V2EX › falcon05 的所有回复 › 第 367 页 / 共 413 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 363 364 365 366 367 368 369 370 371 372 ... 413

❮

❯

2016-07-29 20:57:28 +08:00

回复了 tntsec 创建的主题 › NGINX › 吹毛求疵还是精益求精？再谈 nginx fastcgi/fpm 正则禁止上传目录 php 执行

@falcon05
回复好像不支持 markdown ？
https://www.cellmean.com/upload/hello.php
https://www.cellmean.com/upload/php/a.jpg

2016-07-29 20:51:47 +08:00

回复了 tntsec 创建的主题 › NGINX › 吹毛求疵还是精益求精？再谈 nginx fastcgi/fpm 正则禁止上传目录 php 执行

@tntsec 我不知道你怎么测试的，还会有 404 的？
然后我写了一个，打开浏览器：

<https://www.cellmean.com/upload/hello.php> 403
<https://www.cellmean.com/upload/php/a.jpg> 200

事实上我觉得用第一条就可以了，后面的几条包括你给的反而画蛇添足，把 php 的目录也排过滤掉了，比如网站头像图片存在 /usr/uploads/用户名目录下，当注册用户恰好叫 php ，如果用你那一条，那这个用户的头像 /usr/uploads/php/avatar.jpg 就无法显示了。

你举的反例我觉得很奇怪。

“绕过方法， 1.php 可以是个目录 /1.php/3038714494.png ”

绕过了什么？ nginx 在这里并不是用来阻止上传文件上传到 /1.php 这个目录的，你要证明的是这个 png 会被当成 php 文件执行。

2016-07-29 13:40:14 +08:00

回复了 tntsec 创建的主题 › NGINX › 吹毛求疵还是精益求精？再谈 nginx fastcgi/fpm 正则禁止上传目录 php 执行

第 3 条的规则并不会 “封杀目录中包含 php 三个字母的文件如 /php/3038714494.png ” ，

正则解释 ^/upload/.*.(php|php5)($|/) 开始匹配^ 匹配任意多字符.* 匹配任意字符请输入代码.（怀疑此处其实他想匹配点，但是正则中的点代表任意字符）结束或者目录符号($|/)

nginx 的 “.” 单独用的话它就是代表 “.” ,不用转义。

2016-07-22 20:44:18 +08:00

回复了 ifaii 创建的主题 ›  Pay › 深圳 Apple Pay 线下体验

哈哈，刚出来时火了一阵，现在我几乎没到有人用了

2016-07-22 15:56:57 +08:00

回复了 xiaoyu9527 创建的主题 › WordPress › WP 的性能到底如何？

WordPress 代码是臃肿，但是有心优化的话，比如配置好 cache 或者生成静态页，访问可以非常快

2016-07-22 09:22:07 +08:00

回复了 eightqueen 创建的主题 › 职场话题 › 公积金到底有没有用

深圳不买房子的话好像只能提自己交的那部分，而且还不是一次性全取出来的，也是坑

2016-07-19 19:14:59 +08:00

回复了 yseternal 创建的主题 › 站长 › 个人博客备案，今天才知道，原来还得需要个幕布

我在阿里云办的，幕布 15 块，包邮