一早起来震惊一下，很少听说nginx的漏洞，而且操作起来简单，文件改名上传就可执行了。

刚看到当当被拿下了。。。

临时解决办法：

关闭cgi.fix_pathinfo为0

或者

if ( $fastcgi_script_name ~ \..*\/.*php ) {
return 403;
}

具体漏洞信息：http://www.80sec.com/nginx-securit.html