Форумы портала PHP.SU :: Версия для печати :: Защита при использовании eval()

1. Uchkuma - 29 Июня, 2010 - 20:16:54 - перейти к сообщению

У меня на сайте в админке есть специальная формочка "Выполнить произвольный php-код". Я ее использую, когда мне бывает нужно быстро проверить работу какого-нибудь фрагмента кода, функции или скрипта на хостинге. Как видно из заголовка, реализовано все на функции eval(). В принципе, все хорошо - доступ к админке и конкретно к данному разделу есть только у меня. Однако в перспективе доступ может быть дан и другому человеку, да и от утечки пароля никто не застрахован. В общем мне хотелось бы исключить наиболее опасные угрозы в таких случаях.
Так вот как же лучше всего проверить входные данные, перед тем как передать их функции eval()?
Я решил запретить выполнение определенных функций следующим образом:

PHP:
скопировать код в буфер обмена

function php_code(){
if(strlen($_POST['php_code'])>=500){
echo 'Слишком большой код';
exit;
}
 
$php_code = ' '.$_POST['php_code'].' ';
 
$deny = '/\b((include|require)|(readfile|show_source|highlight_file|import_request_variables|extract|parse_str|eval|assert|passthru|exec|system|shell_exec|proc_open|mysql_query|fopen)\s*\(.*\))\W/Uis';
 
if(preg_match_all($deny, $php_code, $matches)){
foreach($matches[1] as $match){
echo 'В выполняемом коде запрещено использовать "'.$match.'"!<br>';
}
exit;
}
eval($php_code);
exit;
}
 
if(!empty($_POST['php_code'])) php_code();

Форма:

CODE (html):
скопировать код в буфер обмена

<form action="" target="_blank" method="post">
Выполнить PHP-код<br>
<textarea name="php_code"></textarea><br>
<input type="submit" value="Выполнить">
</form>

Жду ваших советов и рекомендаций, дорогие друзья!