将phpinfo()暴露给最终用户会出现什么样的安全问题?

如果向最终用户显示phpinfo()转储,那么恶意用户可以利用这些信息来处理最糟糕的情况? 什么领域是最不安全的? 也就是说,如果你的phpinfo()是公开展示的,那么你应该在哪里观看/关注恶意漏洞?

知道你的文件系统的结构可能会让黑客执行目录遍历攻击,如果你的网站是脆弱的。

我认为暴露phpinfo()本身并不一定是一种风险,但是与其他漏洞相结合可能会导致您的网站受到攻击。

显然,黑客对你系统的信息越less越好。 禁用phpinfo()不会使您的网站安全,但会使它们稍微困难一些。

除了显而易见能够看到register_globals是否处于On状态,以及文件可能位于include_path中的位置之外,还有$_SERVER$_SERVER["DOCUMENT_ROOT"]可以提供线索来定义到/etc/passwd的相对path名)和$_ENV信息(人们在$_ENV存储的令人吃惊的东西,比如encryption密钥)

最大的问题是,许多版本通过打印用于访问的URL和其他数据的内容来简化XSS攻击。

http://www.php-security.org/MOPB/MOPB-08-2007.html

一个configuration良好的最新系统可以承受暴露phpinfo()没有风险。

尽pipe如此,仍然有可能获得如此多的详细信息 – 特别是模块版本,当新发现的漏洞出现时,可以使攻击者的生活变得更轻松 – 我认为最好不要留下它们。 尤其是在共享主机上,您对日常服务器pipe理没有任何影响。

老实说,不多。 就个人而言,我经常离开phpinfo()页面。

如果你有一些严重的错误configuration(例如PHP以root身份运行),或者你正在使用某些扩展或PHP本身的旧版和易受攻击版本,这些信息将更加暴露。 另一方面,你也不会被暴露phpinfo() ; 你应该照顾到你的服务器是最新的,并正确configuration。

黑客可以使用这些信息来查找漏洞并破解您的网站。