摘要：
漏洞介绍漏洞影响 IIS7 及IIS7.5 在使FastCGI方式调用php时，当php.ini里设置cgi.fix_pathinfo=1使得访问任意文件URL时，在URL后面添加... 漏洞介绍
漏洞影响 IIS7 及IIS7.5 在使FastCGI方式调用php时，当php.ini里设置
cgi.fix_pathinfo=1
使得访问任意文件URL时，在URL后面添加“/x.php”等字符时，该文件被IIS当php文件代码解析。
如 http://127.0.0.1/ceshi.png 的内容如下是一张损坏的图片格式
当访问 http://127.0.0.1/ceshi.png/1.php
可以看到ceshi.png里的php代码被IIS解析执行了。 当黑客在攻击网站的时候，可以通过网站提供的图片上传功能（也可以是其他的手段）上传一个包含了恶意PHP代码的图片文件。然后通过上面的方法，让IIS解析执行任意恶意的php代码，控制网站及主机，最终导致网站被数据丢失、挂马、植入非法seo链接等等严重后果。
解决办法
第一种方案
php.ini中参数cgi.fix_pathinfo=1 修改为 cgi.fix_pathinfo=0 ，修改保存后重启IIS。
第二种方案通过IIS处理程序映射限制
在IIS里找到 处理程序映射 >> PHP映射选项 >> 请求限制
把仅当请求映射至以下内容时才调用处理程序这个选项勾上即可；
PS：如果IIS里的php映射没有勾选，请速度勾选上，不然网站非常危险，黑客上传一个恶意PHP代码的图片文件，即可拿到web权限，入侵系统；
第三种方案
可以使用其他web服务器软件，如Apache、Nginx等。
