已经把PHP.ini里的cgi.fix_pathinfo设为0并生启了服务器。

cnmt

在用PHP探针时。。显示。下面。。是正常的吗。

Directive	Local Value	Master Value
cgi.check_shebang_line	1	1
cgi.fix_pathinfo	1	1
cgi.force_redirect	1	1
cgi.nph	0	0
cgi.redirect_status_env	no value	no value
cgi.rfc2616_headers	0	0
fastcgi.logging	1	1

cnmt

如时改VHOST那个文件。。。是/usr/local/nginx/conf/vhost.conf这个文件吗。？？？

cnmt

if ( $fastcgi_script_name ~ \..*\/.*php ) {
return 403;
}

这个要加到哪里。

westcity

cgi.fix_pathinfo还是为1
我试过了，漏洞仍然在在。

westcity

/usr/local/php-fcgi/lib/php.ini 改这里。

暗黑游侠

楼主的方法会影响伪静态，3楼的方法可以通过构造特殊地址来执行
http://blog.7xiaowu.cn/2010/05/22/1164.html
按照本文的方法会比较方便的
====================
也可将以下内容写在fcgi.conf文件中，便于多个虚拟主机引用（修改后记得重启或者重载）：
====================
if ($request_filename ~* .*\.(php|php5)$) {
    set $is_path_info '0';
}
if (-e $request_filename) {
    set $is_path_info '1';
}
if ($is_path_info ~ '0') {
    return 403;
}

fastcgi_param  GATEWAY_INTERFACE  CGI/1.1;
fastcgi_param  SERVER_SOFTWARE    nginx;

fastcgi_param  QUERY_STRING       $query_string;
fastcgi_param  REQUEST_METHOD     $request_method;
fastcgi_param  CONTENT_TYPE       $content_type;
fastcgi_param  CONTENT_LENGTH     $content_length;

fastcgi_param  SCRIPT_FILENAME    $document_root$fastcgi_script_name;
fastcgi_param  SCRIPT_NAME        $uri;
fastcgi_param  REQUEST_URI        $request_uri;
fastcgi_param  DOCUMENT_URI       $document_uri;
fastcgi_param  DOCUMENT_ROOT      $document_root;
fastcgi_param  SERVER_PROTOCOL    $server_protocol;

fastcgi_param  REMOTE_ADDR        $remote_addr;
fastcgi_param  REMOTE_PORT        $remote_port;
fastcgi_param  SERVER_ADDR        $server_addr;
fastcgi_param  SERVER_PORT        $server_port;
fastcgi_param  SERVER_NAME        $server_name;

# PHP only, required if PHP was built with --enable-force-cgi-redirect
fastcgi_param  REDIRECT_STATUS    200;