IT貓撲網(wǎng):您身邊最放心的安全下載站! 最新更新|軟件分類|軟件專題|手機(jī)版|論壇轉(zhuǎn)貼|軟件發(fā)布

您當(dāng)前所在位置: 首頁操作系統(tǒng)LINUX → nginx文件類型錯誤解析漏洞

nginx文件類型錯誤解析漏洞

時間:2015-06-28 00:00:00 來源:IT貓撲網(wǎng) 作者:網(wǎng)管聯(lián)盟 我要評論(0)

  漏洞介紹:nginx是一款高性能的web服務(wù)器,使用非常廣泛,其不僅經(jīng)常被用作反向代理,也可以非常好的支持PHP的運(yùn)行。80sec發(fā)現(xiàn)其中存在一個較為嚴(yán)重的安全問題,默認(rèn)情況下可能導(dǎo)致服務(wù)器錯誤的將任何類型的文件以PHP的方式進(jìn)行解析,這將導(dǎo)致嚴(yán)重的安全問題,使得惡意的攻擊者可能攻陷支持php的nginx服務(wù)器。

  漏洞分析:nginx默認(rèn)以cgi的方式支持php的運(yùn)行,譬如在配置文件當(dāng)中可以以

  location ~ \.php$ {

  root html;

  fastcgi_pass 127.0.0.1:9000;

  fastcgi_index index.php;

  fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;

  include fastcgi_params;

  }

  的方式支持對php的解析,location對請求進(jìn)行選擇的時候會使用URI環(huán)境變量進(jìn)行選擇,其中傳遞到后端Fastcgi的關(guān)鍵變量 SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定,而通過分析可以看到$fastcgi_script_name是直接由URI環(huán)境變量控制的,這里就是產(chǎn)生問題的點。而為了較好的支持PATH_INFO的提取,在PHP 的配置選項里存在cgi.fix_pathinfo選項,其目的是為了從SCRIPT_FILENAME里取出真正的腳本名。

  那么假設(shè)存在一個

  將會得到一個URI

  /80sec.jpg/80sec.php

  經(jīng)過location指令,該請求將會交給后端的fastcgi處理,nginx為其設(shè)置環(huán)境變量SCRIPT_FILENAME,內(nèi)容為

  /scripts/80sec.jpg/80sec.php

  而在其他的webserver如lighttpd當(dāng)中,我們發(fā)現(xiàn)其中的SCRIPT_FILENAME被正確的設(shè)置為

  /scripts/80sec.jpg

  所以不存在此問題。

  后端的fastcgi在接受到該選項時,會根據(jù)fix_pathinfo配置決定是否對SCRIPT_FILENAME進(jìn)行額外的處理,一般情況下如果不對fix_pathinfo進(jìn)行設(shè)置將影響使用PATH_INFO進(jìn)行路由選擇的應(yīng)用,所以該選項一般配置開啟。Php通過該選項之后將查找其中真正的腳本文件名字,查找的方式也是查看文件是否存在,這個時候?qū)⒎蛛x出SCRIPT_FILENAME和PATH_INFO分別為

  /scripts/80sec.jpg和80sec.php

  最后,以/scripts/80sec.jpg作為此次請求需要執(zhí)行的腳本,攻擊者就可以實現(xiàn)讓nginx以php來解析任何類型的文件了。

  POC: 訪問一個nginx來支持php的站點,在一個任何資源的文件如robots.txt后面加上/80sec.php,這個時候你可以看到如下的區(qū)別:

  訪問http://www.80sec.com/robots.txt

  HTTP/1.1 200 OK

  Server: nginx/0.6.32

  Date: Thu, 20 May 2010 10:05:30 GMT

  Content-Type: text/plain

  Content-Length: 18

  Last-Modified: Thu, 20 May 2010 06:26:34 GMT

  Connection: keep-alive

  Keep-Alive: timeout=20

  Accept-Ranges: bytes

  訪問訪問http://www.80sec.com/robots.txt/80sec.php

  HTTP/1.1 200 OK

  Server: nginx/0.6.32

  Date: Thu, 20 May 2010 10:06:49 GMT

  Content-Type: text/html

  Transfer-Encoding: chunked

  Connection: keep-alive

  Keep-Alive: timeout=20

  X-Powered-By: PHP/5.2.6

  其中的Content-Type的變化說明了后端負(fù)責(zé)解析的變化,該站點就可能存在漏洞。

  漏洞廠商:http://www.nginx.org

  解決方案:

  我們已經(jīng)嘗試聯(lián)系官方,但是此前你可以通過以下的方式來減少損失

  關(guān)閉cgi.fix_pathinfo為0

  或者

  if ( $fastcgi_script_name ~ \..*\/.*php ) {

  return 403;

  }

關(guān)鍵詞標(biāo)簽:nginx,解析漏洞,文件類

相關(guān)閱讀

文章評論
發(fā)表評論

熱門文章 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 Tomcat9.0如何安裝_Tomcat9.0環(huán)境變量配置方法 Tomcat9.0如何安裝_Tomcat9.0環(huán)境變量配置方法 多種操作系統(tǒng)NTP客戶端配置 多種操作系統(tǒng)NTP客戶端配置 Linux操作系統(tǒng)修改IP Linux操作系統(tǒng)修改IP

相關(guān)下載

    人氣排行 Linux下獲取CPUID、硬盤序列號與MAC地址 dmidecode命令查看內(nèi)存型號 linux tc實現(xiàn)ip流量限制 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 linux下解壓rar文件 lcx.exe、nc.exe、sc.exe入侵中的使用方法 Ubuntu linux 關(guān)機(jī)、重啟、注銷 命令 查看linux服務(wù)器硬盤IO讀寫負(fù)載