Nginx + PHP CGI的一个 设置SCRIPT_FILENAME 安全漏洞

现在普遍的Nginx + PHP cgi的做法是在配置文件中,　通过正则匹配(Nginx(PHP/fastcgi)的PATH_INFO问题)设置SCRIPT_FILENAME, 今天小顿发现了一个这种方式的安全漏洞.

比如, 有http://www.laruence.com/fake.jpg, 那么通过构造如下的URL, 就可以看到fake.jpg的二进制内容:

1.  
2. http://www.laruence.com/fake.jpg/foo.php

为什么会这样呢?

比如, 如下的nginx conf:

1. location ~ \.php($|/) {
2.      fastcgi_pass 127.0.0.1:9000;
3.      fastcgi_index index.php;
4.  
5.      set $script $uri;
6.      set $path_info "";
7.      if ($uri ~ "^(.+\.php)(/.*)") {
8.           set $script $1;
9.           set $path_info $2;
10.      }
11.  
12.      include fastcgi_params;
13.      fastcgi_param SCRIPT_FILENAME $document_root$script;
14.      fastcgi_param SCRIPT_N