disable_functions 无法阻止通过 create_function + preg_replace 等方式绕过，因其仅禁用内置函数，对动态代码执行、扩展函数及文件写入导致的绕过无效。
PHP 禁用危险函数不能只靠 disable_functions 配置项——它对很多绕过方式完全无效，尤其是当攻击者能写入文件或调用扩展函数时。
disable_functions 为什么经常失效
这个配置项只禁用 PHP 内置函数（如 system、exec、shell_exec），但不阻止：
- 通过
create_function+preg_replace（PHP - 使用
pcntl_exec、proc_open等未被列入默认黑名单的函数 - 加载外部扩展（如
imap_open可触发 popen 行为） - 利用反序列化触发
__wakeup/__destruct中未被禁用的函数链
真正有效的禁用方法：php.ini + open_basedir + opcode 层限制
单点配置不如组合策略。关键不是“禁什么”，而是“让危险代码根本跑不起来”：
-
disable_functions必须显式列出：system,exec,shell_exec,passthru,proc_open,popen,pcntl_exec,pcntl_fork,pcntl_waitpid,pcntl_wifexited（注意逗号后不能有空格） -
open_basedir设为严格路径（如/var/www/html:/tmp），可阻断大部分文件写入+执行类 payload 的落地环节 - 启用
opcache.enable=1并设置opcache.restrict_api="/dev/null"（PHP 7.4+），防止通过opcache_get_status泄露信息或触发 JIT 相关利用 - 若用 FPM，配合
security.limit_extensions = .php，避免上传.php5、.phtml绕过解析限制
检查是否真被禁用：别信 phpinfo()，要实测
攻击者常通过 get_defined_functions() 或 function_exists() 探测可用函数，所以验证必须走执行流：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
立即学习“PHP免费学习笔记（深入）”；
echo 'exec: ' . (function_exists('exec') ? 'enabled' : 'disabled') . "\n";
echo 'shell_exec: ' . (function_exists('shell_exec') ? 'enabled' : 'disabled') . "\n";
@exec('id', $out) ? print_r($out) : print("exec blocked\n");
更关键的是测试组合行为：proc_open('id', [], $pipes) 和 file_put_contents('/tmp/test.php', '<?php system($_GET[1]);?>') 是否仍能完成写入+执行闭环。
Web 服务器层兜底：Nginx/Apache 的执行隔离
PHP 配置再严，若 Web 服务器允许直接执行上传文件，一切归零：
- Nginx 中确保
location ~ \.php$块里没有fastcgi_param SCRIPT_FILENAME $request_filename这类不安全写法，必须用$document_root$fastcgi_script_name - 禁止用户目录下执行 PHP：
location ~ ^/uploads/.*\.php$ { return 403; } - Apache 启用
php_admin_value engine Off在上传目录的.htaccess中（需允许 override）
解释器本身不会被“保护”，它只是按规则运行代码；所谓防护，本质是收窄规则、切断路径、增加绕过成本。最常被忽略的一点：disable_functions 对 assert()、call_user_func()、unserialize() 完全无感——而这些才是真实攻击链的起点。
