PHP建议禁用的危险函数
PHP配置文件中的disable_functions选项能够在PHP中禁用指定的函数。PHP中有很多危险的内置功能函数，如果使用不当，可造成系统崩溃。禁用函数可能会为研发带来不便，但禁用的函数太少又可能增加研发人员写出不安全代码的概率，同时为黑客非法获取服务器权限提供遍历。
在PHP配置文件中添加需要禁用的函数可以有效避免webshell。在PHP中配置如下：
disable_functions=phpinfo,eval,exec,system,chroot,shell_exec,chown……函数名称 | 函数功能 | 危险级别 |
|---|---|---|
chgrp() | 改变文件或目录所属的用户组 | 高 |
chown() | 改变文件或目录的所有者 | 高 |
chroot() | 可改变当前PHP进程的工作根目录，仅当系统支持CLI模式时PHP才能工作，且该函数不适用于Windows系统 | 高 |
dl() | 在PHP运行过程当中（而非启动时）加载一个PHP外部模块 | 高 |
exec() | 允许执行一个外部程序（如UNIX Shell或CMD命令等） | 高 |
ini_alter() | 时ini_set()函数的一个别名函数，功能与ini_set()相同 | 高 |
ini_restore() | 可用于将PHP环境配置参数恢复为初始值 | 高 |
ini_set() | 可用于修改、设置PHP环境配置参数 | 高 |
passthru() | 允许执行一个外部程序并回显输出，类似于exec() | 高 |
pfsockopen() | 建立一个Internet或UNIX域的socket持久连接 | 高 |
phpinfo() | 输出PHP环境信息以及相关的模块、web环境等信息 | 高 |
popen() | 可通过popen()的参数传递一条命令，并对popen()所打开的文件进行执行 | 高 |
proc_get_status() | 获取使用proc_open()所打开进程的信息 | 高 |
proc_open() | 执行一个命令并打开文件指针用于读取以及写入 | 高 |
putenv() | 用于在PHP运行时改变系统字符集环境。在低于5.2.6版本的PHP中，可利用该函数。修改系统字符集环境后，利用sendmail指令发送特殊参数执行系统Shell命令 | 高 |
shell_exec() | 可通过Shell执行命令，并将执行结果作为字符串返回 | 高 |
symlink() | 对已有的target建立一个名为link的符号链接 | 高 |
system() | 允许执行一个外部程序并回显输出，类型于passthru() | 高 |
readlink() | 返回符号连接指向的目标文件内容 | 中 |
scandir() | 列出指定路径中的文件和目录 | 中 |
stream_socket_server() | 建立一个Internet或UNIX服务器连接 | 中 |
syslog() | 可调用UNIX系统的系统层syslog()函数 | 中 |
参考：《PHP安全配置》