php - 是否可以通过输入字段注入(inject) php 代码？

Question

我还没有在这里找到这个问题，我已经对此进行了一些快速的谷歌研究，但我真的找不到这个问题的明确或好的答案。

是否可以在输入字段中注入(inject)一段 php 代码。这确实有效。

//for instance.
//Ill fill in '"test()"' in the field.
<input type="text" name="input" value="'"test()"'">

$injection = $_POST/*(or $_GET)*/['input']; // coming from the input

public function test(){
    echo "injection successful";
}

这可能吗？

Answer 1

有可能，但不是那样。如果您执行脚本中的操作，那么代码将按原样(作为字符串)分配给变量 $injection。

但是你可以这样执行它:

$injection = $_POST/*(or $_GET)*/['input']; 
eval($injection);

还有其他方法，但都有相同的问题:您必须实际评估字符串作为执行它的代码。 eval 是最明显的解决方案。

但是当你实现这个的时候要非常小心!如果你向外界打开这样一个表单，每个人都可以执行任何脚本，包括那些可能会破坏你的服务器或窃取你的密码的脚本。