IIS的FastCGI漏洞处理方法

if ( $fastcgi_script_name ~ ../.php )
{
return 403;
}

网上多是ngx用户有此漏洞，此处客户的环境是wdows server 2008R2的IIS，这里我在‘处理程序映射’里找到php的双击进入此界面

进入‘请求限制’

确定后就可以了。

测试

在服务器上根目录新建一个phpfo()的JPG文件test.jpg，访问http://.xxx./test.jpg/1.php(test.jpg后面的php名字随便写)，如果有漏洞则可以看到phpfo()的信息，反之会返回404错误。

后记

ngx里面处理此问题，网上的解决方法是写入

try_files $fastcgi_script_name =404;

到fastcgi.conf里面，然后在location中引用

location ~ \.php$ {
fastcgi_pass unix:/tmp/phpfpm/php-fpm.sock;
clude fastcgi.conf;
}