一、命令与代码执行漏洞函数1. 系统命令执行函数作用接收外部输入后直接调用服务器系统指令输入无过滤可执行任意系统操作system()执行命令并直接打印输出结果支持拼接; |执行多条命令shell_exec()执行命令并完整返回输出反引号等价于该函数一句话木马常用exec()执行命令仅返回执行最后一行数据可读取服务器进程、文件信息passthru()原始二进制流输出常用来读取本地文件无过滤风险极大popen()/proc_open()创建独立进程执行命令可读写进程数据流实现文件增删2. PHP 代码执行函数作用将字符串解析为 PHP 程序运行是 Web 后门核心函数eval()最经典高危任意传入字符串都会当做代码执行所有一句话木马核心函数assert()PHP5 低版本可解析字符串代码DVWA、Pikachu 旧靶场常见漏洞点preg_replace(/正则/e,...)e修饰符开启代码执行匹配内容会被解析运行PHP5.6 后废弃create_function()拼接用户输入生成匿名函数隐蔽型代码执行漏洞二、文件类漏洞函数1. 文件包含函数include()、include_once()、require()、require_once原理路径可控时传入../穿越目录读取配置开启allow_url_include可远程包含恶意木马文件。2. 文件读取函数file_get_contents()既读取本地文件也支持 http/ftp 协议同时触发目录遍历、SSRF 两种漏洞readfile()直接完整输出文件内容轻易泄露数据库配置、网站源码fopen() fread()组合读取任意路径文件无路径限制可遍历全站目录3. 文件写入、移动、删除函数file_put_contents()可控文件名 可控内容直接向网站目录写入 php 木马unlink()删除服务器源码、配置文件破坏业务系统copy()、rename()绕过上传校验把图片马改后缀为 php 文件4. 源码泄露函数highlight_file()、show_source()直接打印 PHP 源代码泄露数据库账号、后台地址三、SQL 注入危险函数高危拼接查询mysql_query()老旧 mysql 扩展课件登录靶场演示注入核心函数mysqli_query()字符串拼接写法未使用预编译拼接 GET/POST 参数存在注入mysql_db_query()废弃旧数据库函数同样存在拼接漏洞安全对比PDO 预处理、mysqli_prepare()使用占位符分隔指令和数据彻底杜绝注入四、XSS 跨站脚本相关函数危险输出函数echo、print、print_r、var_dump、var_export防御专用函数htmlspecialchars()转义 特殊符号浏览器无法解析 JS 脚本根治 XSS五、SSRF 服务器请求伪造函数可主动发起内外网网络请求扫描内网端口、读取云服务器元数据curl_exec()、fsockopen()、file_get_contents()六、变量覆盖漏洞函数接收外部数组 / 字符串自动生成变量覆盖程序原有配置、账号参数extract()批量将数组键名转为变量高危逻辑漏洞函数parse_str()解析 URL 参数自动生成变量无过滤直接覆盖关键值七、动态函数调用漏洞用户可控参数可指定调用任意函数直接触发代码执行call_user_func()、call_user_func_array()回调函数第一个参数为可执行函数名可变函数$func($_GET[cmd])变量名直接当做函数运行八、系统配置修改高危函数可动态修改 PHP 运行规则关闭安全防护、放大全部漏洞风险ini_set()修改禁用函数、远程文件包含开关等配置dl()加载外部恶意 so 扩展实现底层提权多数服务器默认禁用