常见中间件漏洞的总结

Posted 白冷

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了常见中间件漏洞的总结相关的知识,希望对你有一定的参考价值。

(一) IIS(php中间件)
1、IIS 6 解析漏洞
2、IIS 7 解析漏洞
3、PUT任意文件写入漏洞
4、IIS短文件名漏洞
5、IIS溢出漏洞
6、HTTP.SYS远程代码执行(MS15-034)

(二) Apache(php中间件)
1、AddHandler解析漏洞
2、APache HTTPD换行解析漏洞(CVE-2017-15715)
3、未知扩展名解析漏洞
4、目录遍历

(三) nginx(php中间件)
1、配置文件错误导致的解析漏洞
2、文件名逻辑漏洞(CVE-2013-4547)
3、目录遍历
4、CRLF注入
5、目录穿越

(四)Tomcat(java中间件)
1、任意文件写入(CVE-2017-12615)
2、远程代码执行(CVE-2019-0232)
3、弱口令+war后门文件部署

(五)jBoss
1、JBoss 5.x/6.x 反序列化漏洞(CVE-2017-12149)
2、JBoss JMXInvokerServlet 反序列化漏洞
3、JBoss EJBInvokerServlet 反序列化漏洞
4、JBoss <=4.x JBossMQ JMS 反序列化漏洞(CVE-2017-7504)
5、Administration Console 弱口令
6、JMX Console未授权访问

(六)WebLogic(java中间件)
1、反序列化漏洞(CVE-2017-10271 & CVE-2017-3506)
2、wls9_async_response,wls-wsat 反序列化远程代码执行漏洞(CVE-2019-2725)
3、WLS Core Components 反序列化命令执行漏洞(CVE-2018-2628)
4、任意文件上传漏洞(CVE-2018-2894)
5、SSRF漏洞 (CVE-2014-4210)
6、弱口令+后台部署war包getshell

Web中间件常见漏洞总结

一、IIS中间组件:

1、PUT漏洞

2、短文件名猜解

3、远程代码执行

4、解析漏洞

二、Apache中间组件:

1、解析漏洞

2、目录遍历

三、Nginx中间组件:

1、文件解析

2、目录遍历

3、CRLF注入

4、目录穿越

四、Tomcat中间组件:

1、远程代码执行

2、war后门文件部署

五、jBoss中间组件:

1、反序列化漏洞

2、war后门文件部署

六、WebLogic中间组件:

1、反序列化漏洞

2、SSRF

3、任意文件上传

4、war后门文件部署

七、其它中间件相关漏洞

1、FastCGI未授权访问、任意命令执行

2、PHPCGI远程代码执行

一、IIS解析漏洞:

IIS的安全脆弱性曾长时间被业内诟病,一旦IIS出现远程执行漏洞威胁将会非常严重。远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中,当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码,可以导致IIS服务器所在机器蓝屏或读取其内存中的机密数据.

PUT漏洞介绍及成因:

IIS Server在Web服务扩展中开启WebDAV ,配置了可以写入权限,造成任意文件上传,受影响版本:IIS6.0,漏洞复现:开启WebDAV和写入权限.
 
技术图片
图片发自简书App

 

 
技术图片
图片发自简书App

利用BurpSute测试:

BurpSute抓包,将GET请求改为OPTIONS.
 
技术图片
图片发自简书App

利用桂林老兵写入权限:

 
技术图片
图片发自简书App

成功上传,再上传一句话木马,然后用菜刀连接,获取getshell:

 
技术图片
图片发自简书App
PUT漏洞修复:关闭WebDAV和写入权限.

二、短文件名猜解漏洞介绍及成因:

IIS的短文件名机制,可以暴力猜解短文件名,访问构造的某个存在的短文件名,会返回404,访问构造的某个不存在的短文件名,返回400,漏洞复现:在网站根目录下添加aaaaaaaaaa.html文件:
 
技术图片
图片发自简书App

进行猜解:

 
技术图片
图片发自简书App

 

 
技术图片
图片发自简书App
漏洞修复:1.升级.net framework;2.修改注册表禁用短文件名功能;3.快捷键Win+R打开命令窗口,输入regedit打开注册表窗口,找到路径:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlFileSystem,将其中NtfsDisable8dot3NameCreation这一项的值设为 1,1代表不创建短文件名格式,修改完成后,需要重启系统生效;4.CMD关闭NTFS 8.3文件格式支持;5.将web文件夹的内容拷贝到另一个位置,如c:www到d:w,然后删除原文件夹,再重命名d:w到c:www,如图:
 
技术图片
图片发自简书App

三、远程代码执行漏洞介绍及成因:

在IIS6.0处理PROPFIND指令的时候,由于对url的长度没有进行有效的长度控制和检查,导致执行memcpy对虚拟路径进行构造的时候,引发栈溢出,从而导致远程代码执行,漏洞复现:漏洞环境搭建:在Windows server 2003 r2 32位上安装iis6.0,触发漏洞:在本地执行exp,exp如下:

 

 
技术图片
图片发自简书App

执行成功后,服务器端弹出计算器:

 
技术图片
图片发自简书App
短文件名猜解漏洞漏洞修复:1.关闭WebDAV服务;2.使用相关防护设备.

四、解析漏洞介绍及成因:

IIS 6.0在处理含有特殊符号的文件路径时会出现逻辑错误,从而造成文件解析漏洞,漏洞有两种完全不同的利用方式:

/test.asp/test.jpg

test.asp;.jpg

漏洞复现:利用方式1:

第一种是新建名为 “test.asp”目录,该目录中的任何文件都被IIS当作asp程序执行,特殊符号是 “/”:
 
技术图片
图片发自简书App
利用方式2:第二种是上传名为 “test.asp;.jpg” 的文件,虽然该文件真正的后缀名是 “.jpg”, 但由于含有特殊符号 “;” ,仍会被 IIS 当做asp程序执行:
 
技术图片
图片发自简书App

IIS7.5 文件解析漏洞:

test.jpg/.php

注:URL中文件后缀是 .php ,便无论该文件是否存在,都直接交给 php 处理,而 php 又默认开启 “cgi.fix_pathinfo”, 会对文件进行 “ 修理 ” ,可谓 “ 修理 ” ?举个例子,当 php 遇到路径 “/aaa.xxx/bbb.yyy” 时,若 “/aaa.xxx/bbb.yyy” 不存在,则会去掉最后的 “bbb.yyy” ,然后判断 “/aaa.xxx” 是否存在,若存在,则把 “/aaa.xxx” 当作文件,若有文件 test.jpg ,访问时在其后加 /.php ,便可以把 “test.jpg/.php” 交给 php , php 修理文件路径 “test.jpg/.php” 得到 ”test.jpg” ,该文件存在,便把该文件作为 php 程序执行。
文件解析漏洞修复:1.对新建目录文件名进行过滤,不允许新建包含‘.’的文件;2.曲线网站后台新建目录的功能,不允许新建目录;3.限制上传的脚本执行权限,不允许执行脚本;4.过滤.asp/xm.jpg,通过ISApi组件过滤

三、 Apache解析漏洞介绍及成因:

Apache文件解析漏洞与用户的配置有密切关系,严格来说属于用户配置问题。,Apache文件解析漏洞涉及到一个解析文件的特性:Apache默认一个文件可以有多个以点分隔的后缀,当右边的后缀无法识别,不在mime.tyoes内,则继续向左识别,当请求这样一个文件:shell.xxx.yyy

yyy->无法识别,向左

xxx->无法识别,向左

php->发现后缀是php,交给php处理这个文件,漏洞复现:上传一个后缀名为360的php文件:
 
技术图片
图片发自简书App
Apache解析漏洞修复:将AddHandler application/x-httpd-php .php配置文件删除.

目录遍历漏洞介绍及成因:

由于配置错误导致的目录遍历,漏洞复现:
 
技术图片
图片发自简书App

Apache目录遍历漏洞修复:

修改apache配置文件httpd.conf,找到Options+Indexes+FollowSymLinks +ExecCGI并修改成 Options-Indexes+FollowSymLinks +ExecCGI 并保存:
 
技术图片
图片发自简书App
 
技术图片
图片发自简书App

四、 Nginx文件解析漏洞介绍及成因:

对任意文件名,在后面添加/任意文件名.php的解析漏洞,比如原本文件名是test.jpg,可以添加test.jpg/x.php进行解析攻击,漏洞复现:在网站根目录下新建一个i.gif的文件,在里面写入phpinfo(),在浏览器中打开测试:
 
技术图片
图片发自简书App
利用文件解析漏洞,输入192.168.139.129:100/i.gif.2.php,发现无法解析:
 
技术图片
图片发自简书App

将/etc/php5/fpm/pool.d/www.conf中security.limit_extensions = .php中.php删除:

 
技术图片
图片发自简书App

再次在浏览器中打开,成功解析:

 
技术图片
图片发自简书App
Nginx文件解析漏洞修复:1.将php.ini文件中的cgi.fix_pathinfo的值设为0.这样php在解析1.php/1.jpg这样的目录时,只要1.jpg不存在就会显示404;2.将/etc/php5/fpm/pool.d/www.conf中security.limit_ectensions后面的值设为.php.

目录遍历漏洞简介及成因:

Nginx目录遍历与Apache一样,属于配置方面的问题,错误的配置可到导致目录遍历与源码泄露,漏洞复现:打开test目录,发现无法打开:
 
技术图片
图片发自简书App

修改/etc/nginx/sites-avaliable/default,在如下图所示的位置添加autoindex on/:

 
技术图片
图片发自简书App

再次访问:

 
技术图片
图片发自简书App
Nginx目录漏洞修复:将/etc/nginx/sites-avaliable/default里的autoindex on改为autoindex off.

CRLF注入漏洞简介及成因:

CRLF时“回车+换行”( )键的简称,HTTP Header与HTTP Body时用两个CRLF分隔的,浏览器根据两个CRLF来取出HTTP内容并显示出来,通过控制HTTP消息头中的字符,注入恶意换行,就能注入一些会话cookie或者html代码,由于Nginx配置不正确,导致注入的代码会被执行,漏洞复现:访问页面,Brup抓包,请求加上:/%0d%0a%0d%0a<img src=1 onerror=alert(/xss/)>,由于页面重定向,并没有弹窗:
 
技术图片
图片发自简书App
CRLF注入漏洞修复:Nginx的配置文件/etc/nginx/conf.d/error1.conf修改为使用不解码的url跳转.

五、目录穿越漏洞简介及成因:

Nginx反向代理,静态文件存储在/home/下,而访问时需要在url中输入files,配置文件中/files没有用/闭合,导致可以穿越至上层目录,漏洞复现,访问:http://192.168.139.128:8081/files/
 
技术图片
图片发自简书App

目录穿越漏洞,访问:http://192.168.139.128:8081/files../,成功实现目录穿越:

 
技术图片
图片发自简书App
目录穿越漏洞修复:Nginx配置文件/etc/nginx/conf.d/error2.conf的/files使用/闭合.

五、 Tomcat远程代码执行漏洞简介及成因:

Tomcat运行在Windows主机上,且启用了 HTTP PUT请求方法,可通过构造的攻击请求向服务器上传包含任意代码JSP文件,造成任意代码执行,受影响版本:Apache Tomcat 7.0.0 – 7.0.81,漏洞复现:配置漏洞,开启put方法可上传文件功能,Tomcat文件夹下的/conf/web.xml文件插入:

<init-param>

          <param-name>readonly</param-name>

          <param-value>false</param-value>

    </init-param>

重启Tomcat服务:

 
技术图片
图片发自简书App
注:访问127.0.0.1:8080,BurpSute抓包,send to Repeater选项重放模块,将请求方式改为PUT,创建一个122.jsp,并用%20转义空格字符,123.jsp代码:

<%Runtime.getRuntime().exec(request.getParameter("cmd"));%>

返回201,说明创建成功:

 
技术图片
图片发自简书App

访问127.0.0.1:8080/122.jsp?cmd=calc,弹出计算器:

 
技术图片
图片发自简书App
Tomcat远程代码执行漏洞修复:1.检测当前版本是否在影响范围内,并禁用PUT方法;2.更新并升级至最新版.

War后门文件部署漏洞简介及成因:

Tomcat支持在后台部署war文件,可以直接将webshell部署到web目录下,若后台管理页面存在弱口令,则可以通过爆破获取密码,漏洞复现:Tomcat安装目录conf.tomcat-users.xml配置如下:
 
技术图片
图片发自简书App

访问后台,登陆:

 
技术图片
图片发自简书App

上传一个war包jsp后门:

 
技术图片
图片发自简书App

成功上传并解析,打开:

 
技术图片
图片发自简书App

可执行系统命令:

 
技术图片
图片发自简书App
漏洞修复:1.在系统上以低权限运行Tomcat应用程序。创建一个专门的 Tomcat服务用户,该用户只能拥有一组最小权限,例如不允许远程登录;2.增加对于本地和基于证书的身份验证,部署账户锁定机制,对于集中式认证,目录服务也要做相应配置,在CATALINA_HOME/conf/web.xml文件设置锁定机制和时间超时限制;3.以及针对manager-gui/manager-status/manager-script等目录页面设置最小权限访问限制;4.后台管理避免弱口令.

六、 jBoss反序列化漏洞介绍及成因:

Java序列化,简而言之就是把java对象转化为字节序列的过程。而反序列话则是再把字节序列恢复为java对象的过程,然而就在这一转一变得过程中,程序员的过滤不严格,就可以导致恶意构造的代码的实现,漏洞复现:靶机启动jboss,攻击机访问靶机服务:
 
技术图片
图片发自简书App

访问/invoker/readonly,返回500,说明页面存在,此页面有反序列化漏洞:

 
技术图片
图片发自简书App

BrupSute抓包:

 
技术图片
图片发自简书App

改包,修改POST payload.bin中数据:

 
技术图片
图片发自简书App

 
技术图片
图片发自简书App

查看靶机,弹出计算器:

 
技术图片
图片发自简书App
漏洞修复:1.不需要http-invoker.sar 组件的用户可直接删除此组件;2.用于对httpinvoker组件进行访问控制.

War后门文件部署漏洞介绍及成因:

jBoss后台管理页面存在弱口令,通过爆破获得账号密码,登陆后台上传包含后门war包,漏洞复现:
 
技术图片
图片发自简书App

 
技术图片
图片发自简书App

点击Web Application(war)s:

 
技术图片
图片发自简书App

点击add a new resource:

 
技术图片
图片发自简书App

选择一个war包上传,上传后进入该war包,点击start:

 
技术图片
图片发自简书App

查看status为sucessful:

 
技术图片
图片发自简书App

访问该war包页面,进入后门,可进行文件管理和系统命令执行:

 
技术图片
图片发自简书App
 
技术图片
图片发自简书App

七、 WebLogic反序列化漏洞简介及成因:

Java序列化,简而言之就是把java对象转化为字节序列的过程。而反序列话则是再把字节序列恢复为java对象的过程,然而就在这一转一变得过程中,程序员的过滤不严格,就可以导致恶意构造的代码的实现,漏洞复现使用vulhub实验环境,启动实验环境,访问靶机,抓包,修改数据包:
 
技术图片
图片发自简书App

Kali启动NC监听,发送数据包成功后,拿到shell:

 
技术图片
图片发自简书App
WebLogic反序列化漏洞修复:1.升级Oracle 10月份补丁;2.对访问wls-wsat的资源进行访问控制.

SSRF漏洞简介及成因:

Weblogic中存在一个SSRF漏洞,利用该漏洞可以发送任意HTTP请求,进而攻击内网中redis、fastcgi等脆弱组件,漏洞复现,使用vulhub实验环境,启动环境,访问:http://192.168.139.129:7001/uddiexplorer/SearchPublicRegistries.jsp:
 
技术图片
图片发自简书App

BurpSute抓包,修改请求:

 
技术图片
图片发自简书App

启动NC监听2222端口拿到Shell:

 
技术图片
图片发自简书App
SSRF漏洞修复:1.将SearchPublicRegistries.jsp直接删除;2.删除uddiexplorer文件夹、限制uddiexplorer应用只能内网访问;3.将weblogic安装目录wlserver_10.3/server/lib/uddiexplorer.war做好备份、将weblogic安装目录下的server/lib/uddiexplorer.war下载、用winrar等工具打开uddiexplorer.war、将其下的SearchPublicRegistries.jsp重命名为SearchPublicRegistries.jspx、保存后上传回服务端替换原先的uddiexplorer.war、对于多台主机组成的集群,针对每台主机都要做这样的操作、由于每个server的tmp目录下都有缓存所以修改后要彻底重启weblogic(即停应用–停server–停控制台–启控制台–启server–启应用).

任意文件上传漏洞简介及成因:

通过访问config.do配置页面,先更改Work Home工作目录,用有效的已部署的Web应用目录替换默认的存储JKS Keystores文件的目录,之后使用”添加Keystore设置”的功能,可上传恶意的JSP脚本文件,漏洞复现:打开访问链接:http://192.168.139.129:7001/ws_utc/config.do:
 
技术图片
图片发自简书App
注:设置Work Home Dir为`/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css`,然后点击安全 -> 增加,然后上传jsp大马,获取WebShell:
 
技术图片
图片发自简书App

上传后查看返回数据包,发现有时间戳:

 
技术图片
图片发自简书App

可以看到时间戳为1543145154632,访问http://192.168.139.129:7001/ws_utc/css/config/keystore/1543145154632_lele.jsp,可以进行文件管理、文件上传、系统命令执行:

 
技术图片
图片发自简书App

尝试以下执行系统命令:

 
技术图片
图片发自简书App
任意文件上传漏洞修复:1.使用Oracle官方通告中补丁链接:http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html;https://support.oracle.com/rs?type=doc&id=2394520.1;2:进入Weblogic Server管理控制台,domain设置中,启用”生产模式” .

War后门文件部署漏洞简介及成因:

由于WebLogic后台存在弱口令,可直接登陆后台上传包含后门的war包,漏洞复现:访问http://192.168.139.129:7001/console

 

 
技术图片
图片发自简书App

使用弱口令登陆至后台,点击锁定并编辑:

 
技术图片
图片发自简书App

选择部署,进一步点击右边安装:

 
技术图片
图片发自简书App

点击上传文件-进入文件上传界面,选择要上传的war包:

 
技术图片
图片发自简书App

进入下一步,选择对应的war包进行部署,下一步下一步直至完成:

 
技术图片
图片发自简书App

 

 
技术图片
图片发自简书App

 

 
技术图片
图片发自简书App

点击激活更改:

 
技术图片
图片发自简书App

启动上传war包所生成的服务:

 
技术图片
图片发自简书App

获取WebShell:

 
技术图片
图片发自简书App
War后门文件部署漏洞修复:防火墙设置端口过滤,也可以设置只允许访问后台的IP列表,避免后台弱口令.

八、 FastCGI未授权访问、任意命令执行漏洞简介及成因:

服务端使用fastcgi协议并对外网开放9000端口,可以构造fastcgi协议包内容,实现未授权访问服务端.php文件以及执行任意命令,

漏洞复现:使用vulhub实验环境,启动实验环境,python fpm.py 192.168.237.136 /etc/passwd:

 
技术图片
图片发自简书App
注:由于访问非*.PHP文件,所以返回结果403,使用命令执行一个默认存在PHP文件,命令:
python fpm.py 192.168.237.136 /usr/local/lib/php/PEAR.php
 
技术图片
图片发自简书App

利用命令进行任意命令执行复现:

python fpm.py 192.168.139.129 /usr/local/lib/php/PEAR.php-c ‘<?php echo `pwd`; ?>‘
python fpm.py 192.168.139.129 /usr/local/lib/php/PEAR.php-c ‘<?php echo `ifconfig`; ?>‘
python fpm.py 192.168.139.129 /usr/local/lib/php/PEAR.php-c ‘<?php echo `ls`; ?>‘
 
技术图片
图片发自简书App
FastCGI未授权访问、任意命令执行漏洞修复:更改默认端口.

PHPCGI远程代码执行漏洞简介及成因:

在Apache调用php解释器解释.php文件时,会将url参数传我给php解释器,如果在url后加传命令行开关(例如-s、-d 、-c或-dauto_prepend_file%3d/etc/passwd+-n)等参数时,会导致源代码泄露和任意代码执行,此漏洞影响php-5.3.12以前的版本,mod方式、fpm方式不受影响.

漏洞复现:使用vulhub实验环境,启动环境,访问http://192.168.139.129:8080/index.php:

 
技术图片
图片发自简书App

BrupSute抓包,修改包:

 
技术图片
图片发自简书App
PHPCGI远程代码执行漏洞修复:1.升级php版本;2.在apache上做文章,开启url过滤,把危险的命令行参数给过滤掉,由于这种方法修补比较简单,具体方案:修改http.conf文件,找到<Directory/>增加以下三行

RewriteEngine on

RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]

RewriteRule ^(.*) $1? [L]

注:重启Apache服务即可,但是要考虑到,相当于每次request就要进行一次url过滤,如果访问量大的话,可能会增加Apache服务负担.

3.打上PHP补丁,补丁下载地址:

https://eindbazen.net/2012/05/php-cgi-advisory-cve-2012-1823/.


作者:强大技术
链接:https://www.jianshu.com/p/b8d95de87344
来源:简书
著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。

以上是关于常见中间件漏洞的总结的主要内容,如果未能解决你的问题,请参考以下文章

文库 | web中常见中间件漏洞总结

WEB中间件及常见安全漏洞原理汇聚

WEB中间件常见漏洞总结

Web中间件常见漏洞总结

Web中间件常见漏洞总结

文库 | Web中常见中间件漏洞总结