PHPInfo()信息泄漏原理以及修复方法

漏洞名称：PHPInfo信息泄漏、phpinfo()函数信息泄漏

漏洞描述：

phpinfo()函数返回的信息中包含了服务器的配置信息，包括：

1）PHP编译选项以及文件扩展名的相关信息；

2）php的版本信息

3）php的配置信息；

4）数据库信息；等敏感信息。这些敏感信息会帮助攻击者展开进一步的攻击。

检测条件：

1、 被测网站web服务正常。
2、 采用PHP中间件架构的网站。

检测方法:

1、 如果网站存在该漏洞，则通常通过web扫描工具进行扫描可得到链接。
2、 手 工 构 造 网 站 url ， 类 似 http://127.0.0.1/index.php?cmd=phpinfo(); 或 者
http://127.0.0.1/phpinfo.php直接访问

修复方案:

建议限制此类脚本的访问权限或者删除对phpinfo()函数的调用：修改php.ini文 件 中 的 disable_functions 配 置 项 ， 把 ‚ phpinfo ‛ 添 加 到 清 单 中 ：disable_functions=phpinfo
备注：如果要禁用多个函数，函数名之间用逗号隔开