应禁用执行类、文件类、动态调用类三类共19个高危函数，并在php.ini和FPM Pool层双重配置disable_functions，启用AST级模板剥离、请求体完整性校验及Zend层行为审计熔断。
如果您正在为PHP应用实施2026年标准的安全加固，但发现禁用危险函数后仍被成功利用，则可能是由于函数列表不完整、检测机制存在盲区或绕过手段未被覆盖。以下是针对当前主流绕过技术的防御操作步骤：
一、禁用执行类、文件类与动态调用类三类高危函数
仅禁用exec、system等基础命令函数已无法应对2026年攻击链，攻击者普遍利用边缘函数组合实现RCE或内网穿透。必须覆盖执行类（系统调用）、文件类（权限/符号链接操作）及动态调用类（代码解析与反射）三大维度，形成函数级封锁面。
1、登录服务器，定位PHP版本对应配置路径，例如/www/server/php/85/etc/php.ini（宝塔）或/etc/php/8.5/fpm/php.ini（Ubuntu）。
2、查找disable_functions配置项，确保其未被注释，并将值设为：exec,passthru,shell_exec,system,proc_open,popen,eval,assert,symlink,link,chown,chgrp,chmod,dl,ini_set,curl_exec,curl_multi_exec,parse_ini_file,load_extension,pcntl_exec,pcntl_fork。
立即学习“PHP免费学习笔记（深入）”；
3、检查该行末尾无多余逗号，避免语法错误导致整行失效。
4、保存文件后，执行/etc/init.d/php-fpm-85 restart（或对应版本服务名）重启PHP-FPM进程。
二、在FPM Pool层强制覆盖disable_functions
部分安全扩展（如Suhosin）或容器化部署中，php.ini的disable_functions可能被运行时配置覆盖。FPM Pool配置具有最高优先级，可确保即使Web应用层调用ini_set()也无法恢复被禁函数。
1、编辑FPM Pool配置文件，路径通常为/etc/php/8.5/fpm/pool.d/www.conf。
2、在[www]段落内新增一行：php_admin_value[disable_functions] = exec,passthru,shell_exec,system,proc_open,popen,eval,assert,symlink,link,chown,chgrp,chmod,dl,ini_set,curl_exec,curl_multi_exec,parse_ini_file,load_extension,pcntl_exec,pcntl_fork。
3、确认该指令使用php_admin_value而非php_flag，以支持字符串值赋值。
4、执行systemctl reload php8.5-fpm使配置即时生效，无需完全重启服务。
三、部署模板引擎AST级语法剥离规则
2026年新型模板注入攻击不再依赖{php}标签触发eval，而是通过AST（抽象语法树）节点注入动态执行逻辑。仅替换标签文本无法拦截经混淆的{notag}call_user_func_array{/notag}等载荷，必须在解析器层面剥离所有含函数调用的节点类型。
1、进入ThinkPHP项目根目录，执行composer require topthink/think-template:8.1.3升级至支持AST解析的模板引擎。
2、在config/template.php中设置：'type' => 'think', 'ast_sanitize' => true, 'forbidden_nodes' => ['FunctionCall', 'MethodCall', 'StaticCall']。
3、创建app/common/behavior/TemplateAstSanitizer.php，在run()方法中调用$this->removeDangerousAstNodes($templateContent)。
4、验证方式：向模板传入{notag}system('id'){/notag}，确认渲染后输出为空白且无错误日志。
四、启用PHP-FPM请求体完整性校验中间件
攻击者常利用分块传输编码（Chunked Transfer Encoding）或HTTP参数污染（HPP）拆分恶意函数名，使WAF或正则检测无法匹配完整关键字。该中间件在FPM接收阶段即对原始请求体做哈希比对与结构还原，阻断一切编码混淆路径。
1、下载官方校验模块：wget https://github.com/topthink/php-fpm-integrity/releases/download/v2026.4/integrity.so -O /usr/lib/php/20251212/integrity.so。
2、编辑php.ini，在末尾添加：extension=integrity.so 和 integrity.check_request_body=On。
3、在FPM Pool配置中追加：php_admin_flag[integrity.check_request_body] = On。
4、重启PHP-FPM并访问任意PHP脚本，检查phpinfo()输出中是否显示“Integrity Module => enabled”。
五、实施函数调用行为实时审计与熔断
静态禁用无法覆盖运行时动态拼接场景（如$func='e'.'v'.'a'.'l'），需在Zend引擎层面捕获ZEND_DO_FCALL指令，对疑似高危函数名进行模糊匹配与上下文判定，触发即时熔断并记录全栈调用链。
1、安装Zend扩展：cp /opt/zend-guard-loader/introspect.so /usr/lib/php/20251212/。
2、在php.ini中添加：zend_extension=introspect.so 和 introspect.block_patterns = "e[v|v]a[l|l],sy[m|n]l[i|i]n[k|k],ch[o|0]w[n|n],p[a|@]s[s|5]t[h|h]r[u|u]"。
3、设置熔断阈值：introspect.max_calls_per_request = 3，防止高频试探。
4、验证方法：构造GET请求?cmd=e%76%61%6c，观察访问日志中是否出现“INTROSPECT_BLOCKED”标记及对应堆栈。
