中间件漏洞记录--3
目录
1.Nginx配置文件错误导致的解析漏洞
漏洞原理
1> 环境配置
2> 访问环境自带的图片马
3> 在其后加上 /xxx.php ，被解析为php执行
4> 修复建议
2.Nginx 文件名逻辑漏洞（CVE-2013-4547)
1> 配置环境
2> 搭建成功
3> 上传图片马，抓包，给后缀加一个空格
4> 然后抓一个上传图片的访问包，， /uploadfiles/1.gif...php
5> 再放出去，就成功解析
修复建议
3.Nginx 配置错误导致漏洞（三个）
配置环境
(1) CRLF注入漏洞
(2)目录穿越
漏洞原理
可以穿越到根目录
(3) add_header被覆盖
漏洞原理
1.Nginx配置文件错误导致的解析漏洞
漏洞原理
这一漏洞是由于Nginx中php配置不当而造成的，与Nginx版本无关
同IIS 7.0/7.5 ，其实是PHP CGI漏洞，再php配置文件中，有一个配置选项：chi.fi：x_pathinfo 。这个选项在很多版本中是默认开启的，比如在访问http://www.xxx.com/x.jpg/xx.php，xx.php是不存在的，所以就会向前递归解析，但是再获取文件名后，它检测到是.php结尾的，所以就直接交给fastcgi去处理，所以最后找到jpg文件，也会当作php去解析
1> 环境配置
漏洞环境：docker+vulhub
这里会有可能拉取失败，是因为那是在国外
先创建加速 vim /etc/docker/daemon.json，把下面这段写进去
再重启docker
sudo service docker restart
{
"registry-mirrors": ["https://docker.mirrors.ustc.edu.cn/","https://hub-mirror.c.163.com","https://registry.docker-cn.com"],
"insecure-registries": ["127.0.0.1:5000"]
}cd vulhub/nginx/nginx_parsing_vulnerability
docker-compose up -d
访问，这就搭建成功了
2> 访问环境自带的图片马
3> 在其后加上 /xxx.php ，被解析为php执行
4> 修复建议
1.配置cgi.fix_pathinfo(php.ini中)为0并重启php-cgi程序。
2.或如果需要使用到cgi.fix_pathinfo这个特性（例如：Wordpress），那么可以禁止上传目录的执行脚本权限。 或将上传存储的内容与网站分离，即站库分离。
3.或高版本PHP提供了security.limit_extensions这个配置参数，设置security.limit_extensions = .php
2.Nginx 文件名逻辑漏洞（CVE-2013-4547)
影响版本：Nginx 0.8.41 ~ 1.4.3 / 1.5.0 ~ 1.5.7
1> 配置环境
docker+vulhub
cd vulhub/nginx/CVE-2013-4547
docker-compose up -d
会有一个警告，让执行这个
docker-compose build2> 搭建成功
这个环境是黑名单验证，我们无法上传php后缀的文件，需要利用CVE-2013-4547。我们上传一个“1.gif ”，注意后面的空格：
3> 上传图片马，抓包，给后缀加一个空格
4> 然后抓一个上传图片的访问包，， /uploadfiles/1.gif...php
在Hex 里将三个2e 改成这样
5> 再放出去，就成功解析
Note:该漏洞不受cgi.fix_pathinfo影响，当其为0时，依旧解析，在Windows上有所限制。
修复建议
1. 设置security.limit_extensions = .php
2. 或升级Nginx
3.Nginx 配置错误导致漏洞（三个）
配置环境
docker+vulhub
cd vulhub/nginx/insecure-configuration
docker-compose up -d(1) CRLF注入漏洞
Nginx会将$uri进行解码，导致传入%0a%0d即可引入换行符，造成CRLF注入漏洞。
错误的配置文件示例（原本的目的是为了让http的请求跳转到https上）
抓个包
http://192.168.129.129/%0aX-XSS-Protection:%200%0a%0d%0a%0d%3Cimg%20src=1%20οnerrοr=alert(/xss/)%3E
配合xss
(2)目录穿越
漏洞原理
Nginx在配置别名（Alias）的时候，如果忘记加/，将造成一个目录穿越漏洞。
错误的配置文件示例（原本的目的是为了让用户访问到C:/WWW/home/目录下的文件）
location /files {
autoindex on;
alias c:/WWW/home/;
}可以穿越到根目录
(3) add_header被覆盖
漏洞原理
Nginx配置文件子块（server、location、if）中的
add_header，将会覆盖父块中的add_header添加的HTTP头，造成一些安全隐患。
正常访问时，scp头
因为/test2中的location中又添加了X-Content-Type-Options头，导致父块中的防止xss的csp头等add_header全部失效。
然后这里就可以执行xss了
再然后我没成功。。。
