PHP代码注入(inject)。我们有安全风险吗？

Question

我们有一个简单的 php 文件来捕获电子邮件。它将这些电子邮件放入一个 csv 文件(php 不可执行)。我们最近有人设法入侵了我们的网站，这似乎是切入点之一，但我不明白这怎么可能。这是脚本:

$fh = fopen('cap.csv', 'a+');
fwrite($fh, "\r".$_GET['email']);
fclose($fh);

很基本吧？无论如何，你能想到利用这个吗？

Answer 1

是的，但可能不是您要找的。

我唯一能做的是:

1. 向您的文件添加任何内容，仅附加。
2. (可选/奖励)如果您没有保护文件并窃取所有电子邮件地址，请直接打开文件。

它不会让我执行任何事情，也不允许我访问任何东西。 (除非您对其进行处理并在其他地方造成泄漏)。但仍然 - 确保安全!