NGINX: Cara Mencegah Pengunduhan File Script php

 

Ya kemarin saya ketemu kasus dimana ada kelemahan pada salah satu website yang menggunakan NGINX untuk webserver nya dan kelemahannya adalah kita bisa melakukan melakukan download langsung file .php nya. Hal ini akan sangat berbahaya kalau yang di download adalah file koneksi ke database nya.

Cara nya menutup celah ini adalah :

1. Edit file /etc/nginx/nginx.conf :

# vi /etc/nginx/nginx.conf

2. Tambahkan atau edit menjadi seperti ini :

location ~* \.php {

            # never allow a single .php page to run, ever.

            # no parsing, no lookup, nada.  stop dead in tracks.

            return 404;

         }

3. Kemudian simpan dan restart service nginx nya :

# service nginx restart

Saat ini seharusnya file .php nya sudah tidak bisa didownload langsung baik itu menggunakan IP sekaligus

Semoga bermanfaat untuk pembaca semua.

Dony Ramansyah

site : http://donyramansyah.net

blog : dony-ramansyah.blogspot.com

email : dony.ramansyah[at]gmail.com

Registered linux user : ID 40017