由于腳本編寫時出錯導致可能存在pathinfo漏洞，請所有lnmp用戶檢查一下php的pathinfo設置！！！

編輯/usr/local/php/etc/php.ini 文件，搜索 cgi.fix_pathinfo ，如果cgi.fix_pathinfo 該行為 ; cgi.fix_pathinfo=0 請修改為 cgi.fix_pathinfo=0
或直接執行：sed -i 's/; cgi.fix_pathinfo=0/cgi.fix_pathinfo=0/g' /usr/local/php/etc/php.ini

再執行：/usr/local/php/sbin/php-fpm restart重啟

如果是cgi.fix_pathinfo=0則沒問題，不需要修改。
請各位lnmp用戶檢查一下，防止pathinfo漏洞給網站或服務器帶來安全隱患。

安裝包文件都已經更新。
2011.6.9，9:30分以后下載安裝的腳本里已解決此問題。

感謝lnmp用戶的反饋，感謝各位對lnmp的支持。

漏洞介紹：nginx是一款高性能的web服務器，使用非常廣泛，其不僅經常被用作反向代理，也可以非常好的支持PHP的運行。80sec發現 其中存在一個較為嚴重的安全問題，默認情況下可能導致服務器錯誤的將任何類型的文件以PHP的方式進行解析，這將導致嚴重的安全問題，使得惡意的攻擊者可 能攻陷支持php的nginx服務器。
漏洞分析：nginx默認以cgi的方式支持php的運行，譬如在配置文件當中可以以


location ~ \.php$ {
root html;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
include fastcgi_params;
}
查看全文 »