80后发现nginx 0day漏洞百万服务器受威胁

社区服务
高级搜索
猴岛论坛电脑百科80后发现nginx 0day漏洞百万服务器受威胁
发帖 回复
正序阅读 最近浏览的帖子最近浏览的版块
5个回复

80后发现nginx 0day漏洞百万服务器受威胁

楼层直达
┌.淫穆”

ZxID:10737016

等级: 上将
..

举报 只看楼主 使用道具 楼主   发表于: 2010-05-21 0
80后发现nginx 0day漏洞百万服务器受威胁
 国内顶级安全团队80sec于5.20日下午6点发布了一个关于nginx的漏洞通告,由于该漏洞的存在,使用nginx+php组建的网站只要允许上传图片就可能被黑客入侵,直到5.21日凌晨,nginx尚未发布修复该漏洞的补丁;已经有一些网站被黑了,管理员速修复!

  没错,重申一次,由于nginx有漏洞,这100万台服务器可能通过上传图片的方法被黑客轻易的植入木马。植入木马的过程也非常简单,就是把木马改成图片上传就是
  说了那么多,我想大家对80sec这个顶级安全团队比较好奇吧,素包子简单介绍一下。
  80sec团队由一群年轻、充满活力、充满体力、充满激情、富有创造力的未婚dota男组成,他们均在各大互联网公司从事信息安全工作,他们的口号是know it then hack it,素包子非常认同这个观点:“我们只要非常熟悉一个事物,就有可能客观的发现它的不足之处,同时我们也能的发现该事物的优点”。
  80sec的意思是“80端口的安全”,也就是“web安全”;同时由于该团队成员都是80后的年轻人,我们也可以理解为“80后安全”;另外由于sec的发音是se ke,我们还可以理解为“80后色客”、“80后摄客”或“80后S客”,我们对80sec的理解仅受限于想象力。
  下面介绍一下他们的丰功伟绩,他们曾发现IIS、IE、FireFox、Maxthon、世界之窗、PHPWind、DeDeCMS、QQ mail、QuarkMail、EXTMail等软件的漏洞,可见硕果累累。
  既然介绍了80sec,就不得不介绍另外一个非常专注WEB安全的顶级安全团队80vul,该团队同样也是由80后的男童鞋组成(90后表示压力很大:p),他们也发现了大量WEB APP的安全漏洞,例如IE、Gmail、wordpress、PHPWind、DISCUZ、MYBB等。
  看到这里,想必大家心里都有那么点遗憾,那就是为何没有80后女黑客(我不歧视伪娘,但我必须说明不是伪娘),我也有相同的遗憾。
  最后发一个小道消息,据说黑客已经在行动了;安全人员、系统管理人员、行动起来吧,赶紧修复该漏洞;最好不要有侥幸心理,否则下一个被黑客入侵的可能就是你的网站。根据80sec安全公告的描述,临时修复方法如下,可3选其一。
  1、设置php.ini的cgi.fix_pathinfo为0,重启php。最方便,但修改设置的影响需要自己评估。
  2、给nginx的vhost配置添加如下内容,重启nginx。vhost较少的情况下也很方便。
  if ( $fastcgi_script_name ~ ..*/.*php ) {
  return 403;
  }
  3、禁止上传目录解释PHP程序。不需要动webserver,如果vhost和服务器较多,短期内难度急剧上升;建议在vhost和服务器较少的情况下采用。
  估计今天黑客和管理员的交互会达到一个小高潮
qq526937092

ZxID:11983210

等级: 中校
[fly][url=http://bbs.houdao.co
举报 只看该作者 5楼  发表于: 2010-05-21 0
路过 顺便看看!


゛蝣蕩啲龍っ

ZxID:7865773

等级: 元老
‘燕鸥’是种水鸟,听说,它们会从几千里外,飞回自己的家,而且,是‘情有独钟’,终身不换伴侣 ..

举报 只看该作者 4楼  发表于: 2010-05-21 0
感谢分享
鸣人の悲伤

ZxID:11644230

等级: 中将
☆☆★★猴.岛.萨.皮.组★★☆☆

举报 只看该作者 地板   发表于: 2010-05-21 0
怕怕
_小华。

ZxID:11550688

等级: 中将
.

举报 只看该作者 板凳   发表于: 2010-05-21 0
没看懂。
  ﹎葬.血轩.康  濄眼繧珚  ★°小豪。〃  №ˉ浠癷
戀嬡dē琎喥

ZxID:10644563

等级: 贵宾

举报 只看该作者 沙发   发表于: 2010-05-21 0
谢谢分享
« 返回列表
发帖 回复