【已记录】群里有人被解析漏洞攻击了 建议修改配置
1、 将php.ini文件中的cgi.fix_pathinfo的值设置为0,这样php再解析1.php/1.jpg这样的目录时,只要1.jpg不存在就会显示404页面2、 php-fpm.conf中的security.limit_extensions后面的值设置为.php
宝塔原来是没有 security.limit_extensions = .php 增加一下
您好，cgi.fix_pathinfo的默认值是1的。这个的话需要您手动修改了
以及security.limit_extensions这个目前也需要您手动添加了。因为这个如果改动的话，那么所有使用者都会被改动，这个行不通的，有的使用者可能不需要这种修改，就先麻烦您手动修改了，感谢理解
对于security.limit_extensions的配置，后续也会考虑一下，您这边可以发一下您说的这个漏洞 支持老哥一个，半夜给我解惑 这边先记录一下这个问题吧，方便说一下是哪个群里边，这边好做记录 宝塔防火墙优化/反馈
62838057 运维技术阿闯 发表于 2024-8-1 16:57
这边先记录一下这个问题吧，方便说一下是哪个群里边，这边好做记录
我还是建议你 改一下，因为这个配置漏洞存在很多年了，只要用户能上传图片就很有可能造成服务器被提权的条件，拿下整个服务器。
我自己使用 也没有上传图片的需求 ，都无所谓 ，我只是提网友发声而已。 youxinge 发表于 2024-8-1 17:31
我还是建议你 改一下，因为这个配置漏洞存在很多年了，只要用户能上传图片就很有可能造成服务器被提权的 ...
一般人也很少用到这个配置，你可以专门写个配置文件，让用户打开或者开启。反正打开的风险更高，而且一旦攻击，防火墙无法及时发现。 这边记录一下 支持这个 山河网络 发表于 2024-8-3 09:28
支持这个
谢谢您的解答
页:
[1]