在IIS7.5中，PHP解析漏洞是一種常見的安全問題。簡而言之，這種漏洞允許攻擊者在服務器上執行任意PHP代碼。這是一種非常危險的漏洞，因為它可以讓攻擊者繞過任何保護措施并獲得對服務器的完全控制。

這種漏洞通常是由于不正確的服務器配置導致的。如果服務器在處理PHP文件時使用了不安全的默認設置，攻擊者可以通過構造特定的請求來繞過安全性檢查并執行任意代碼。另外，如果服務器上運行的版本的PHP過舊，也可能存在安全漏洞。

假設我們有一個運行IIS7.5的Web服務器，我們想在上面運行PHP腳本。我們可以使用PHP for Windows安裝程序來安裝PHP，并按照說明進行配置。然而，如果我們不小心，我們可能會留下漏洞，這將威脅到我們的服務器的安全性。

php -v
PHP 5.6.40 (cli) (built: Jan  8 2019 23:08:05)

我們可以看到，這個服務器上安裝了PHP版本5.6.40。如果我們查看當前配置，我們可能會發現默認配置將“cgi.force_redirect”設置為“1”。這個選項對于PHP的安全性非常重要，因為它可以確保攻擊者不能直接執行PHP代碼。

php -i | grep cgi.force_redirect
cgi.force_redirect =>1 => 1

如果攻擊者了解這些默認設置，他們就可以構造特定的請求來繞過安全檢查并在服務器上執行任意PHP代碼。例如，攻擊者可以使用“/?"作為查詢字符串來調用PHP解析器，并執行任意代碼。

http://example.com/index.php/?phpinfo();

為了修復這個漏洞，我們可以在php.ini文件中修改默認設置。將“cgi.force_redirect”設置為“0”可以防止攻擊者繞過安全檢查并在服務器上執行任意PHP代碼。將此設置更改為“0”可以確保我們的服務器免受此漏洞的攻擊。

[cgi]
...
; cgi.force_redirect is necessary to provide security running PHP as a CGI under
; most web servers.  Left undefined, PHP turns this on by default.  You can
; turn it off here AT YOUR OWN RISK
; **You CAN safely turn this off unless you specifically need this feature.**
; cgi.force_redirect = 1
cgi.force_redirect = 0

PHP解析漏洞是IIS7.5上的常見安全問題，但如果您遵循正確的安裝和配置步驟，可以防止這些問題的發生。