PHP代码注入检测报警机制_PHP代码注入检测报警机制实现

// 这是一个非常简化的PHP函数钩子概念，实际实现需要PHP扩展，如runkit7
// 假设我们有一个机制可以在 eval() 执行前介入
function my_custom_eval_hook($code) {
    // 检查 $code 中是否包含可疑的命令执行函数或模式
    if (preg_match('/(system|shell_exec|passthru|exec)\s*\(.*\)/i', $code)) {
        // 记录详细日志
        error_log("SECURITY ALERT: Potential code injection via eval(). Payload: " . $code . " from IP: " . $_SERVER['REMOTE_ADDR'], 0);

        // 触发报警（例如发送到Slack或邮件）
        send_security_alert_to_team([
            'level' => 'CRITICAL',
            'message' => 'Detected suspicious command in eval() call.',
            'details' => $code,
            'source_ip' => $_SERVER['REMOTE_ADDR'],
            'request_uri' => $_SERVER['REQUEST_URI']
        ]);

        // 可以选择阻止执行，或者在一个沙箱环境中执行
        // die("Access Denied: Malicious code detected.");
    }
    // 如果没有检测到恶意，则继续执行原始的 eval
    return eval($code);
}

// send_security_alert_to_team 函数示意
function send_security_alert_to_team(array $alert_data) {
    // 实际项目中会集成邮件服务、Slack API等
    $subject = "[Security Alert] " . $alert_data['message'];
    $body = "Level: " . $alert_data['level'] . "\n"
          . "Details: " . $alert_data['details'] . "\n"
          . "Source IP: " . $alert_data['source_ip'] . "\n"
          . "Request URI: " . $alert_data['request_uri'] . "\n"
          . "Timestamp: " . date('Y-m-d H:i:s');

    // 假设有发送邮件的函数
    // mail('security@example.com', $subject, $body);

    // 假设有发送Slack消息的函数
    // send_slack_message_to_channel($body, '#security-alerts');
}

// 示例：一个通用的安全事件记录和报警函数
// 可以在应用的任何关键点调用，例如输入处理、文件操作、数据库查询等
function record_and_alert_security_event(string $event_type, string $message, array $context = [], string $severity = 'INFO') {
    $log_entry = [
        'timestamp' => date('Y-m-d H:i:s'),
        'event_type' => $event_type,
        'severity' => $severity,
        'message' => $message,
        'context' => $context,
        'source_ip' => $_SERVER['REMOTE_ADDR'] ?? 'N/A',
        'request_uri' => $_SERVER['REQUEST_URI'] ?? 'N/A',
        'user_agent' => $_SERVER['HTTP_USER_AGENT'] ?? 'N/A',
    ];

    // 1. 记录到文件日志或集中日志系统
    error_log(json_encode($log_entry), 0); // 写入PHP错误日志，或通过配置发送到syslog/fluentd等

    // 2. 根据严重性触发报警
    if (in_array($severity, ['WARNING', 'CRITICAL', 'EMERGENCY'])) {
        // 假设有发送通知的通用服务
        send_notification_service($log_entry);
    }
}

// 示例用法：在处理用户上传文件时
$uploaded_file_name = $_FILES['file']['name'] ?? '';
$uploaded_file_type = $_FILES['file']['type'] ?? '';

if (!empty($uploaded_file_name) && !is_valid_file_type($uploaded_file_type)) {
    record_and_alert_security_event(
        'File Upload Anomaly',
        'Attempted to upload an invalid file type.',
        ['filename' => $uploaded_file_name, 'file_type' => $uploaded_file_type],
        'WARNING'
    );
    // 阻止上传
    die("Invalid file type.");
}

// 示例用法：在检测到可疑的数据库查询时
$user_input_query = $_GET['query'] ?? '';
if (preg_match('/(UNION SELECT|SLEEP\(|BENCHMARK\()/i', $user_input_query)) {
    record_and_alert_security_event(
        'SQL Injection Attempt',
        'Detected suspicious pattern in database query.',
        ['query' => $user_input_query],
        'CRITICAL'
    );
    // 可以直接终止请求，或者返回一个通用错误
    die("Invalid request.");
}

// send_notification_service 示意
function send_notification_service(array $event_data) {
    // 根据 $event_data['severity'] 决定发送邮件、短信、Slack等
    if ($event_data['severity'] === 'CRITICAL') {
        // 发送给主要负责人
        // mail('oncall@example.com', 'CRITICAL Security Alert', json_encode($event_data, JSON_PRETTY_PRINT));
    } elseif ($event_data['severity'] === 'WARNING') {
        // 发送给安全团队邮件列表
        // mail('security-team@example.com', 'WARNING Security Alert', json_encode($event_data, JSON_PRETTY_PRINT));
    }
    // 也可以集成到 SIEM 系统
    // send_to_siem_api($event_data);
}