這兩天網上瘋傳一個Nginx的所謂文件類型錯誤解析漏洞，但是真的就只有這樣嗎？漏洞介紹：nginx是一款高性能的web服務器，使用非常廣泛，其不僅經常被用作反向代理，也可以非常好的支持PHP的運行。80sec發現其中存在一 個較爲 嚴重的安全問題，默認情況下可能導致服務器錯誤的將任何類型的文件以PHP的方式進行解析，這將導致嚴重的安全問題，使得惡意的***者可能攻陷支持 php的nginx服務器。
經測試這個並不是nginx的漏洞，而是php-fpm的漏洞.
我生產中的服務器使用的是php-fpm-0.5，都有這個漏洞.
但是測試環境中的php-fpm-0.6卻沒有這個漏洞
建議以後fastcgi使用php-fpm-0.6打補丁。
php-fpm-0.6安裝方法和0.5版本的有所不同
大家可以參考參考我的博客《使用php-fpm-0.6編譯php5.2.13》一文
# tar -jxvf php-5.2.13.tar.bz2
# tar -zxvf php-fpm-0.6~5.2.11.tar.gz
# php-fpm-0.6-5.2.11/generate-fpm-patch
# cd php-5.2.13/
# patch -p1 < ../fpm.patch
# rm -rf configure
# ./buildconf --force
# ./configure --prefix=/usr/local/www/php --with-mysql=/usr/local/www/mysql/
--with-mysqli=/usr/local/www/mysql/bin/mysql_config
--with-config-file-path=/usr/local/www/php
--with-gd=/usr/local/www/gd --enable-gd-native-ttf --enable-gd-jis-conv
--with-jpeg-dir --with-png-dir --with-freetype-dir --with-zlib-dir --with-xpm-dir
--enable-xml --with-curl --with-curlwrappers --with-zlib --enable-exif
--with-zlib-dir --with-bz2 --with-libxml-dir
--enable-mbstring --enable-sockets --enable-zip --enable-ftp
--with-iconv-dir=/usr/local/www/libiconv --with-iconv
--disable-rpath --enable-bcmath --enable-shmop --enable-sysvsem
--enable-inline-optimization --enable-mbregex
--with-libevent=/usr/local/www/libevent/
--with-fpm --enable-fastcgi --enable-force-cgi-redirect
# make
# make install