Suhosin 并禁用 eval 函数
Suhosin and disable eval function
我已经在我的专用 CentOS 服务器上安装了 Suhosin。 centos6.7+php5.4.41+suhosin0.9.36
我想启用Suhosin的禁用评估功能。
我浏览了文档，据我了解，最好的方案是将其添加到 php.ini:
[suhosin]
suhosin.executor.eval.blacklist= phpinfo,passthru,exec,system,chroot,scandir,chgrp,chown
但它不会阻止 eval 执行 phpinfo(),<?php eval(phpinfo());?>.
真的希望有人能指出我的错误。
打开 php.ini 文件并查找 disable_functions。 Write/Enlist 您要禁用的功能。例如：disable_functions=passthru,exec,system,popen,eval
您的示例执行 phpinfo()，然后尝试评估输出。根据您的配置，以下示例将被 suhosin 阻止：
eval("phpinfo();");
如果适用，请考虑使用白名单而不是黑名单。从安全的角度来看，最好允许一组有限的函数，而不是猜测所有坏函数。
另请注意，eval 本身不是函数，不能被 disable_functions 和朋友阻止。 Suhosin 为此目的提供 suhosin.executor.disable_eval。
我已经在我的专用 CentOS 服务器上安装了 Suhosin。 centos6.7+php5.4.41+suhosin0.9.36
我想启用Suhosin的禁用评估功能。 我浏览了文档，据我了解，最好的方案是将其添加到 php.ini:
[suhosin]
suhosin.executor.eval.blacklist= phpinfo,passthru,exec,system,chroot,scandir,chgrp,chown
但它不会阻止 eval 执行 phpinfo(),<?php eval(phpinfo());?>.
真的希望有人能指出我的错误。
打开 php.ini 文件并查找 disable_functions。 Write/Enlist 您要禁用的功能。例如：disable_functions=passthru,exec,system,popen,eval
您的示例执行 phpinfo()，然后尝试评估输出。根据您的配置，以下示例将被 suhosin 阻止：
eval("phpinfo();");
如果适用，请考虑使用白名单而不是黑名单。从安全的角度来看，最好允许一组有限的函数，而不是猜测所有坏函数。
另请注意，eval 本身不是函数，不能被 disable_functions 和朋友阻止。 Suhosin 为此目的提供 suhosin.executor.disable_eval。