phpstudy漏洞分析原因到修复

phpstudy（小皮模板存在nginx解析漏洞[phpstudy莫名的就背锅了）

影响版本 phptsuy8.1.07的Nginx1.5.11版本

phpstudy(小皮面板) 简介：

phpStudy国内12年老牌公益软件，集安全，高效，功能与一体，已获得全球用户认可安装，运维也高效。

支持一键LAMP,LNMP,集群,监控,网站,FTP,数据库,JAVA等100多项服务器管理功能。具有windows跟linux两个版本。

测试环境:

Winodws server 2012

Phpstudy(小皮版本) 8.1.0.7

Nginx 1.15.11

Php 7.3.4

1、 将php.ini文件中的cgi.fix_pathinfo的值设置为0,这样php再解析1.php/1.jpg这样的目录时,只要1.jpg不存在就会显示404页面

 
       2、 php-fpm.conf中的security.limit_extensions后面的值设置为.php

1.为什么需要上传点?
          因为这是一个nginx解析漏洞, 需要一个文件进行配合，也就是说,如果该网站可以上传一个图片,上传目录没有禁止php执行，你就可以执行代码。
       

2.这个漏洞值得大家刷SRC吗?
      首先这个洞属于nginx解析漏洞,其实很早之前就已经有了,只不过phpstudy nginx环境 使用了较低的nginx版本,所以存在漏洞.
       

3.这个洞只有PHPSTUDY有吗?
        不是的,属于nginx中间件的解析漏洞,与此相同的漏洞还有IIS7.0,此漏洞与nginx版本有关,和php版本无关。

怕什么真理无穷，进一寸有进一寸的欢喜