Nginx PHP解析漏洞深入分析与防护指南

一、PHP运行模式概述

PHP在Web服务器中有三种主要运行方式：

1. PHP_MOD (模块化方式)

• 将PHP集成到Apache中，与Apache同一进程运行
• 性能较高，但稳定性较差（PHP问题可能影响整个Apache）

2. CGI (公共网关接口)

• Apache遇到PHP脚本时提交给CGI(php-cgi)应用程序处理
• CGI是规定Web服务器传递数据格式的标准协议
• 单进程、多线程运行方式
• 每次请求都需要：创建进程 → 加载配置和环境变量 → 执行 → 销毁
• 效率较低，因为每次都要重新初始化

3. FastCGI (多进程CGI)

• CGI的加强版本，常驻(long-live)型CGI
• 初始化时启动多个CGI解释器进程(多个php-cgi)
• 工作流程：
  1. FastCGI先启动一个master进程
  2. master解析配置，初始化环境
  3. master启动多个worker进程
  4. 请求到来时，master传递给一个worker处理
  5. worker处理完可立即接受下一个请求
• 优势：
  • 避免重复初始化的开销
  • 可根据负载动态调整worker数量
  • 性能高且节约资源

二、Nginx解析漏洞原理

漏洞背景

• Nginx默认以CGI方式支持PHP运行
• 典型配置示例：

location ~ \.php$ {
    root html;
    fastcgi_pass 127.0.0.1:9000;
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME /scripts/$fastcgi_script_name;
    include fastcgi_params;
}

PATH_INFO机制

• PHP通过$_SERVER['PATH_INFO']获取URL路径信息
• 示例URL：http://example.com/tag/Rev27?c=index&m=search
  • $_SERVER['PATH_INFO'] = '/tag/Rev27'
  • $_SERVER['QUERY_STRING'] = 'c=index&m=search'
• cgi.fix_pathinfo=1是PHP配置选项，用于：
  • 为PHP提供绝对路径信息或PATH_INFO信息
  • 当PHP获取不到PATH_INFO时，依赖它的URL美化程序会失效

漏洞触发流程

1. 攻击者访问特殊构造的URL，例如：http://target.com/test.jpg/test.php
2. Nginx接收到请求后：
   • 将PATH_INFO设置为/test.jpg/test.php
   • 由于请求看似PHP文件，Nginx将其传递给FastCGI处理
   • 设置SCRIPT_FILENAME为/scripts/test.jpg/test.php
3. FastCGI处理时：
   • 检查test.php是否存在 → 不存在
   • 由于cgi.fix_pathinfo=1，尝试上层路径test.jpg
   • 分离出：
     • PATH_INFO: test.php
     • SCRIPT_INFO: /script/test.jpg
4. 最终结果：
   • Nginx使用PHP解析器处理test.jpg文件
   • 导致任意文件(如图片)被当作PHP执行

漏洞本质

• FastCGI和Web Server对script路径参数理解不一致
• Nginx将整个PATH_INFO传递给CGI
• CGI在cgi.fix_pathinfo=1时尝试解析不存在的路径
• 缺乏文件类型限制导致任意文件被PHP解析

三、漏洞利用场景

典型攻击方式

• 上传含有PHP代码的图片文件(如.jpg)
• 通过构造/uploaded_image.jpg/notexist.php形式URL
• 使服务器以PHP方式执行图片中的恶意代码

必要条件

1. Nginx配置不当
2. PHP的cgi.fix_pathinfo=1
3. 未设置security.limit_extensions或设置不严格

四、防护措施

1. PHP配置调整

• 理想方案：设置cgi.fix_pathinfo=0
  • 但可能影响依赖PATH_INFO的正常业务
• 实际建议：结合其他措施

2. PHP-FPM关键配置

; 限制FastCGI只解析.php文件
security.limit_extensions = .php

• 注意：此项为空时会允许FastCGI将.png等文件当作代码解析

3. Nginx配置优化

location ~ \.php$ {
    # 其他配置...
    
    # 确保SCRIPT_FILENAME指向真实存在的PHP文件
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    
    # 严格检查文件存在性
    try_files $uri =404;
    
    # 其他安全措施...
}

4. 综合防护方案

1. 保持cgi.fix_pathinfo=1确保业务正常
2. 严格设置security.limit_extensions=.php
3. 在Nginx中验证请求文件确实存在
4. 上传目录禁用PHP执行
5. 文件上传严格校验内容而不仅是扩展名

五、漏洞深层分析

跨系统语境问题

• 这是典型的因不同系统对同一请求解释不同导致的漏洞
• Web服务器和FastCGI对路径处理逻辑存在差异
• 安全边界不清晰导致攻击面产生

相关安全思考

1. 最小权限原则：只允许必要的文件类型被执行
2. 输入验证：所有用户输入都应视为不可信的
3. 默认安全：安全配置应作为默认选项而非额外添加
4. 组件交互安全：关注系统各组件间的安全假设是否一致

通过全面理解此漏洞原理及防护措施，可以有效加固Nginx+PHP环境的安全性，防止恶意文件执行攻击。