轉自：http://www.safe.sh/security/?type=detail&id=1606
另參考：http://hi.baidu.com/higkoo/item/ed1e0cc9b9d7b3d6964452f1
影響版本:
Igor Sysoev nginx 0.8.x
Igor Sysoev nginx 0.7.x
Igor Sysoev nginx 0.6.x
漏洞描述:
nginx是多平臺的HTTP服務器和郵件代理服務器。
nginx可以被配置爲以CGI的方式支持PHP的運行，nginx在處理PHP腳本文件路徑的解析時存在問題。如果網站允許上傳文件，而且上傳文件路徑可得到，遠程***者可以利用此漏洞上傳包含惡意代碼的文件並得到執行，實現以Web進程權限執行任意命令。
問題出現在nginx傳遞訪問的URL和後續的腳本路徑提取過程中，***者可以上傳允許上傳的文件類型，文件中包含惡意代碼，得到上傳文件通過Web可訪問的URL後，在其後添加任意php後綴的文件名進行訪問，存在漏洞的處理過程會把上傳的文件作爲CGI腳本執行。
nginx默認以cgi的方式支持php的運行，譬如在配置文件當中可以以
location ~ \.php$ {
root html;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
include fastcgi_params;
}
的方式支持對php的解析，location對請求進行選擇的時候會使用URI環境變量進行選擇，其中傳遞到後端Fastcgi的關鍵變量 SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定，而通過分析可以看到$fastcgi_script_name是直接由URI環境變量控制的，這裏就是產生問題的點。而爲了較好的支持PATH_INFO的提取，在PHP 的配置選項裏存在cgi.fix_pathinfo選項，其目的是爲了從SCRIPT_FILENAME裏取出真正的腳本名。
那麼假設存在一個http://www.xxx.com/xxx.jpg，我們以如下的方式去訪問
http://www.xxx.com/xxx.jpg/xxx.php
將會得到一個URI
/xxx.jpg/xxx.php
經過location指令，該請求將會交給後端的fastcgi處理，nginx爲其設置環境變量SCRIPT_FILENAME，內容爲
/scripts/xxx.jpg/xxx.php
測試方法:
[www.Safe.sh]
本站提供程序(方法)可能帶有***性,僅供安全研究與教學之用,風險自負!
訪問一個nginx來支持php的站點，在一個任何資源的文件如robots.txt後面加上/xxxx.php，這個時候你可以看到如下的區別：
訪問http://www.xxxx.com/robots.txt
HTTP/1.1 200 OK
Server: nginx/0.6.32
Date: Thu, 20 May 2010 10:05:30 GMT
Content-Type: text/plain
Content-Length: 18
Last-Modified: Thu, 20 May 2010 06:26:34 GMT
Connection: keep-alive
Keep-Alive: timeout=20
Accept-Ranges: bytes
訪問訪問http://www.xxxx.com/robots.txt/xxxx.php
HTTP/1.1 200 OK
Server: nginx/0.6.32
Date: Thu, 20 May 2010 10:06:49 GMT
Content-Type: text/html
Transfer-Encoding: chunked
Connection: keep-alive
Keep-Alive: timeout=20
X-Powered-By: PHP/5.2.6
其中的Content-Type的變化說明了後端負責解析的變化，該站點就可能存在漏洞。
Safe.sh安全建議:
臨時解決方法：
用戶可以採用下面的臨時解決方案來避免漏洞的威脅：
* 修改運行配置
修改配置文件PHP的配置文件php.ini，把默認的如下行：
cgi.fix_pathinfo=1
修改爲：
cgi.fix_pathinfo=0
重啓nginx服務器。