PHP核心配置详解

港控/mmm° 2023-06-16 04:58 0阅读 0赞

### PHP核心配置讲解 ###

*  前言
 *  PHP\_INI\_\*常量的定义
 *  1.register\_globals（全局变量注册开关）
 *  2.allow\_url\_include（是否允许包含远程文件）
 *  3.magic\_qutoes\_gpc（魔术引号自动过滤）
 *  4.magic\_qutoes\_runtimes（魔术引号自动过滤）
 *  5.magic\_qutoes\_sybase（魔术引号自动过滤）
 *  6.safe\_mode （安全模式）
 *  7.open\_basedir （PHP可访问目录）
 *  8.disable\_functions （禁用函数）
 *  9.display\_errors 和 error\_reporting（PHP错误显示）

# 前言 #

代码在不同的环境下执行的结果也会有大不同，可就就是因为一个配置问题，导致一个非常高危的漏洞被利用；也可能困扰你半天的问题是因为一个小小的配置引起的；因此我们必须要尽可能的熟悉PHP各个版本中配置代表的含义，才能提高代码开发质量。

# PHP\_INI\_\*常量的定义 #

<table> 
 <thead> 
  <tr> 
   <th>常量</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>PHP_INI_USER</td> 
   <td>该配置选项可在用户的PHP脚本中注册</td> 
  </tr> 
  <tr> 
   <td>PHP_INI_PERDIR</td> 
   <td>该配置选项可在php.ini .htaccess 或者 http.conf中设置</td> 
  </tr> 
  <tr> 
   <td>PHP_INI_SYSTEM</td> 
   <td>该配置选项可在php.ini 或者 httpd.conf中配置</td> 
  </tr> 
  <tr> 
   <td>PHP_INI_ALL</td> 
   <td>该配置选项可在任何可以可以配置的地方设置</td> 
  </tr> 
  <tr> 
   <td>php.ini only</td> 
   <td>该配置选项仅可在php.ini中设置</td> 
  </tr> 
 </tbody> 
</table>

# 1.register\_globals（全局变量注册开关） #

该配置如果设置为“on”，会直接把客户端传的参数注册为全局变量并出示为所传参数的值，如：GET，POST等。

参见如下代码，同时使用`http://localhost/index.php?user=admin`进行访问，可以看到结果为`true`

if ($user == 'admin'){ 
        var_dump(true);die;
    }
    var_dump(false);

# 此配置在PHP版本<=4.2时可用，在PHP5.3之后被废弃，5.4之后彻底移除

# 2.allow\_url\_include（是否允许包含远程文件） #

这个配置指令对PHP安全的影响不容小觑。在该配置为 “on” 的情况下，PHP脚本可以直接包含远程文件，并执行文件内的PHP命令。参见如下代码，然后访问服务器B，可以看到结果输出为`这个是文件A`。

<?php
    // 文件A，放在服务器A上
    echo "这个是文件A";
    >?

--------------------

<?php
    // 文件B，放在服务器B上
    include "服务器A的地址/文件A.php";
    echo "\n结束";
    ?>

# 3.magic\_qutoes\_gpc（魔术引号自动过滤） #

这项配置还是挺好的。只要此配置开启，会自动在GET、POST、GOOKIE变量中的单引号、双引号、反斜杠以及空字符的前面加上反斜杠()，但并不会过滤$\_SERVER变量，导致很多相关的内容，有可能被漏洞利用。具体效果可参见如下代码，`http://localhost:index.php?seay=1'`执行后可见到结果为`1\'`

<?php
    echo $_GET['seay'];
    ?>

# 4.magic\_qutoes\_runtimes（魔术引号自动过滤） #

这项配置也是对数据进行过滤，但是和上面magic\_qutoes\_gpc不同的是，这项配置主要是过滤从文件或者数据库中提取出来的数据。

# 5.magic\_qutoes\_sybase（魔术引号自动过滤） #

此项配置同样是对数据进行过滤，同样和上面两项有不同。此项配置同样过滤$\_GET、POST、COOKIE等变量，不同点在于它会将单引号转化为双引号。参见如下代码，通过访问`http://localhost:index.php?seay=1'`，可看到结果为`1"`

<?php
    echo $_GET['seay'];
    ?>

# 6.safe\_mode （安全模式） #

安全模式是PHP内置的的一种安全机制。当safe\_mode设置为 on 时，所有文件操作的函数都会受到限制。  
`例如：文件A和文件C属于用户A，文件B属于用户B，那么在用户A执行文件B的时候回报错“Cannot execute useing backqutoes in Safe Mode in line 行数”`

# 7.open\_basedir （PHP可访问目录） #

相信大家肯定都碰到过open\_basedir(…)的错误信息。这是由于你要操作的目录不在此项配置下。

# 8.disable\_functions （禁用函数） #

在正式的生产环境中，为了更安全地运行PHP，也可以使用disable\_functions指令来禁止一些敏感函数的使用。比如dl()。因为攻击者可能利用dl()函数来加载自定义的PHP扩展来进行攻击  
`本指令配置的范围为php_ini only`

# 9.display\_errors 和 error\_reporting（PHP错误显示） #

此配置选项表示，是否显示程序运行中的错误信息。一般在开发调试中会打开此项配置，但是到生产环境后就要关闭此项配置了，避免一些安全隐患。  
此配置项分为

Deprecated 最低级别错误，程序继续执行
    
    Notice 通知级别的错误 如直接使用未声明变量，程序继续执行
    
    Warning 警告级别的错误，可能得不到想要的结果
    
    Fatal error  致命级别错误致命级别错误，程序不往下执行
    
    parse error 语法解析错误，最高级别错误，连其他错误信息也不呈现出来
    
    E_USER_相关错误 用户设置的相关错误

好了，今天分享就到这里，大家继续努力！！！