PHP危險函數配置項的研究及自動化腳本開發

內蒙古電力科學研究院 王鵬 胡宏彬 韓俊飛 俞超宇

近年來，隨著互聯網的普及，各級供電企業的信息化進程也隨之加快，信息化在電力行業迅速普及。信息系統的迅速普及不但提高了電力行業生產效率，同時也提升了電力企業的管理水準，為企業運營提供了科學和準確的決策依據，并最終提升了企業形象和影響力。但是，伴隨電力信息化水平的升級，其中的網絡安全問題也隨之暴露，電力信息化系統一旦發生安全問題，就會直接導致重要的生產事故和經濟損失，甚至直接影響人民群眾的生命財產安全、國家和社會的繁榮穩定。因此，電力信息化系統的安全是各級供電企業安全運營的基石，更關乎國家戰略的有效落實。

作為一種十分常用的開發語言，PHP在電力信息化系統中占比也逐年增長。如果開發者在開發應用時未考慮到系統安全性，未對其進行安全配置，黑客就可以利用危險函數獲取數據庫或信息系統敏感文件，進而對電力信息化系統CIA造成重大影響，如烏克蘭大規模停電事故，因黑客攻擊導致十萬用戶斷電，造成巨大影響。因此，檢查PHP 是否配置相關安全設置尤為重要。本文圍繞PHP 的危險函數配置項檢查進行了研究，并就對應的檢查點編寫了自動化檢查腳本，為電力系統中PHP配置人員提供了技術參考。

PHP危險函數檢查的安全需求

在某電力公司信息化系統建設過程中，應用安全問題逐步出現，如某信息系統存在遠程文件包含漏洞可getshell，某信息系統PHP敏感信息泄露，有被攻擊者進一步攻擊的風險。

上述某電力公司為省級管理的電網企業，負責8 個市級供電營業區的電網建設、經營、管理和農電工作，包含各種信息化應用系統上百個，其中有幾十套PHP 應用，均面臨因危險函數帶來的安全風險。

雖然該公司日常一直在開展安全評估和安全加固工作，但此類問題仍然層出不窮，因PHP 危險函數風險較大，有可能威脅整個信息系統及服務器的安全，對PHP危險函數開展檢查工作迫在眉睫。

PHP危險函數分析

國家電網有限公司于2019 年開展了PHP 危險函數分析工作，包括對PHP 配置檢查項目的分析和研究，具體PHP 配置檢查項包括版本號、全局變量、Httponly 屬性、cookie 竊取、遠程訪問控制、錯誤消息、自動轉譯符號、危險函數。本次研究過程中對PHP 檢查項中的危險函數進行了研究。

PHP中如果未禁用危險函數則會造成巨大影響。本次研究中將PHP危險函數按功能分為PHP代碼執行函數、PHP文件包含函數以及PHP配置相關函數。

PHP 文件包含類函數主要可以實現文件包含，包括本地文件包含及遠程文件包含，同時可以將所包含文件執行，常見函數有Require()函數、Include()函數、Require_once()函數、Include_once()函數，經常用來在系統中調用其他文件進行展示。此類函數的安全風險是一旦攻擊者可以包含指定的惡意文件，則可以實現getshell，進而控制Web 服務器。

PHP代碼執行類函數主要可以執行系統或外部程序，如bin shell、csh shell、dos 命令等，常見函數有exec()函數、eval()函數、Assert()函數、shell_exec()函數、preg_replace()函數、create_function()函數、system()函數等，如果權限校驗不嚴的話，攻擊者可以利用PHP 代碼執行函數執行系統命令，可能造成服務器淪陷。

PHP 文件操作類函數主要可以對應用系統中的文件執行增刪改操作，常見函數有chroot()函數、scandir()函數、syslog()函數、file_get_contents()函數、file_put_contents()函數、Fopen()函數、Readfile()函數、Unlink()函數等，如果權限限制不當，攻擊者可以對操作系統的文件進行任意讀取、任意刪除、任意修改，可能導致應用系統及服務器敏感信息泄露或CIA 受損。

PHP配置類函數主要用來對PHP、Web 應用環境進行輸出、修改、恢復等操作，常見函數有Phpinfo()函數、ini_alter()函數、ini_set()函數、ini_restore()函數、Putenv()函數等，如果權限限制不當，就會造成PHP、Web應用環境敏感信息泄露。

國內行業現狀

當前，國內尚無成熟的自動化PHP 危險函數檢查產品，國家電網有限公司內部針對PHP 危險函數檢查開發了部分自動化配置檢查腳本，與日常安全檢查配合使用，針對常見PHP危險函數配置項可快速完成檢查，在很大程度上提高了PHP危險函數檢查的效率。

PHP危險函數自動化檢查應用實踐

2019年，某電網開展了對PHP危險函數的檢查工作。開展前收集了信息系統的基本情況，如應用系統名稱、用戶、ip、說明、PHP版本等，主要檢查PHP中是否使用以上危險函數，檢查是否對危險函數進行適當的安全限制。經檢查，共發現PHP危險函數使用184個，其中高危函數69個。從檢查結果可以看出，該PHP應用系統在開發過程中對安全的重視程度有所欠缺。

圖1 PHP危險函數檢查結果

經過對PHP危險函數的分析，針對性地對PHP常見的23個危險函數進行了自動化檢查腳本的編寫，通過shell自動化腳本的編寫，形成了一套PHP 危險函數自動化檢查腳本，可以實現PHP危險函數的自動化檢查，大大降低了人工檢查的難度，提升了檢查效率。以文件包含漏洞中常用的危險函數require()自動化檢查腳本為例，腳本內容如下：

par=`cat/etc/php.ini|grep-v"；"|grep-c"disable_functions=Require()"`

if[$par="0"];

then

echo"未禁用危險函數Require()"

else

echo"已禁用危險函數Require()"

fi

對開發完的23 款自動化危險函數檢查工具分別在不同操作系統、不同PHP 版本中進行了多次驗證，每款工具均可正常執行。

下一步探究與思路

因跨平臺、免費等優勢，PHP受到越來越多的網站開發人員的青睞。近年來，隨著信息化在電力行業的普及，信息化帶來的便利與智能化逐步滲透到日常工作的同時，隨之而來的還有潛在安全威脅。本文從PHP 危險函數配置方面分析了PHP在電力行業存在的安全隱患，了解了PHP常見的危險函數特征及作用，最后我們把研究的重點放在PHP危險函數上面，深入剖析了危險函數可能對信息系統的威脅，并研究出了自動化檢查腳本。下一步建議對PHP 系統整體安全性進行自動化的檢查。保證PHP整體環境的安全。

意義

電力系統信息化已經成為日常工作的基礎組成部分，信息化系統的安全決定著生產工作的安全。本文通過對某電網IT信息系統自身安全現狀進行分析，對PHP安全配置項中高危配置項是否禁用危險函數的研究，結合實際應用系統進行了PHP危險函數自動化檢查及加固工作，探討了PHP危險函數在實際信息系統的安全性影響，進而對PHP危險函數進行了深入研究，通過本次對PHP 危險函數開展研究工作，形成了針對安全的PHP函數的自動化檢查及自動化加固工具，并最終形成一套電力行業的PHP 安全配置危險函數的檢查和加固體系。

本研究能夠滿足開發及運維人員對PHP 危險函數安全性的檢測需求，可以讓安全知識較低的開發人員根據檢查結果來修改相應的配置，從而增加系統安全性。