如何解决ThinkPHP引发的bypass_disable_functions

发布时间：2021-10-18 11:02:29 作者：柒染
来源：亿速云阅读：430

# 如何解决ThinkPHP引发的bypass_disable_functions

## 前言

在PHP安全领域，`disable_functions`是PHP配置中用于限制危险函数执行的重要安全机制。然而，某些PHP框架（如ThinkPHP）的历史漏洞可能被攻击者利用来绕过这一限制，导致服务器被入侵。本文将深入分析ThinkPHP中常见的`bypass_disable_functions`技术原理，并提供完整的解决方案。

---

## 一、disable_functions机制与绕过原理

### 1.1 PHP安全机制概述
`disable_functions`是php.ini中的配置项，用于禁用如`system`、`exec`、`passthru`等危险函数：
```ini
disable_functions = "exec,passthru,shell_exec,system,proc_open,popen"

1.2 常见绕过技术

攻击者可能通过以下方式绕过限制： - LD_PRELOAD劫持：通过环境变量注入恶意so文件 - PHP扩展漏洞：利用ImageMagick等扩展的漏洞 - 框架特性滥用：ThinkPHP的路由解析、反序列化等特性

二、ThinkPHP历史漏洞分析

2.1 典型漏洞案例

案例1：ThinkPHP5.x远程代码执行（CVE-2018-20062）

// 恶意Payload示例
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

利用条件： - 未正确配置路由 - 开启兼容模式

案例2：ThinkPHP6反序列化漏洞

通过反序列化触发__destruct或__wakeup方法链，最终执行系统命令。

2.2 漏洞利用链分析

sequenceDiagram
    attacker->>+ThinkPHP: 发送恶意请求
    ThinkPHP->>+PHP核心: 错误的路由解析
    PHP核心-->>-ThinkPHP: 触发动态调用
    ThinkPHP->>+系统: 执行禁用函数
    系统-->>-attacker: 返回命令结果

三、实战检测方法

3.1 环境检测脚本

<?php
// 检测ThinkPHP版本
if(class_exists('think\App')){
    $version = \think\App::VERSION;
    echo "ThinkPHP detected: $version\n";
    
    // 检查危险函数是否禁用
    $disabled = ini_get('disable_functions');
    echo "Disabled functions: $disabled\n";
}
?>

3.2 漏洞验证POC

curl "http://target.com/?s=index/\think\app/invokefunction&function=phpinfo&vars[]=1"

四、完整解决方案

4.1 临时缓解措施

修改Nginx配置：

location ~* ^/index.php {
    deny all;
}

删除兼容模式：

// config/app.php
'url_route_on' => true,
'url_route_must' => true,

4.2 长期安全加固

4.2.1 系统层防护

# 使用SELinux限制PHP进程
setsebool -P httpd_execmem off
chcon -t httpd_sys_script_t /var/www/html/

4.2.2 PHP配置优化

; php.ini配置
disable_functions = "exec,passthru,shell_exec,system,pcntl_exec,proc_open"
open_basedir = "/var/www/html:/tmp"

4.2.3 ThinkPHP专项加固

// 关闭调试模式
'app_debug' => false,

// 强制路由注册
'url_route_must' => true,

4.3 入侵后的应急响应

隔离服务器：

iptables -A INPUT -s 攻击IP -j DROP

日志分析关键命令：

grep -r "system(" /var/log/nginx/
grep -r "eval(" /var/www/html/

五、高级防御方案

5.1 基于OpenResty的动态防护

location ~* \.php$ {
    access_by_lua_block {
        local args = ngx.req.get_uri_args()
        if args["s"] and string.find(args["s"], "think") then
            ngx.exit(403)
        end
    }
}

5.2 PHP-FPM池隔离

[www-secure]
user = secure_php
group = secure_php
listen = /run/php/php7.4-fpm-secure.sock
php_admin_value[disable_functions] = "exec,system,passthru"

5.3 基于eBPF的深度监控

// eBPF程序监控execve调用
SEC("tracepoint/syscalls/sys_enter_execve")
int trace_execve_entry(struct trace_event_raw_sys_enter* ctx) {
    char comm[16];
    bpf_get_current_comm(&comm, sizeof(comm));
    if (comm == "php-fpm") {  // 检测PHP进程
        bpf_printk("PHP试图执行命令: %s", ctx->args[1]);
    }
    return 0;
}

六、漏洞修复时间线

版本	修复方案	发布时间
ThinkPHP5.0.24	修复路由解析漏洞	2019-01-11
ThinkPHP6.0.3	增强反序列化过滤	2020-08-15

七、总结与建议

防御深度原则：
- 网络层：WAF规则过滤think\app等特征
- 系统层：SELinux限制PHP权限
- 应用层：及时更新框架版本

监控建议：

# 实时监控PHP异常进程
auditctl -a always,exit -F arch=b64 -S execve -F uid=www-data

推荐升级路径：

ThinkPHP5.1 → 5.2.4+ → 迁移到ThinkPHP6

参考资料

ThinkPHP官方安全公告：https://blog.thinkphp.cn/security
PHP安全配置指南：https://www.php.net/manual/en/security.php
CVE-2018-20062漏洞详情：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-20062

”`

注：本文实际字数约2300字（含代码块和图表），具体发布时可适当调整技术细节。关键防护点已用加粗标出，建议运维人员重点关注系统层加固和PHP-FPM隔离方案。