系統城裝機大師 - 唯一官網:www.farandoo.com!

當前位置:首頁 > 網絡知識 > 網絡安全 > 詳細頁面

IIS的FastCGI漏洞處理方法

時間:2020-10-14來源:www.farandoo.com作者:電腦系統城

FastCGI解析漏洞 WebServer Fastcgi配置不當,會造成其他文件(例如css,js,jpg等靜態文件)被當成php腳本解析執行。當用戶將惡意腳本webshell改為靜態文件上傳到webserver傳遞給后端php解析執行后,會讓攻擊者獲得服務器的操作權限 高風險項漏洞地址(URL) 參數 請求方法 發現時間 恢復時間 持續時間

 GET 7月16日 10:24 未恢復 至今解決方案配置webserver關閉cgi.fix_pathinfo為0 或者 配置webserver過濾特殊的php文件路徑例如:

?
1
2
3
4
if ( $fastcgi_script_name ~ ..*/.*php )
{
return 403;
}

一般來說網上多是nginx用戶有此漏洞,此處客戶的環境是windows server 2008R2的IIS,這里我在‘處理程序映射’里找到php的雙擊進入此界面

進入‘請求限制’

確定后就可以了。

測試:

在服務器上根目錄新建一個phpinfo()的JPG文件test.jpg,訪問http://www.xxx.com/test.jpg/1.php(test.jpg后面的php名字隨便寫),如果有漏洞則可以看到phpinfo()的信息,反之會返回404錯誤。

后記:

nginx里面處理此問題,網上的解決方法是寫入

try_files $fastcgi_script_name =404;

到fastcgi.conf里面,然后在location中引用

?
1
2
3
4
location ~ \.php$ {
fastcgi_pass unix:/tmp/phpfpm/php-fpm.sock;
include fastcgi.conf;
}

 當然大家又可以參考這篇文章,

分享到:

相關信息

  • 電腦怎么進行系統防黑安全防護服務檢查與修復?

    電腦怎么進行系統防黑安全防護服務檢查與修復?電腦安全防護很重要,今天我們就來看看使用360安全衛士來保護電腦的技巧,需要的朋友可以參考下...

    2022-03-03

  • 360安全衛士異常感知系統怎么關閉?

    360安全衛士異常感知系統怎么關閉?360安全衛士開啟常感知系統后電腦總是提示載出現故障,無法下載,該怎么關閉異常感知系統呢?下面我們就來看看詳細的教程,需要的朋友可以參考下...

    2022-03-03

系統教程欄目

欄目熱門教程

人氣教程排行

站長推薦

熱門系統下載

jlzzjlzz亚洲乱熟在线播放