从php Utility Belt远程代码执行漏洞看php就业前景

php是开源程序，执行速度快、效率高，具有很高的移植性和扩展性，php功能如此多和强大受到了广大开发人员的喜爱，php就业前景非常好。然而php像其它任何程序一样也有一些不可避免的漏洞，因此 php就业前景来看也可以在安全方面就业。下面小编就从php Utility Belt远程代码执行漏洞来看下php就业前景。

PHP Utility Belt远程代码执行漏洞的验证与分析

PHP Utility Belt是一款为PHP程序开发人员使用的一套工具集，可以用来测试正则表达式并且观察与preg_match和preg_match_all函数的匹配，观察preg_replate函数的结果;获得包含两个单词两个数字 一个大写字母和一个符号的随机密码;序列化与反序列化;测试mktime和strtotime时间戳的日期格式或者一个数字型时间戳;在主页外运行任意PHP代码。由于它能够执行任意的PHP代码，因此只能在测试环境下使用，绝不能产品环境下运行。此漏洞的漏洞编号为EDB-ID：39554搭建实验环境，其中靶机的IP地址为192.168.248.129，攻击机的IP地址为192.168.248.128。针对此漏洞metasploit已经给出了一个漏洞利用代码，路径为exploit/multi/http/php_utility_belt_rce，在攻击机上运行此攻击脚本，　随后设置payload，　最后执行exploit命令，开始攻击，可见得到了meterpreter的shell，说明攻击是成功的。　可见程序先判断code参数是否设置，如果已经被设置的话，直接放到了eval函数中执行，eval函数的作用是把输入参数的内容作为php代码执行，而在上述代码中并没有对用户所传入的内容进行过滤，也就是说攻击者在code中给出的值只要符合php代码的语法规 范就会被无条件执行，这是一个典型的eval注入。

上述代码如果在测试环境下，可以方便程序员的工作，但是放在产品环境下就很危险。试想一个精通php的人拿这个漏洞去做攻击，岂不让人很头疼。因此php就业前景除了可以做php工程师,php架构师外，还可以做php安全师。郑州云和学院是专业的郑州php培训机构，在php就业上拥有数万家合作企业，是真正用心在做培训，不论是师资力量还是教学环境都很不错。即使是零基础学php也能实现毕业即就业，想要学习php的大家可以去实地考察了解一下。​