谁给我介绍一下 cgi.fix_pathinfo 这个所谓的漏洞 , 我怎么发现不存在这样的问题呢 ~~

gclove
  • 1.4k

如题 , 求解 php.ini 中的 cgi.fix_pathinfo

为什么有的文章总是提示我们要设置成 0 ;

回复
阅读 16.2k
2 个回答

举例来说,开启的危害就是假设你的网站有http://xx.com/a.jpg这样的一张图片,我通过http://xx.com/a.jpg/foo.php就可以查看到这个文件的二进制内容,意思就是可以通过php来执行它.问题就来了,如果你的网站允许用户上传图片,那么用户就可以构造一些恶意的代码,并伪装成图片上传.然后通过上面说的那种方式就可以在你网站的服务器上面通过php跑恶意代码了.
具体可以看连接[1]http://www.laruence.com/2010/05/20/1495.html

batsing
  • 23

这个问题只存在于 Nginx 服务器中,Apache和IIS都不会有这个问题。
不建议关闭,很多代码都会依赖这个功能,关了基本上都会报错。
各多细节可以看看我的博客文章

撰写回答
你尚未登录,登录后可以
  • 和开发者交流问题的细节
  • 关注并接收问题和回答的更新提醒
  • 参与内容的编辑和改进,让解决方法与时俱进
宣传栏