91三级片,1024手机基地你懂的日韩人妻

您當(dāng)前所在位置：首頁(yè) → 操作系統(tǒng) → LINUX → nginx文件類(lèi)型錯(cuò)誤解析漏洞

nginx文件類(lèi)型錯(cuò)誤解析漏洞 時(shí)間：2015-06-28 00:00:00 來(lái)源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)

　　漏洞介紹：nginx是一款高性能的web服務(wù)器，使用非常廣泛，其不僅經(jīng)常被用作反向代理，也可以非常好的支持PHP的運(yùn)行。80sec發(fā)現(xiàn)其中存在一個(gè)較為嚴(yán)重的安全問(wèn)題，默認(rèn)情況下可能導(dǎo)致服務(wù)器錯(cuò)誤的將任何類(lèi)型的文件以PHP的方式進(jìn)行解析，這將導(dǎo)致嚴(yán)重的安全問(wèn)題，使得惡意的攻擊者可能攻陷支持php的nginx服務(wù)器。

　　漏洞分析：nginx默認(rèn)以cgi的方式支持php的運(yùn)行，譬如在配置文件當(dāng)中可以以

　　location ~ \.php$ {

　　root html;

　　fastcgi_pass 127.0.0.1:9000;

　　fastcgi_index index.php;

　　fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;

　　include fastcgi_params;

　　}

　　的方式支持對(duì)php的解析，location對(duì)請(qǐng)求進(jìn)行選擇的時(shí)候會(huì)使用URI環(huán)境變量進(jìn)行選擇，其中傳遞到后端Fastcgi的關(guān)鍵變量 SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定，而通過(guò)分析可以看到$fastcgi_script_name是直接由URI環(huán)境變量控制的，這里就是產(chǎn)生問(wèn)題的點(diǎn)。而為了較好的支持PATH_INFO的提取，在PHP 的配置選項(xiàng)里存在cgi.fix_pathinfo選項(xiàng)，其目的是為了從SCRIPT_FILENAME里取出真正的腳本名。

　　那么假設(shè)存在一個(gè)

　　將會(huì)得到一個(gè)URI

　　/80sec.jpg/80sec.php

　　經(jīng)過(guò)location指令，該請(qǐng)求將會(huì)交給后端的fastcgi處理，nginx為其設(shè)置環(huán)境變量SCRIPT_FILENAME，內(nèi)容為

　　/scripts/80sec.jpg/80sec.php

　　而在其他的webserver如lighttpd當(dāng)中，我們發(fā)現(xiàn)其中的SCRIPT_FILENAME被正確的設(shè)置為

　　/scripts/80sec.jpg

　　所以不存在此問(wèn)題。

　　后端的fastcgi在接受到該選項(xiàng)時(shí)，會(huì)根據(jù)fix_pathinfo配置決定是否對(duì)SCRIPT_FILENAME進(jìn)行額外的處理，一般情況下如果不對(duì)fix_pathinfo進(jìn)行設(shè)置將影響使用PATH_INFO進(jìn)行路由選擇的應(yīng)用，所以該選項(xiàng)一般配置開(kāi)啟。Php通過(guò)該選項(xiàng)之后將查找其中真正的腳本文件名字，查找的方式也是查看文件是否存在，這個(gè)時(shí)候?qū)⒎蛛x出SCRIPT_FILENAME和PATH_INFO分別為

　　/scripts/80sec.jpg和80sec.php

　　最后，以/scripts/80sec.jpg作為此次請(qǐng)求需要執(zhí)行的腳本，攻擊者就可以實(shí)現(xiàn)讓nginx以php來(lái)解析任何類(lèi)型的文件了。

　　POC：訪問(wèn)一個(gè)nginx來(lái)支持php的站點(diǎn)，在一個(gè)任何資源的文件如robots.txt后面加上/80sec.php，這個(gè)時(shí)候你可以看到如下的區(qū)別：

　　訪問(wèn)http://www.80sec.com/robots.txt

　　HTTP/1.1 200 OK

　　Server: nginx/0.6.32

　　Date: Thu, 20 May 2010 10:05:30 GMT

　　Content-Type: text/plain

　　Content-Length: 18

　　Last-Modified: Thu, 20 May 2010 06:26:34 GMT

　　Connection: keep-alive

　　Keep-Alive: timeout=20

　　Accept-Ranges: bytes

　　訪問(wèn)訪問(wèn)http://www.80sec.com/robots.txt/80sec.php

　　HTTP/1.1 200 OK

　　Server: nginx/0.6.32

　　Date: Thu, 20 May 2010 10:06:49 GMT

　　Content-Type: text/html

　　Transfer-Encoding: chunked

　　Connection: keep-alive

　　Keep-Alive: timeout=20

　　X-Powered-By: PHP/5.2.6

　　其中的Content-Type的變化說(shuō)明了后端負(fù)責(zé)解析的變化，該站點(diǎn)就可能存在漏洞。

　　漏洞廠商：http://www.nginx.org

　　解決方案：

　　我們已經(jīng)嘗試聯(lián)系官方，但是此前你可以通過(guò)以下的方式來(lái)減少損失

　　關(guān)閉cgi.fix_pathinfo為0

　　或者

　　if ( $fastcgi_script_name ~ \..*\/.*php ) {

　　return 403;

　　}

關(guān)鍵詞標(biāo)簽：nginx,解析漏洞,文件類(lèi)

相關(guān)閱讀

文章評(píng)論

查看所有0條評(píng)論>>