什么是网站远程代码执行漏洞
远程连接命令/代码执行漏洞，简称RCE漏洞，能够让攻击者直接向后台服务器远程写入服务器
系统命令或者代码，从而控制后台系统。RCE分为远程连接命令执行ping和远程代码执行evel
命令木马。
RCE漏洞产生的根本原因
服务器像php环境版本对可执行变量函数没有做过滤，导致在没有自定义相对路径的情况下就运
行命令去执行,从而导致服务器被入侵。
如何挖掘出RCE漏洞网站
黑盒渗透测试：网站中有特殊功能，比如Ping、数据库备份等等以及sql语句执行命令。
白盒安全测试：查看命令执行变量是否做过滤。命令执行变量如下：
PHP代码执行变量：eval函数、preg_replace、create_function函数、array_map、call_user_fu
nc、assert、call_user_func_array、array_filter、uasor PHP代码命令执行变量：popen、proc
_popen、passthru、system变量、exec变量、shell_exec、pcntl_exec。
如何挖掘出RCE漏洞网站
远程连接命令、代码执行提权
获取隐秘数据、文件、服务器管理员信息，写入木马后门文件webshell。
到底怎样去运用此漏洞呢
在互联网上你会发现有许多相关RCE的文章内容基本都是在白盒渗透测试检测出来的，但是往
往在渗透测试过程中，我们都是黑盒渗透测试的。但是黑盒挖掘出RCE漏洞难度很大，很少有
攻击特征点，要理解参数的意义才有可能黑盒测试到。
RCE漏洞对网站导致的危害
RCE漏洞导致的危害不用多说，高危致命漏洞可以获得系统最高权限。能直接获取服务器的控
制权
发现此漏洞，网站该怎么修复漏洞
常用的漏洞复方案，升级网站程序插件/框架/服务到最新版。
若是必须运用危险变量函数，那么针对危险变量做好指定功能使用。
如何防范此网站漏洞
在进入运行命令变量前做好严格的网站安全检测和过滤；
尽量不要运用命令执行变量，不能完全控制的危险变量最好不要用或者用的话可以加验证防止被
其他人利用；对于eval变量，这个变量可以产生一句话木马，一定要确保用户不能轻易对eval变
量进行使用或者用正则严格判断输入的数据是否含有危险变量。