应禁用exec、system等危险函数并关闭远程加载与动态代码功能，通过php.ini和PHP-FPM Pool双重配置disable_functions，同步禁用allow_url_fopen、allow_url_include及eval等函数，并检测反引号与动态调用行为。
如果您正在搭建PHP网站，但未对系统命令执行函数进行限制，则极易遭受命令注入攻击，攻击者可通过user input直接调用exec、system等函数控制服务器。以下是禁用高危函数以防范系统命令注入的多种操作步骤：
一、通过php.ini全局禁用执行类危险函数
该方式在PHP引擎启动时即拦截函数注册，作用于全部请求，是阻断命令注入最基础且有效的配置层防护。
1、执行命令 php --ini 查看“Loaded Configuration File”路径，确认实际生效的php.ini位置。
2、使用root权限编辑该文件，例如：sudo nano /etc/php/8.5/fpm/php.ini。
立即学习“PHP免费学习笔记（深入）”；
3、搜索 disable_functions，若该行以分号开头则删除分号取消注释。
4、将以下函数完整填入右侧，各函数间严格使用英文逗号分隔，无空格：exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec,pcntl_fork。
5、保存后执行 systemctl restart php8.5-fpm 使配置立即生效。
二、在PHP-FPM Pool配置中强制覆盖disable_functions
FPM Pool级配置具有最高优先级，可防止应用层通过ini_set()或第三方扩展绕过php.ini设置，确保禁用策略不可篡改。
1、编辑对应Pool配置文件，典型路径为：/etc/php/8.5/fpm/pool.d/www.conf。
2、在[www]段落内新增一行：php_admin_value[disable_functions] = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec,pcntl_fork。
3、确认使用的是 php_admin_value 而非 php_flag，以支持字符串赋值。
4、执行 systemctl reload php8.5-fpm 重载配置，无需中断服务。
三、同步关闭远程文件加载与动态代码解析功能
allow_url_fopen和allow_url_include开启时，攻击者可借助file_get_contents()或include()加载恶意远程脚本并触发命令执行；eval及assert等函数则构成动态代码注入主通道，必须一并封锁。
1、在php.ini中定位并设置：allow_url_fopen = Off。
2、同样在php.ini中设置：allow_url_include = Off。
3、将 eval,assert,dl,create_function,call_user_func_array 追加至 disable_functions 列表末尾。
4、确认 display_errors = Off 且 error_log = /var/log/php/error.log 已启用，避免错误信息泄露环境细节。
四、部署反引号操作符与动态调用行为检测
反引号（`）操作符在PHP中等效于shell_exec()，且不受disable_functions控制，是常见绕过点；同时，攻击者常利用变量函数、array_map回调等方式间接调用被禁函数，需在应用入口层主动识别。
1、在Web服务器配置中（如Nginx）添加请求体过滤规则，拦截含 `.*?` 模式的POST或GET参数。
2、在关键入口脚本（如index.php）顶部插入检测逻辑：if (strpos($_SERVER['QUERY_STRING'], '`') !== false) { http_response_code(400); exit; }。
3、对用户可控的函数名参数（如$_GET['action']）实施白名单校验，仅允许预定义安全函数名通过。
4、调用 ini_get('disable_functions') 获取当前禁用列表，并使用逗号包围法校验：stripos(',' . $disabled . ',', ',exec,') !== false。
五、验证禁用效果并阻断测试调用链
仅修改配置不等于防护生效，必须通过多维度验证确保所有已知命令执行路径均被切断，包括直接调用、反射调用与符号链接组合利用。
1、创建test.php文件，内容为：，访问后应返回 bool(false)。
2、在终端执行：php -r "echo exec('id');"，应输出空或报错 Warning: exec() has been disabled。
3、测试反引号：php -r "echo `id`; "，应同样报错或返回空。
4、构造变量函数调用：php -r "$f='ex'.'ec'; $f('id');"，应触发禁用拦截而非执行成功。
