fastcgi解析漏洞怎么修复?nginx处理fastcgi解析漏洞的方法
FASTCGI是和HTTP协议类似的概念。无非就是规定了在同一个TCP连接里怎么同时传多个HTTP连接。这实际上导致了个问题,有个HTTP连接传个大文件不肯让出FASTCGI连接,在同一个FASTCGI连接里的其他HTTP连接就傻了。
FastCGI解析漏洞就是WebServer Fastcgi配置不当,会造成其他文件(例如css,js,jpg等静态文件)被当成php脚本解析执行。当用户将恶意脚本webshell改为静态文件上传到webserver传递给后端php解析执行后,会让攻击者获得服务器的操作权限。
GET 7月16日 10:24 未恢复 至今解决方案配置webserver关闭cgi.fix_pathinfo为0 或者 配置webserver过滤特殊的php文件路径例如:
if ( $fastcgi_script_name ~ ..*/.*php ){return 403;}
一般来说网上多是nginx用户有此漏洞,此处客户的环境是windows server 2008R2的IIS,这里我在‘处理程序映射’里找到php的双击进入此界面
进入‘请求限制’
确定后就可以了。
测试:
在服务器上根目录新建一个phpinfo()的JPG文件test.jpg,访问http://www.xxx.com/test.jpg/1.php(test.jpg后面的php名字随便写),如果有漏洞则可以看到phpinfo()的信息,反之会返回404错误。
后记:
nginx里面处理此问题,网上的解决方法是写入
try_files $fastcgi_script_name =404;
到fastcgi.conf里面,然后在location中引用
location ~ \.php$ {fastcgi_pass unix:/tmp/phpfpm/php-fpm.sock;include fastcgi.conf;}
当然大家又可以参考这篇文章,360给出的解决方法 IIS PHP fastcgi模式 pathinfo取值错误任意代码执行漏洞修复方法
敲诈者病毒virLocker的危害 怎么防御敲诈者病毒virLocker?
敲诈者病毒VirLocker再次来袭?如何防范VirLocker病毒(内含恢复指南)。VirLocker绝对不是什么新的病毒, 它把受害者的计算机搞得一团糟已多达数年。VirLocker是主流多态性敲诈者病毒的首例并且它不给它的受害者留
详情2018-01-25 19:01:08责编:llp 来源:驱动管家怎么提升服务器安全等级?这里有安全十五招
安全十五招,具体介绍请看下文。1 经常更改系统管理员密码。---->且密码最好是大小写都有2 定期更新系统补丁。---->开启自动更新,并设定到晚上重启。3 检查系统是否多出超级管理员,检查是否有帐号被克隆在“开
详情2018-01-25 15:29:57责编:llp 来源:驱动管家css教程 css跨站挂马是怎么做的?
问题,也没有仔细阅读,目前此类问题经常在一些安全站点发布,偶刚好看到这样一篇文章 , 抱着知道总比不知道好的想法,翻译整理了一下,原文在偶主页的collection目录里,错误
详情2018-01-18 15:32:44责编:llp 来源:驱动管家fso是什么意思?fso组件怎么开启?怎么关闭?
FSO(FileSystemObject)是微软ASP的一个对文件操作的控件,该控件可以对服务器进行读取、新建、修改、删除目录以及文件的操作。是ASP编程中非常有用的一个控件。但是因为权限控制的问题,很多虚拟主机服务器的FSO
详情2018-01-16 11:02:53责编:llp 来源:驱动管家libpng处理畸形格式的png图片存在漏洞
受影响系统: libpng libpng
详情2018-01-24 19:38:52责编:llp 来源:驱动管家网上哪些方法破解不了pubwin ep?pubwin ep要怎么破解?
这边的网吧都用pubwin EP 5 000000069****(忘记勒^_^)的网络管理系统,操作系统用WINDOWS XP,另外还装了还原精灵,呵呵。BIOS、系统、还原精灵、pubwin EP都设置了不同的密码。我搜索并尝试了网上所谓的破解
详情2018-01-30 18:07:59责编:llp 来源:驱动管家flash安全不可忽略!新浪微博也存在cookies漏洞?
最近突然觉得,很多FLASH开发人员在编写的时候,忽视了安全问题。被恶意利用的话,可以实现URL跳转,COOKIES盗取,甚至是蠕虫攻击。漏洞测试:IE , firefox , chrome(= = 这个输入测试代码,浏览器直接崩溃
详情2018-01-18 09:38:30责编:llp 来源:驱动管家黑客入侵网站的途径及防御方法
1 桌面缝隙Internet Explorer、Firefox和Windows操作系统中包括许多可以被黑客运用的缝隙,特别是在用户常常不及时装置补丁的情况下。黑客会运用这些缝隙在不经用户赞同的情况下主动下载歹意软件代码——也称作
详情2018-01-18 12:14:14责编:llp 来源:驱动管家装有sql数据库的电脑主机是怎么被入侵的?黑客入侵sql数据库的步骤
近些年来,计算机的安全性能,曾突飞猛进的上升势头。导致以前网络,遍地都是的弱口令肉鸡,现在早已消失的不知去向。可见其安全的提升程度,难道菜鸟抓取肉鸡成为了“天方夜潭”?当然答案是否定的,具体如何获取
详情2018-01-17 15:54:54责编:llp 来源:驱动管家避免漏洞暴露被入侵后台,必须隐藏nginx版本号
出于安全考虑,决定隐藏nginx的版本号。因为暴漏了版本号,也就相当于告诉了别人你的漏洞,别人可以通过这个版本所对应的漏洞利用程序来入侵你的后台。就像我知道你的操作系统内核版本为2 6 18或者我知道了你apac
详情2018-01-14 16:58:47责编:llp 来源:驱动管家
- 易班认证失败是什么意思?为什么易班认证校方失败?
- 好豆菜谱手机端有评论功能吗?好豆菜谱怎么给别人评论?
- 戴尔台式机有哪些我们不知道的优缺点呢
- 想要给iphone5s越狱应该怎么操作呢?
- win8电脑的文件管理器导航窗格的内容怎么删减
- 360杀毒快捷键怎么添加到右键的菜单中
- 魅蓝note怎么样?为你全面评测魅蓝note
- 7月1日!华为荣耀6的正式上市时间
- 怎么显示文件后缀名?文件后缀名怎样设置隐藏或显示?
- 修改照片的软件怎么选?好用的修改照片软件推荐?
- 计算机管理的用户没有显示是怎么回事?怎么解决?
- 360随身wifi多少钱?360随身wifi多少钱售价多少?
- 搜狗壁纸好用吗?搜狗壁纸电脑端的评价
- 什么手机杀毒软件比较好?手机杀毒软件的推荐
- 联想y460笔记本的硬件你知道可以这样升级吗
- win7电脑连接无线网络的时候提示网络连接受限可以这样解决
- 安卓系统手机获取权限失败的原因都有哪些
- iphone6概念机 iphone6会是终极轻量型产品
- 手机卡有哪些原因?这五大原因造成手机卡
- vcf文件怎么打开?vcf文件是什么文件格式?