php核心配置選項(部分)

供自己以後查詢使用
1.register_gloabls
作用:該選項在on的條件下,會直接把用戶GET,POST等方式提交上來參數註冊成全局變量,並進行初始化爲參數對應的值,使得提交參數可以直接在腳本中使用。
版本:在php版本小於等於4.2.4時設置爲php_ini_ALL,從php5.3.0起被棄用,不推薦使用,在php5.4.0中移除了該選項
測試代碼:

<?php if($user=='admin'){ echo 'true'; } else{ echo 'you are a hacker'; } ?>

訪問http://www.xxx.com?user=admin 會輸出true

2.allow_url_include
作用:這個爲on的情況下,它可以直接包含遠程文件,當存在include(var)var)且var可控的情況下,可以直接控制$var變量來執行代碼。
版本:在php5.2.0後默認設置爲off 配置範圍爲PHP_INI_ALL。
測試代碼:

<?php include $_GET['jlb']; ?>

訪問http://www.xxx.com?jlb=…/1.php 如果在服務器上當前網頁所在位置的上一級如果存在1.php 就會輸出1.php裏面內容。

3.magic_quotes_gpc
作用:當該選項爲on時,會自動在GET.POST.COOKIE變量中的單引號,雙引號,反斜槓及空字符的前面加上反斜槓(),但是在php5中magic_quotes_gpc並不會過濾$_SERVER變量,導致很多類似client-ip,referer一類的漏洞能夠利用。
版本:在php5.3之後不推薦使用,在5.4之後乾脆被取消。php版本號小於4.2.3時,配置範圍是PHP_INI_ALL,php版本號大於4.2.3時,配置範圍時PHP_INI_PERDIR。

4.magic_quotes_runtime
作用:在單引號,雙引號,反斜槓及空字符的前面加上反斜槓() 它和magic_quotes_gpc的區別是,處理的對象不一樣,runtime只對從數據庫或者文件中的數據進行過濾。受影響的函數包括get_meta_tags() file_get_contents() file() fgets() fwrite() fread() fputcsv() stream_socket_revcfrom() exec() system() passthru() stream_get_contents() bzread() gzfile() gzgets() gzwrite() gzread() exif_read_data() dba_insert() dba_replace() dba_Fetch() ibase_fetch_row() ibase_fetch_assoc() ibase_fetch_object() mssql_fetch_row() mssql_fetch_object() mssql_fetch_array() mssql_fetch_assoc() mysqli_Fetch_row() mysqli_fetch_array() mysqli_Fetch_assoc() mysqli_fetch_object() pg_fetch_row() pg_fetch_assoc() pg_fetch_array() pg_fetch_object() pg_fetch_all() pg_select() sybase_fetch_object() sybase_fetch_array() sybase_fetch_assoc() SqlFileObject::fgets() sqlfileobject::fgetcsv() sqlfileobject::fwrite().
版本:此函數在php5.4之後被取消 配置範圍是PHP_INI_ALL

5.magic)quotes_sybase
作用:magic_quotes_sybase指令用於自動過濾特殊字符,當設置爲on的時候,它會覆蓋掉magic_quotes_gpc=on 的配置,它對GET POST Cookie進行處理,它僅僅是轉義了空字符和把單引號變成了雙引號。
版本:php5.4.0後移除了該選項

6.safe_mode
7.open_basedir
作用:用來限制php只能訪問哪些目錄,open_basedir=/www/a那麼目錄/www/a and /www/ab都是可以訪問的,所以如果要將訪問僅限制在指定的目錄,要像這樣open_basedir=/www/a/
版本:php小於5.2.3是php_ini_system 在php版本大於等於5.2.3是php_ini_all

7.disable_functions
作用:禁止一些危險函數!!!!!特別注意 要把dl() 函數也加到上面 disable_functions=phpinfo,eval, 用逗號分隔

8.display_errors error_reporting
作用:不展示錯誤提示 配置範圍php_ini_all

9.常用指令
safe_mode_gid php_ini_system 以安全模式打開文件時默認使用uid來對比,設置本指令爲on時使用gid能做寬對比
expose_php php.ini.only 是否在服務器返回信息http頭顯示php版本
max_execution_time php_ini_all
memory_limit php_ini_all
log_errors php_ini_all
log_errors_max_len php_ini_all
variables_order php_ini_perdir
post_max_size php_ini_perdir
auto_prepend_file php_ini_perdir
auto_aooend_file php_ini_perdir
extension_dir php_ini_system
file_uploads php_ini_system
upload_tmp_dir php_ini_system
upload_max_filesize php_ini_system

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章