popen()` 等，若这些函数的参数直接来源于用户输入且未经过严格净化,攻击者便可轻易利用。
动态构建并执行命令
<?php $command = $_POST['command']; $args = $_POST['args']; // 危险：动态拼接命令并执行 $cmd = escapeshellcmd($command) . " " . $args; // 注意：仅转义命令名，未转义参数！ system($cmd); ?>
**攻击示例**：攻击者提交 `command=ls` 和 `args=-la /etc`，服务器将执行 `ls -la /etc`,暴露系统敏感目录结构。
PHP防御命令注入的核心策略
优先使用PHP原生函数，避免危险命令调用
**核心原则**：在业务逻辑允许的前提下，优先采用PHP内置函数替代系统命令调用,从根本上消除命令注入风险。
- **文件读取**：使用 `file_get_contents()` 替代 `cat`/`head`/`tail` 等命令；
- **HTTP请求**：使用 `cURL` 或 `file_get_contents('http://...')` 替代 `curl`/`wget` 命令；
- **文件系统操作**：使用 `file_exists()`、`is_dir()`、`scandir()` 等替代 `ls`、`find`、`stat` 等命令。
**安全重构示例**：
// 不安全：直接调用system()执行dir命令
$dir = $_GET['dir'];
system("dir " . $dir);
// 安全：使用PHP原生函数扫描目录
$dir = $_GET['dir'];
if (is_dir($dir)) { // 先验证目录有效性
$files = scandir($dir);
print_r($files);
} else {
die("Invalid directory path");
}
实施严格的白名单输入验证
**关键认知**：黑名单过滤（如仅过滤 `;`、`|` 等字符）存在明显缺陷，攻击者总能找到绕过方法（如使用 `&`、`||`、`$()` 等）。**白名单验证**是更可靠的方案,即只允许符合预期格式的输入通过。
**白名单验证示例（仅允许合法IP地址）**：
$ip = $_GET['ip'];
// 白名单验证：严格匹配IPv4格式（如192.168.1.1），且各段数值在0-255之间
if (!preg_match('/^((25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$/', $ip)) {
die("Invalid IP address format");
}
// 安全执行ping命令（仅当必须使用时）
$result = shell_exec("ping -c 4 " . escapeshellarg($ip)); // 结合转义函数
echo $result;
强制转义特殊字符（仅限必须调用系统命令的场景）
若业务逻辑**必须**调用外部系统命令（如调用特定第三方工具），需对用户输入进行**强制转义**，确保其无法被解释为命令分隔符或参数,PHP提供两个核心转义函数：
（1）`escapeshellarg()`：安全转义单个参数
该函数将输入字符串用单引号包裹，并转义其中的单引号和反斜杠，这能确保输入作为**单一、不可分割**的参数传递给命令,有效防止命令注入。
**安全转义示例**：
$userInput = $_GET['filename'];
// 危险：直接拼接
// system("cat " . $userInput);
// 安全：使用escapeshellarg()转义
system("cat " . escapeshellarg($userInput));
**效果**：若输入为 `file.txt; rm -rf /`，实际执行的命令为 `cat 'file.txt; rm -rf /'`，`cat` 会尝试读取一个名为 `file.txt; rm -rf /` 的文件,而非执行恶意命令。
（2）`escapeshellcmd()`：转义整个命令字符串
该函数转义命令字符串中的所有可能被shell解释的特殊字符（如 `&`、`;`、`|`、`$`、`>`、`<` 等）。**注意**：它不转义参数内的引号，*必须与
