下列哪个是nginx解析漏洞会解析为php的文件_【漏洞风险提示】phpStudy nginx 解析漏洞风险通告...

漏洞描述

PhpStudy国内12年老牌公益软件，集安全，高效，功能与一体，已获得全球用户认可安装，运维也高效。支持一键LAMP,LNMP,集群,监控,网站,FTP,数据库,JAVA等100多项服务器管理功能。

本次爆出的漏洞是nginx的解析漏洞，也就是存在已久的/xx.php解析漏洞。攻击者可以通过网站的上传接口上传伪装成正常文件(比如图片、文档等)的恶意代码，从而获取服务器的权限。

漏洞分析：

1、由于错误配置导致nginx把以.php结尾的文件交给fastcgi处理；
2、fastcgi在处理xx.php文件时发现文件并不存在，这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用，如果当前路径不存在则采用上层路径；

3、php-fpm.conf 中的 security.limit_extensions 配置项限制了fastcgi解析文件的类型。设置为空时，允许fastcgi将.png等文件当做代码解析。

风险等级

严重

影响范围

phpStudy for Windows

影响版本

phpStudy <=8.1.0.7 for Windows

Linux版本不受此漏洞影响。

修复建议

建议相关用户下载phpStudy官方的新版本8.1.1.1