nginx真的存在文件类型解析漏洞吗？

这两天网上疯传一个Nginx的所谓文件类型错误解析漏洞，但是真的就只有这样吗？漏洞介绍：nginx是一款高性能的web服务器，使用非常广泛，其不仅经常被用作反向代理，也可以非常好的支持PHP的运行。80sec发现其中存在一 个较为 严重的安全问题，默认情况下可能导致服务器错误的将任何类型的文件以PHP的方式进行解析，这将导致严重的安全问题，使得恶意的攻击者可能攻陷支持 php的nginx服务器。

原文详细见： http://www.80sec.com/nginx-securit.html

经测试这个并不是nginx的漏洞，而是php-fpm的漏洞.

我生产中的服务器使用的是php-fpm-0.5，都有这个漏洞.

但是测试环境中的php-fpm-0.6却没有这个漏洞

建议以后fastcgi使用php-fpm-0.6打补丁。

php-fpm-0.6安装方法和0.5版本的有所不同

大家可以参考参考我的博客《 使用php-fpm-0.6编译php5.2.13》一文

# tar -jxvf php-5.2.13.tar.bz2

# tar -zxvf php-fpm-0.6~5.2.11.tar.gz

# php-fpm-0.6-5.2.11/generate-fpm-patch

# cd php-5.2.13/

# patch -p1 < ../fpm.patch

# rm -rf configure

# ./buildconf --force

 

# ./configure --prefix=/usr/local/www/php --with-mysql=/usr/local/www/mysql/ 

--with-mysqli=/usr/local/www/mysql/bin/mysql_config 

--with-config-file-path=/usr/local/www/php 

--with-gd=/usr/local/www/gd --enable-gd-native-ttf --enable-gd-jis-conv

--with-jpeg-dir --with-png-dir --with-freetype-dir --with-zlib-dir --with-xpm-dir

--enable-xml --with-curl --with-curlwrappers --with-zlib --enable-exif 

--with-zlib-dir --with-bz2 --with-libxml-dir 

--enable-mbstring --enable-sockets --enable-zip --enable-ftp

--with-iconv-dir=/usr/local/www/libiconv --with-iconv 

--disable-rpath --enable-bcmath --enable-shmop --enable-sysvsem 

--enable-inline-optimization --enable-mbregex 

--with-libevent=/usr/local/www/libevent/ 

--with-fpm --enable-fastcgi --enable-force-cgi-redirect

# make 

# make install