保护 Apache 和 PHP-FPM

Question

给定

ProxyPassMatch ^/(.*\.php(/.*)?)$ fcgi://127.0.0.1:9000/var/www/$1

当假图片上传到文件夹中时，如何防止恶意代码执行，然后通过该文件夹调用

http://www.foo.bar/uploads/malicious.jpg/fake.php

如果我理解正确，上面的请求会让 Apache 将其传递给 PHP-FPM，PHP-FPM 将执行 /uploads/malicious.jpg。

我知道我可以在删除 ProxyPassMatch 的上传文件夹中添加一个 .htaccess 文件，但这是我的客户不知道的事情，他们最终可能会受到威胁。

Answer 1

从 php 5.3.9 开始，php-fpm 中有一个新设置“security.limit_extensions”，它限制了 php-fpm 将执行的文件。默认是'.php'，所以'malicious.jpg'不会被执行。