phpEnv禁用危险函数需组合策略：严格配置disable_functions（小写、无空格、逗号分隔），同步设置open_basedir限制路径、opcache.restrict_api阻断信息泄露，并在Web服务器层禁止上传目录执行PHP，缺一不可。
phpEnv 站点禁用危险函数，不能只改 disable_functions 一行就完事——它只是组合策略里最表层的一环，单独启用几乎必然被绕过。
php.ini 中 disable_functions 必须严格按语法写死
phpEnv 是 Windows 下的集成环境，其 PHP 配置文件路径通常为 C:\phpEnv\php\php.ini（具体以你安装路径为准）。编辑前先确认当前生效的是哪个 php.ini：在站点根目录放一个 info.php，内容为 <?php phpinfo(); ?>，访问后看 “Loaded Configuration File” 行。
- 找到
disable_functions行，去掉前面的分号（如果被注释） - 必须写成小写、无空格、无换行、英文逗号分隔：
disable_functions = exec,shell_exec,system,passthru,proc_open,popen,pcntl_exec,dl,putenv,ini_set - 别加空格：
exec, system❌ 会导致system完全不生效 - 别用中文逗号、顿号或换行，PHP 解析器会截断后续所有内容
- 改完必须重启 phpEnv 的 Apache/Nginx 和 PHP-FPM（或整个 phpEnv 控制面板），否则配置不加载
绕过 disable_functions 是常态，必须补上 open_basedir
攻击者上传一句话木马后，常通过 file_put_contents() 写入新文件再 include() 执行，disable_functions 对这种“写+包含”链毫无约束力。此时 open_basedir 是真正卡住落地的关键。
- 在同一个
php.ini文件中，设置：open_basedir = C:\phpEnv\www;C:\Windows\Temp - 多个路径用分号分隔（Windows 下不是冒号），必须包含临时目录（否则上传、session、opcache 都可能失败）
- 确保你的网站根目录（如
C:\phpEnv\www\myapp）完全落在open_basedir范围内，否则正常业务会报错 “failed to open stream: Operation not permitted” - 验证方式：在脚本里执行
var_dump(ini_get('open_basedir'));，输出应为非空字符串
phpEnv 默认不启用 opcache.restrict_api，这会让信息泄露风险放大
phpEnv 的 PHP 版本多为 7.4+，但默认 opcache.restrict_api 是空值，攻击者可通过 opcache_get_status() 获取绝对路径、脚本列表甚至部分源码片段——这对 WebShell 定位和二次利用极其有利。
立即学习“PHP免费学习笔记（深入）”；
- 在
php.ini中添加：opcache.restrict_api = /dev/null（Windows 下也照写，PHP 会忽略路径有效性，只校验该值是否非空） - 同时确认
opcache.enable=1已开启，否则该限制不生效 - 注意：这个配置不会影响正常 opcode 缓存功能，仅封锁 API 接口
- 测试是否生效：
php -r "var_dump(opcache_get_status());"应抛出警告而非返回数组
Nginx/Apache 层必须堵死上传目录的 PHP 解析
phpEnv 若使用 Nginx，常见错误是把用户可写目录（如 uploads/）设为可执行 PHP —— 即使 disable_functions 和 open_basedir 全开，上传一个 shell.php 后直接访问就能 RCE。
- 若用 Nginx，在
nginx.conf或站点 conf 中加入：location ~ ^/uploads/.*\.php$ { return 403; } - 若用 Apache，在网站根目录的
.htaccess中加：<FilesMatch "\.(php|phtml|php5)$"> Order Deny,Allow Deny from all </FilesMatch>（需开启AllowOverride All） - 关键检查点：访问
http://localhost/uploads/test.php（文件内容为<?php phpinfo();?>）必须返回 403，而不是显示 phpinfo 页面
真正容易被忽略的，是 proc_open 和 pcntl_exec 这类“非典型命令执行函数”——它们不像 exec 那样显眼，日志里也不易追踪，却是 AntSword、Godzilla 等主流工具的默认 fallback。禁用列表里漏掉任何一个，都等于留了一扇没锁的后门。
