1. iis7.5 の解析脆弱性の紹介
脆弱性は IIS7 および IIS7.5 に影響します.FastCGI を使用して php を呼び出す場合は、php.ini に設定します
cgi.fix_pathinfo=1 に設定すると、任意のファイル URL にアクセスするときに、URL の後に「/x.php」などの文字が追加されると、ファイルは iis によって php ファイル コードとして解析されます。
たとえば、http://127.0.0.1/1.gif の内容は次のとおりです。
http://127.0.0.1/1.gif/1.php にアクセスした場合
1.gif の PHP コードが IIS によって解析および実行されていることがわかります。次に、「ハッカー」が特定の Web サイトを攻撃する場合、最初に Web サイトが提供する画像アップロード機能 (またはその他の手段) を介して、悪意のある PHP コードを含む画像ファイルをアップロードできます。次に、上記の方法で、IIS に悪意のある php コードを分析して実行させ、Web サイトとホストを制御し、最終的には「ライブラリから外れる」、「馬をハッキングする」、「違法な SEO リンクを埋め込む」などの重大な結果につながります。およびその他の深刻な結果。
2、iis7.5 解析脆弱性ソリューション
解決策 1: 引き続き FastCGI を使用して PHP を呼び出します. このセキュリティ上の問題を解決するには、php.ini で cgi.fix_pathinfo=0 を設定します. 変更して保存した後、iis を再起動することをお勧めします (一部のアプリケーション機能が影響を受ける可能性があることに注意してください) ）。
オプション 2: ISAPI を使用して PHP を呼び出します。(注: PHP5.3.10 は ISAPI メソッドを廃止しました)
3 番目のオプション: Apache などの他の Web サーバー ソフトウェアを使用できます。
【実務対応】IISの設定を強化する（IIS7のwebmaster's home testに合格）
IIS で [ハンドラー マッピング] を見つけ、PHP 項目を編集し、[リクエストの制限] をクリックして、[リクエストが次のコンテンツにマップされている場合にのみハンドラーを呼び出す] オプションをオンにします。