PHP服务器安全审计：90%高危漏洞藏于配置末行

　　上线那晚，我蹲在机房门口啃冷包子，后端老张叼着半截烟在对面抖腿——烟灰掉在工牌上都没拍，就盯着手机刷部署日志。白板上还留着上会写的字，“缓存策略”四个字被油性笔画了叉，底下歪歪扭扭补了句“先跑通再说”，字迹是设计的，她连签字都懒得签全，只划了个拖把似的“王”字。测试群一直在响，但没人点开，消息堆到99+，全是“又崩了？”“PHP Fatal error: Uncaught”这种，跟报丧似的。

文章配图，仅供参考

　　我原以为高危漏洞都在哪儿？在加密算法选型里，在JWT密钥硬编码里，在没过滤的$_GET里——结果呢？翻完所有代码、核完所有CI流程、连Composer.lock哈希都比对了三遍，最后卡死在一个PHP配置文件的末行。就一行：`auto_prepend_file = "/var/www/html/common/init.php"`。看上去人畜无害，对吧？可init.php里调了个没权限校验的debug函数，而那个debug函数……读的是`/etc/shadow`的符号链接。不是故意的，是三年前某个回滚时顺手加的临时钩子，早忘了删。谁动过？不知道。谁看过？没人。就静静躺在php.ini最底下，像根缝衣针扎进棉花堆里。

　　说白了，这玩意儿根本不是“漏洞”，是“遗忘”。PHP配置这东西，天生就是个坟场：上线改两行，排期紧就贴末尾；迁移时复制粘贴整份配置，连注释里的“# 2017年测试环境勿用”都原样保留；老板催着上线那天，后端直接vim +G o 回车，啪啪敲两行扩展路径，连空格都没对齐。优胜劣汰？真不是瞎说——你见过哪个团队能坚持给php.ini写单元测试？写过一次文档的，都算虔诚。剩下的，全靠命。活下来的配置，不是因为安全，是因为没被扫到、没被连上、没被实习生手抖重启过Apache。

　　其实我干过更绝的。去年改版，设计非说登录页要实时显示服务器温度（对，她真提了这需求），后端懒得写接口，干脆让PHP脚本去cat /sys/class/thermal/thermal_zone0/temp，再json_encode吐出去。这事没爆，纯属侥幸——因为那台机器的thermal_zone0权限刚好是644。可就在它旁边，另一台同批次部署的机器，thermal_zone0是600。一个权限数字之差，就卡死了整个灰度集群。当时我在咖啡机旁跟老板吵，他拍桌子说“前端渲染的事你管那么宽干嘛”，我回他：“您猜PHP执行时是以www-data身份读这个文件，还是以root身份？”他愣了三秒，转头去问运维。后来这事没下文了，因为第二天产品说“温度不重要了”，设计离职了，走之前把钉钉头像换成了柴犬，朋友圈发了张猫砂铲的照片，配文“终于不用铲人屎了”。

　　窗外天黑得快，楼里灯一盏盏灭，就我们这层还亮着。外卖到了没人拿，袋子在门边鼓着，纸袋角被空调风吹得掀起来，露出半截凉掉的糖醋排骨。我盯着php.ini末行那串路径看了足足七分钟——不是分析，是发呆。因为你知道吗？它旁边还有两行是注释：`; auto_prepend_file = ""` 和 `; Dangerous legacy stub - DO NOT UNCOMMENT`。写的人记得风险，可他忘了删掉自己那行。删掉的那行才是真的，注释里的才是幻觉。就像当年回滚时那个分支名，叫`hotfix/urgent-but-actually-temp`，现在还在GitLab里挂着，连保护规则都没设。

　　我试过查全站php.ini分布。不是只查/etc/php//apache2/php.ini，是搜/var/www/下所有叫php.ini、php-fpm.conf、.user.ini的鬼东西。找到十二个。其中七个有`disable_functions`，但每个disable的函数都不一样；三个启用了opcache，可两个的opcache.revalidate_freq设成0，一个是3600；还有一个，php_flag engine off 写在.htaccess里，结果Apache开了AllowOverride None，那行flag等于在沙漠里喊话。没人维护这份清单，就像没人记得当年是谁把MySQL密码写进php.ini的`sendmail_path`字段当注释——对，就那一行：“; sendmail_path = '/usr/sbin/sendmail -t -i -f admin@company.com' # pwd: super123!”。我删了，删完心慌，因为我不知道这是不是某个遗留脚本唯一活着的凭证。

　　后怕？真后怕。不是怕被黑，是怕某天凌晨三点，告警邮件标题写着“PHP config mismatch”，而我第一反应是去翻Git提交记录，发现最后一次改php.ini的人，是去年离职的运维，ID还锁在LDAP里，邮箱转发到行政部。他走的时候，带走了U盘里所有配置模板，只留了句话在交接文档：“php.ini看心情，别信注释。”

　　所以接下来，我打算干件挺蠢的事：写个脚本，每小时自动grep所有php.ini末十行，抽出来扔进ES，建个告警词库——关键词包括但不限于：“include”、“require”、“/tmp/”、“/var/www/”、“= /”、“# legacy”、“# temp”、“# debug”。不修，只盯。盯到哪天它自己绷不住为止。当然，我也得承认，上个月我自己在dev环境php.ini末行加过一句`display_errors = On`，调试完忘删了。这锅，我背。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!