nginx解析漏洞

Posted 2023-04-23 wd404

Nginx漏洞复现与总结 – FreeBuf网络安全行业门户

1、文件解析漏洞

描述：对于任意文件名，在后面添加/xxx.php后，即可作为php解析

影响范围：该漏洞是nginx配置所导致，与版本无关。

按照：phpStudy默认配置Nginx解析漏洞-漏洞复现/渗透测试/网络安全/信息安全/黑客技术-东塔网络安全学院_哔哩哔哩_bilibili，进行，出现无法复现。

• 制作图片码
• 上传图片码到服务器下
• 访问图片码文件/1.php

视频中：phpstudy8.1.0.7，nginx1.15.11

当前版本：phpstudy8.1.1.3，nginx1.15.11

尝试将图片码文件上传到云服务器中。访问也是拒绝：

• nginx version: nginx/1.23.1

其他博客，有提到是因为错误的配置，参考如下，但配置之后重启nginx报错：

location ~ \\.php(.*)$
  fastcgi_pass 127.0.0.1:9000;
  fastcgi_index index.php;
  fastcgi_split_path_info ^((?U).+\\.php)(/?.+)$;
  fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  fastcgi_param PATH_INFO $fastcgi_path_info;
  fastcgi_param PATH_TRANSLATED $document_root$fastcgi_path_info;
  include fastcgi_params;

 

nginx解析漏洞复现

nginx解析漏洞复现

一、漏洞描述

该漏洞与nginx、php版本无关,属于用户配置不当造成的解析漏洞

二、漏洞原理

1、 由于nginx.conf的如下配置导致nginx把以’.php’结尾的文件交给fastcgi处理,为此可以构造http://ip/uploadfiles/test.png/.php (url结尾不一定是‘.php’,任何服务器端不存在的php文件均可,比如’a.php’),其中test.png是我们上传的包含PHP代码的照片文件。

　　

2、但是fastcgi在处理’.php’文件时发现文件并不存在,这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径。为此这里交由fastcgi处理的文件就变成了’/test.png’。

3、 最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析),此项设置为空的时候才允许fastcgi将’.png’等文件当做代码解析。

　　

注:限制fpm允许解析的脚本扩展名。此设置可以预防web服务器配置的错误。应当限制fpm仅仅解析.php扩展名,阻止恶意用户使用其他扩展名运行php代码。默认值:.php

三、漏洞环境搭建和复现

1、 使用docker搭建漏洞环境

2、 执行如下命令,运行环境

docker-compose up -d

3、 浏览器访问http://172.17.0.1/

　　

4、上传一个图片,burp抓包,修改数据包,在末尾添加<?php phpinfo();?>

　　

5、浏览器访问http://172.17.0.1/uploadfiles/3626850d481efd38a8ae8164011f41b2.jpg/a.php

下图看到成功执行了php代码,说明存在解析漏洞

　　

6、修改php-fpm.conf的配置文件

　　

7、重启服务

docker-compose restart

　　

8、浏览器再次访问http://172.17.0.1/uploadfiles/b5f7a062d84869fe4f3af35b79fca50c.jpg/x.php,发现被拒绝,说明漏洞被修复

　　

四、漏洞防御

1、 将php.ini文件中的cgi.fix_pathinfo的值设置为0,这样php再解析1.php/1.jpg这样的目录时,只要1.jpg不存在就会显示404页面

2、 php-fpm.conf中的security.limit_extensions后面的值设置为.php