什么是php注入？新手程序员必须了解的安全风险！

发布日期： 2025-10-16 阅读量： 作者： admin

今天下午刚好有点空闲，想着好久没碰 PHP 了，就打算自己动手实践下那个老生常谈的“注入”问题，看看现在自己还能不能捣鼓明白。

准备工作

我先是在自己电脑上弄了个虚拟机，装了个比较旧版本的 PHP 和 Apache，再随便找了个以前写的不太规范的留言板代码。为啥要找旧的？因为新的框架一般都帮你处理好很多安全问题了，想复现注入还得费劲关掉一些保护，不如直接用老代码来得直接。

环境搭好了，代码也跑起来了，就是一个简单的输入框，提交内容，然后显示出来，底下连着一个简单的数据库，用来存留言。

我对着那个留言的输入框下手。最经典的那种，试试SQL注入。

我先是规规矩矩提交了一条正常留言，看看数据库里是啥样的。
然后就开始“使坏”了。我在输入框里敲了点东西，比如一个单引号，提交。果然，页面报错了，一看错误信息，直接把 SQL 语句的错误部分给暴露出来了。这就说明这里确实有戏。
接下来就简单了，我试着构造了点语句，像是 ' or '1'='1' -- 这样的。提交之后，发现不仅没报错，而且好像把所有留言都给我显示出来了，不管是不是我发的。这就说明我绕过了某些验证逻辑。
然后我又想试试能不能搞点破坏，比如删个表啥的。我没真删，就是在本地试试构造那个 drop table 的语句，看看能不能拼进去。试了几次，调整了下注释符和闭合，感觉语句是能成功拼接到后端的 SQL 查询里的。这要是真在外面的网站上，那后果就严重了。

搞完了 SQL 注入，我又看了看代码，发现有个地方用了 include 函数，并且包含的文件路径里好像拼接了用户能控制的参数。这下我来劲了，想试试看能不能搞个代码注入或者文件包含。

我在参数里试着传了个服务器上已知存在但一般不给访问的配置文件路径，比如 /etc/passwd （在我的测试环境里没这个效果，只是模拟思路）。如果代码没做限制，理论上就能把文件内容读出来。

我又试了试看能不能上传一个带恶意代码的图片文件（比如后缀名是 jpg，内容是 PHP 代码），然后利用这个 include 的漏洞去执行它。这个稍微麻烦点，得先找到上传点，还得知道上传后的路径。我在自己的测试代码里模拟了下这个过程，确实是能让服务器执行我“图片”里的PHP代码的。

折腾了这一通，感觉收获还是挺大的。虽然这些注入技巧都很老了，但亲手实践一遍，还是能更深地理解为啥开发规范里总是强调：

搞完这些，感觉写代码真是个细致活儿，安全这根弦必须时刻绷紧。今天这番实践，也算是给自己提了个醒。