💡 ULASAN & REFERENSI • DIPERBARUI: 24 October 2026 • REDAKSI AZWINN

Fungsi Escapeshellcmd PHP: Pengertian & Contoh Kode

Fungsi escapeshellcmd() dalam PHP digunakan untuk melarikan diri (escape) karakter-karakter khusus yang dapat digunakan untuk merusak perintah shell atau menyisipkan perintah berbahaya (command injection). Fungsi ini memastikan bahwa string yang diberikan diperlakukan sebagai satu perintah tunggal dan mencegah eksekusi perintah tambahan melalui operator shell seperti |, &, ;, <, >, dan lainnya.

Dalam standar keamanan pengembangan web modern, penggunaan fungsi eksekusi sistem seperti exec(), system(), atau operator backtick sering kali menjadi celah kerentanan jika masukan pengguna (user input) tidak dibersihkan dengan benar. escapeshellcmd() bertindak sebagai garis pertahanan pertama dengan mengenakan karakter escape \ di depan karakter khusus sistem operasi.

Mekanisme Kerja dan Karakter yang Disaring

Fungsi ini melakukan sanitasi pada karakter yang memiliki arti khusus bagi shell Unix dan Windows. Karakter tersebut meliputi:

  • # (Pagar / Komentar)
  • & (Background execution / AND)
  • ; (Pemisah perintah)
  • ` (Backtick / Command substitution)
  • | (Pipe)
  • *, ? (Wildcard)
  • ~, <, >, ^, (, ), [, ], {, }, $, \, \x0A, \xFF
  • Kutip tunggal (') dan kutip ganda (") jika tidak seimbang

Tabel Perbandingan Fungsi Sanitasi Shell PHP

Fungsi PHP Tujuan Utama Cakupan Pengamanan
escapeshellcmd() Mengamankan seluruh string perintah agar dieksekusi sebagai satu kesatuan. Melindungi seluruh baris perintah dari penyisipan perintah baru.
escapeshellarg() Mengamankan argumen tunggal yang diteruskan ke dalam perintah shell. Membungkus argumen dengan tanda kutip dan melarikan kutipan internal.

Contoh Penggunaan Kode

Berikut adalah contoh implementasi nyata bagaimana escapeshellcmd() digunakan bersama fungsi eksekusi seperti exec() untuk menjalankan utilitas sistem secara aman:

<?php
// Simulasi input dari pengguna (misalnya melalui form POST)
$user_input = "image.jpg; rm -rf /";

// Menerapkan escapeshellcmd untuk menetralkan karakter titik koma dan perintah berbahaya
$safe_command = escapeshellcmd("ls -l " . $user_input);

echo "Perintah yang akan dieksekusi: <br>" . htmlspecialchars($safe_command) . "<br><br>";

// Menjalankan perintah secara aman
$output = [];
$return_var = 0;
exec($safe_command, $output, $return_var);

echo "<pre>";
print_r($output);
echo "</pre>";
?>

Langkah-Langkah Teknis Implementasi

  1. Validasi Input Awal: Selalu lakukan validasi tipe data (whitelist) sebelum memasukkan variabel apa pun ke fungsi shell.
  2. Gunakan Escapeshellarg untuk Argumen: Jika Anda menerima parameter terpisah (seperti nama file atau direktori), lebih disarankan menggunakan escapeshellarg() untuk setiap argumen, lalu gabungkan dengan escapeshellcmd() pada tingkat perintah utama jika diperlukan.
  3. Batasi Hak Akses: Pastikan proses web server (seperti www-data atau IIS) berjalan dengan hak akses minimum untuk mencegah eskalasi privilege jika terjadi kegagalan sanitasi.
  4. Uji Coba Eksekusi: Jalankan skrip pada lingkungan pengembangan lokal (staging) untuk memastikan karakter escape tidak merusak format argumen yang sah.

Troubleshooting Lapangan

Masalah umum saat menggunakan fungsi ini adalah hasil keluaran (output) perintah yang tidak sesuai harapan karena karakter spasi atau tanda hubung ikut terpengaruh. Jika argumen membutuhkan spasi, pastikan argumen tersebut dibungkus dengan benar menggunakan escapeshellarg(). Perlu diingat pula bahwa fungsi ini tidak dirancang untuk menangani keamanan lintas platform secara otomatis; perilakunya dapat sedikit berbeda antara lingkungan Linux/Unix dan Windows.

🔍 Orang Lain Juga Mencari Ini