保護Apache和PHP-FPM

Question

特定

ProxyPassMatch ^/(.*\.php(/.*)?)$ fcgi://127.0.0.1:9000/var/www/$1

當假圖像上傳到文件夾中時，如何防止惡意代碼執行，然后通過該文件夾進行調用

http://www.foo.bar/uploads/malicious.jpg/fake.php

如果我理解正確，上面的請求將讓Apache將它傳遞給PHP-FPM，它將執行/uploads/malicious.jpg。

我知道我可以在uploads文件夾中添加一個刪除ProxyPassMatch的.htaccess文件，但這是我的客戶不知道的，他們最終可能會受到損害。

Answer 1

php-fpm中有一個新的設置，因為php 5.3.9，'security.limit_extensions'，它限制了php-fpm將執行的文件。 默認為'.php'，因此不會執行'malicious.jpg'。