面板版本:宝塔linux面板 9.2
系统版本:OpenCloudOS 9.2 x86_64(Py3.7.16)
浏览器版本:Google Chrome 131.0.6778.86
问题现象:NGINX环境,网站手动停用后,会出现文件被下载,对于ThinkPHP项目来说,被下载的是index.php文件,这就造成了源代码泄露风险,所以称之为大bug。经测试发现,造成该情况的原因是:设置过【运行目录】的站点,手动停用网站,面板没有正确对网站设置中【默认文件】进行准确处理(root没有更换为/www/server/stop),最终造成默认页面文件被下载。
☆☆☆☆☆特别指出:经测试,网站一旦设置过【运行目录】,手动停用就会出现本bug。(到期停用还没测试,晚点补充或者官方自测)
重现方式:
1、新建任何网站,建立目录并新建index.php(任意默认页面文件)。
2、正常访问网站网址,浏览是正常的。
3、手动停用网站后,再次访问网站网址,浏览器便会自动下载文件,文件内容即为index.php(默认页面文件)的内容。
发现:bug的出现与停用后站点NGINX配置中root的处理有关。
|
|