2

这不是关于如何加密和解密。我想知道在从文本文件中检索和解密后是否可以运行函数。

例如，我将创建一个定义数据库密码的函数，然后像它只是一个文本字符串一样对其进行加密并将其写入文本文件。

然后我有将数据库密码定义为加密不可读混乱的函数。

当我需要密码时，我会获取文件内容并对其进行解密，但此时我需要能够将其作为函数运行，因此它将定义 DB_PASSWORD 常量，但它现在只是字符串中的文本。

就像我刚刚这样做一样：

$var = "function define_password(){
   if(!defined('DB_PASSWORD')){define('DB_PASSWORD', 'password');}
}";

很明显，我能做的就是回显它，因为它只是变量中的文本。

那么，有没有办法让 php 将其视为函数而不是字符串变量？

谢谢

即使它是多余的，它也是有教育意义的，所以我发布了使用 Xenon 指出的 eval() 方法的结果。这是 www 外部目录中名为 .nothing 的加密和隐藏文件，对 root 拥有的 www-data 具有只读访问权限：

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

我使用下面代码中的 encrypt 函数实现了它，该函数来自 stackoverflow 上的某个人。

<?php 
define('SALT', 'whateveryouwant');

function encrypt($text) 
{ 
    return trim(base64_encode(mcrypt_encrypt(MCRYPT_RIJNDAEL_256, SALT, $text, MCRYPT_MODE_ECB, mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB), MCRYPT_RAND)))); 
}

function decrypt($text) 
{ 
    return trim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, SALT, base64_decode($text), MCRYPT_MODE_ECB, mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB), MCRYPT_RAND))); 
}

$dec_db = decrypt(file_get_contents('.nothing'));

eval($dec_db);



defineit();
echo ET_APP_USERNAME;

加密部分是一个函数，它为 3 个不同的数据库定义用户名和密码，但回显第一个用户名表明它运行良好。当然，正如所指出的，如果有人可以访问服务器，他们将看到 SALT 常量和加密/解密函数，并从 file_get_contents 方法中知道它在哪里，所以我想这对我来说只是教育性的。

4

4 回答 4

2

我只是假设您希望在这里获得的好处是，如果您的网站被黑客入侵，攻击者将无法读取数据库密码。基于这个假设，我会说：

  1. 可以获得加密密码代码的攻击者很可能也可以获得解密密码的代码并自己解密密码。一无所获。
  2. 为什么必须是设置密码的代码？只需加密密码本身。然后当你解密它时，你将拥有一个字符串形式的密码，这个问题就变得无关紧要了。我看不出要求需要执行的代码有什么好处。
  3. 要求执行任意代码只会让您面临更多安全问题和可能的代码注入。
于 2012-04-04T01:29:24.707 回答
0

如果你没有解释你想用这个实现什么，我什么都不会说。但是，由于您说您要通过所有这些实现的目的是读取存储在文件中的密码（出于某种原因在函数内部），我强烈建议您查看您的攻击方法。

我将引导您了解parse_in_file() http://www.php.net/manual/en/function.parse-ini-file.php的好处

如果可能，不要存储一个函数来简单地定义一个变量——有更好的方法可以做到这一点，使用 ini 文件是一个非常好的/更好的选择。define()如果您想更轻松地访问信息，您甚至可以拥有密码。

于 2012-04-04T01:37:26.730 回答
0

我认为您可能正在寻找的是eval()，它接受一个字符串并将其作为 PHP 代码执行。

使用它时要非常小心，并注意警告：

eval() 语言结构非常危险，因为它允许执行任意 PHP 代码。因此不鼓励使用它。如果您已仔细验证除了使用此构造之外别无选择，请特别注意不要将任何用户提供的数据传入其中，而无需事先正确验证。

因此，例如，您可以这样做：

$var = "function define_password(){
   if(!defined('DB_PASSWORD')){define('DB_PASSWORD', 'password');}
}";

eval($var);
于 2012-04-04T01:24:18.190 回答
0

尝试create_function()。然后调用它。如果失败，则返回 NULL 或 FALSE 或 smth。

于 2012-04-09T06:32:49.700 回答