博客讲述了如何修复龙兵名片系统中附件上传功能存在的安全漏洞，该漏洞允许上传PHP文件并执行，威胁服务器安全。修复方法是修改nginx.conf配置，禁止web端上传php文件。提供了具体配置代码，并指出注意事项，对于宝塔用户给出了直接操作步骤。
今日和代码族群主在群里闲聊，群友聊到了一个关于后门的事情，群主当时在群里提了部分程序官方就自带有漏洞，列举了一部分程序，里面有我正在使用的龙兵名片系统，于是和群主进行了沟通，了解漏洞的原理以及修复方法，于是想到了记录在这里，一方面作为自己的笔记，另一方面如果有网友也遇到了类似的问题，那么可以作为参考去解决。
具体的漏洞为龙兵的附件上传功能，可以直接上传PHP文件，可以将php木马直接上传到服务器，然后通过浏览器运行即可。
这样就能在服务器里面为所欲为了，实在比较恐怖。
那么怎么修复呢，只要禁止web端往服务器里面上传php文件就可以封堵这个漏洞了。
修改方案如下：
修改nginx.conf配置文件
禁止单目录：
location ~* ^/attachments/.*.(php|PHP|php5)$ {
deny all;
}
禁止多目录：
location ~* ^/(attachments|upload)/.*.(php|PHP|php5)$ {
deny all;
}
需要注意两点：
1、以上的配置文件代码需要放到 location ~ .php{...}上面，如果放到下面是无效的
2、attachments需要写相对路径，不能写绝对路径
如果是宝塔用户，那么直接在宝塔的站点设置里面的配置文件里，加入上述代码即可
添加了之后，漏洞修补完毕！
435
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
