此时web server 父进程应该是 root,同时父进程监听80端口子进程父进程派生许多子进程,同时使用setuid,setgid将子进程权限切换为非root子进程用户可以通过httpd.conf设置
很多人会将varwww用户与组设置为 nobody:nogroup nobody:nobody, 同时因为images会上传文件需要设置777, 很多书本于教程上面也是这样讲的, 这样配置会有什么问题呢
我们来分析一下:我们假设,一个用户上传一个文件到images目录,会有几种情况:上传一个.php文件,我们可以通过程序禁止上传.php文件我们上传一个.jpg文件,OK 通过了,通过某种手段将他重命名位
,但经常会被程序员使用ini_set(display_errors, On);开启, 是用php_flag可以在web server端强制设置php.ini参数php_flag register_globals
浏览器上传文件尺寸控制Nginxclient_max_body_size 8M 设置不能过大,因为可以通过你的网站上传功能,持续上传实现攻击。