搜索

[13786] 2019-02-22_Web中间件常见漏洞总结

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-02-22_Web中间件常见漏洞总结 W e b 中 间 件 常 见 漏 洞 总 结 原 创   n i n g j i n g   F r e e B u f   2 0 1 9 - 0 2 - 2 2 一 、 一 、   常 见 常 见 w e b 中 间 件 及 其 漏 洞 概 述 中 间 件 及 其 漏 洞 概 述 （ 一 ） （ 一 ）   I I S 1 、 P U T 漏 洞 2 、 短 文 件 名 猜 解 3 、 远 程 代 码 执 行 4 、 解 析 漏 洞 （ 二 ） （ 二 ）   A p a c h e 1 、 解 析 漏 洞 2 、 目 录 遍 历 （ 三 ） （ 三 ）   N g i n x 1 、 文 件 解 析 2 、 目 录 遍 历 3 、 C R L F 注 入 4 、 目 录 穿 越 （ 四 ） （ 四 ） T o m c a t 1 、 远 程 代 码 执 行 2 、 w a r 后 门 文 件 部 署 （ 五 ） （ 五 ） j B o s s 1 、 反 序 列 化 漏 洞 2 、 w a r 后 门 文 件 部 署 （ 六 ） （ 六 ） W e b L o g i c 1 、 反 序 列 化 漏 洞 2 、 S S R F 3 、 任 意 文 件 上 传 4 、 w a r 后 门 文 件 部 署 （ 七 ） 其 它 中 间 件 相 关 漏 洞 （ 七 ） 其 它 中 间 件 相 关 漏 洞 1 、 F a s t C G I 未 授 权 访 问 、 任 意 命 令 执 行 2 、 P H P C G I 远 程 代 码 执 行 二 、 二 、   I I S 漏 洞 分 析 漏 洞 分 析 （ 一 ） （ 一 ）   I I S 简 介 简 介
I I S 是 I n t e r n e t   I n f o r m a t i o n   S e r v i c e s 的 缩 写 ， 意 为 互 联 网 信 息 服 务 ， 是 由 微 软 公 司 提 供 的 基 于 运 行 M i c r o s o f t   W i n d o w s 的 互 联 网 基 本 服 务 。 最 初 是 W i n d o w s   N T 版 本 的 可 选 包 ， 随 后 内 置 在 W i n d o w s   2 0 0 0 、 W i n d o w s   X P   P r o f e s s i o n a l 和 W i n d o w s   S e r v e r   2 0 0 3 一 起 发 行 ， 但 在 W i n d o w s   X P   H o m e 版 本 上 并 没 有 I I S 。 I I S 是 一 种 W e b （ 网 页 ） 服 务 组 件 ， 其 中 包 括 W e b 服 务 器 、 F T P 服 务 器 、 N N T P 服 务 器 和 S M T P 服 务 器 ， 分 别 用 于 网 页 浏 览 、 文 件 传 输 、 新 闻 服 务 和 邮 件 发 送 等 方 面 ， 它 使 得 在 网 络 （ 包 括 互 联 网 和 局 域 网 ） 上 发 布 信 息 成 了 一 件 很 容 易 的 事 。 I I S 的 安 全 脆 弱 性 曾 长 时 间 被 业 内 诟 病 ， 一 旦 I I S 出 现 远 程 执 行 漏 洞 威 胁 将 会 非 常 严 重 。 远 程 执 行 代 码 漏 洞 存 在 于   H T T P   协 议 堆 栈   ( H T T P . s y s ) 中 ， 当   H T T P . s y s   未 正 确 分 析 经 特 殊 设 计 的   H T T P   请 求 时 会 导 致 此 漏 洞 。 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 在 系 统 帐 户 的 上 下 文 中 执 行 任 意 代 码 ， 可 以 导 致 I I S 服 务 器 所 在 机 器 蓝 屏 或 读 取 其 内 存 中 的 机 密 数 据 （ 二 ） （ 二 ）   P U T 漏 洞 漏 洞 1 、 漏 洞 介 绍 及 成 因 、 漏 洞 介 绍 及 成 因 I I S   S e r v e r   在   W e b   服 务 扩 展 中 开 启 了   W e b D A V   ， 配 置 了 可 以 写 入 的 权 限 ， 造 成 任 意 文 件 上 传 。 版 本 ：   I I S 6 . 0 2 、 漏 洞 复 现 、 漏 洞 复 现 1 ）   开 启 W e b D A V   和 写 权 限 2 ）   利 用 b u r p 测 试 抓 包 ， 将 G E T 请 求 改 为 O P T I O N S
3 ） 利 用 工 具 进 行 测 试 成 功 上 传 ， 再 上 传 一 句 话 木 马 ， 然 后 用 菜 刀 连 接 ， g e t s h e l l 3 、 漏 洞 修 复 、 漏 洞 修 复 关 闭 W e b D A V   和 写 权 限 （ 二 ） 短 文 件 名 猜 解 （ 二 ） 短 文 件 名 猜 解 1 、 漏 洞 介 绍 及 成 因 、 漏 洞 介 绍 及 成 因 I I S 的 短 文 件 名 机 制 ， 可 以 暴 力 猜 解 短 文 件 名 ， 访 问 构 造 的 某 个 存 在 的 短 文 件 名 ， 会 返 回 4 0 4 ， 访 问 构 造 的 某 个 不 存 在 的 短 文 件 名 ， 返 回 4 0 0 。 2 、 漏 洞 复 现 、 漏 洞 复 现 1 ） 、 在 网 站 根 目 录 下 添 加 a a a a a a a a a a . h t m l 文 件
3 ）   进 行 猜 解 3 、 漏 洞 修 复 、 漏 洞 修 复 修 复 方 法 ： 1 ） 升 级 . n e t   f r a m e w o r k 2 ） 修 改 注 册 表 禁 用 短 文 件 名 功 能 快 捷 键 W i n + R 打 开 命 令 窗 口 ， 输 入 r e g e d i t 打 开 注 册 表 窗 口 ， 找 到 路 径 ： H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l F i l e S y s t e m ， 将 其 中 的   N t f s D i s a b l e 8 d o t 3 N a m e C r e a t i o n 这 一 项 的 值 设 为 1 ， 1 代 表 不 创 建 短 文 件 名 格 式 ， 修 改 完 成 后 ， 需 要 重 启 系 统 生 效 3 ） C M D 关 闭 N T F S   8 . 3 文 件 格 式 的 支 持
4 ） 将 w e b 文 件 夹 的 内 容 拷 贝 到 另 一 个 位 置 ， 如 c : w w w 到 d : w , 然 后 删 除 原 文 件 夹 ， 再 重 命 名 d : w 到 c : w w w 。 修 复 后 ： 4 、 局 限 性 、 局 限 性 1 )   此 漏 洞 只 能 确 定 前 6 个 字 符 ， 如 果 后 面 的 字 符 太 长 、 包 含 特 殊 字 符 ， 很 难 猜 解 ； 2 )   如 果 文 件 名 本 身 太 短 （ 无 短 文 件 名 ） 也 是 无 法 猜 解 的 ； 3 )   如 果 文 件 名 前 6 位 带 空 格 ， 8 . 3 格 式 的 短 文 件 名 会 补 进 ， 和 真 实 文 件 名 不 匹 配 ； （ 三 ） （ 三 ）   远 程 代 码 执 行 远 程 代 码 执 行 1 、 、   漏 洞 介 绍 及 成 因 漏 洞 介 绍 及 成 因 在 I I S 6 . 0 处 理 P R O P F I N D 指 令 的 时 候 ， 由 于 对 u r l 的 长 度 没 有 进 行 有 效 的 长 度 控 制 和 检 查 ， 导 致 执 行 m e m c p y 对 虚 拟 路 径 进 行 构 造 的 时 候 ， 引 发 栈 溢 出 ， 从 而 导 致 远 程 代 码 执 行 。 2 、 、   漏 洞 复 现 漏 洞 复 现 1 ） 漏 洞 环 境 搭 建 在 w i n d o w s   s e r v e r   2 0 0 3   r 2   3 2 位 上 安 装 i i s 6 . 0 2 ）   触 发 漏 洞 在 本 地 执 行 e x p ， e x p 如 下 执 行 成 功 后 ， 服 务 器 端 弹 出 计 算 器 ： 3 、 、   漏 洞 修 复 漏 洞 修 复 1 ） 关 闭   W e b D A V   服 务 2 ）   使 用 相 关 防 护 设 备
（ 四 ） （ 四 ）   解 析 漏 洞 解 析 漏 洞 1 、 、   漏 洞 介 绍 及 成 因 漏 洞 介 绍 及 成 因 I I S   6 . 0   在 处 理 含 有 特 殊 符 号 的 文 件 路 径 时 会 出 现 逻 辑 错 误 ， 从 而 造 成 文 件 解 析 漏 洞 。 这 一 漏 洞 有 两 种 完 全 不 同 的 利 用 方 式 ： 2 、 漏 洞 复 现 、 漏 洞 复 现 利 用 方 式   1 第 一 种 是 新 建 一 个 名 为   “ t e s t . a s p ”   的 目 录 ， 该 目 录 中 的 任 何 文 件 都 被   I I S   当 作   a s p   程 序 执 行 （ 特 殊 符 号 是   “ / ”   ） 利 用 方 式   2 第 二 种 是 上 传 名 为   “ t e s t . a s p ; . j p g ”   的 文 件 ， 虽 然 该 文 件 真 正 的 后 缀 名 是   “ . j p g ” ,   但 由 于 含 有 特 殊 符 号   “ ; ”   ， 仍 会 被   I I S   当 做   a s p   程 序 执 行 I I S 7 . 5   文 件 解 析 漏 洞 U R L   中 文 件 后 缀 是   . p h p   ， 便 无 论 该 文 件 是 否 存 在 ， 都 直 接 交 给   p h p   处 理 ， 而   p h p   又 默 认 开 启   “ c g i . f i x _ p a t h i n f o ” ,   会 对 文 件 进 行   “   修 理   ”   ， 可 谓   “   修 理   ”   ？ 举 个 例 子 ， 当   p h p   遇 到 路 径   “ / a a a . x x x / b b b . y y y ”   时 ， 若   “ / a a a . x x x / b b b . y y y ”   不 存 在 ， 则 会 去 掉 最 后 的   “ b b b . y y y ”   ， 然 后 判 断 “ / a a a . x x x ”   是 否 存 在 ， 若 存 在 ， 则 把   “ / a a a . x x x ”   当 作 文 件 。 若 有 文 件   t e s t . j p g   ， 访 问 时 在 其 后 加   / . p h p   ， 便 可 以 把   “ t e s t . j p g / . p h p ”   交 给   p h p   ，   p h p   修 理 文 件 路 径   “ t e s t . j p g / . p h p ”   得 到   ” t e s t . j p g ”   ， 该 文 件 存 在 ， 便 把 该 文 件 作 为   p h p   程 序 执 行 了 。 3 、 、   漏 洞 修 复 漏 洞 修 复 1 ） 对 新 建 目 录 文 件 名 进 行 过 滤 ， 不 允 许 新 建 包 含 ‘ . ’ 的 文 件 2 ） 曲 线 网 站 后 台 新 建 目 录 的 功 能 ， 不 允 许 新 建 目 录 3 ） 限 制 上 传 的 脚 本 执 行 权 限 ， 不 允 许 执 行 脚 本 4 ） 过 滤 . a s p / x m . j p g ， 通 过 I S A p i 组 件 过 滤 三 、 三 、   A p a c h e 漏 洞 分 析 漏 洞 分 析 （ 一 ） （ 一 ）   A p a c h e 简 介 简 介 A p a c h e   是 世 界 使 用 排 名 第 一 的 W e b   服 务 器 软 件 。 它 可 以 运 行 在 几 乎 所 有 广 泛 使 用 的   计 算 机 平 台 上 ， 由 于 其   跨 平 台   和 安 全 性 被 广 泛 使 用 ， 是 最 流 行 的 W e b 服 务 器 端 软 件 之 一 。 它 快 速 、 可 靠 并 且 可 通 过 简 单 的 A P I 扩 充 ， 将   P e r l /   P y t h o n 等   解 释 器 编 译 到 服 务 器 中 。 （ 二 ） （ 二 ）   解 析 漏 洞 解 析 漏 洞 1 、 、   漏 洞 介 绍 及 成 因 漏 洞 介 绍 及 成 因 A p a c h e 文 件 解 析 漏 洞 与 用 户 的 配 置 有 密 切 关 系 ， 严 格 来 说 属 于 用 户 配 置 问 题 。 A p a c h e 文 件 解 析 漏 洞 涉 及 到 一 个 解 析 文 件 的 特 性 ： A p a c h e 默 认 一 个 文 件 可 以 有 多 个 以 点 分 隔 的 后 缀 ， 当 右 边 的 后 缀 无 法 识 别 （ 不 在 m i m e . t y o e s 内 ） ， 则 继 续 向 左 识 别 ， 当 我 们 请 求 这 样 一 个 文 / t e s t . a s p / t e s t . j p g t e s t . a s p ; . j p g t e s t . j p g / . p h p
件 ： s h e l l . x x x . y y y p h p - > 发 现 后 缀 是 p h p ， 交 给 p h p 处 理 这 个 文 件 2 、 、   漏 洞 复 现 漏 洞 复 现 上 传 一 个 后 缀 名 为 3 6 0 的 p h p 文 件 3 、 、   漏 洞 修 复 漏 洞 修 复 将 A d d H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p   . p h p 的 配 置 文 件 删 除 。 （ 三 ） （ 三 ）   目 录 遍 历 目 录 遍 历 1 、 、   漏 洞 介 绍 及 成 因 漏 洞 介 绍 及 成 因 由 于 配 置 错 误 导 致 的 目 录 遍 历 2 、 、   漏 洞 复 现 漏 洞 复 现 3 、 、   漏 洞 修 复 漏 洞 修 复 修 改 a p a c h e 配 置 文 件 h t t p d . c o n f 找 到 O p t i o n s + I n d e x e s + F o l l o w S y m L i n k s   + E x e c C G I 并 修 改 成   O p t i o n s - I n d e x e s + F o l l o w S y m L i n k s   + E x e c C G I   并 保 存 ； y y y - > 无 法 识 别 ， 向 左 x x x - > 无 法 识 别 ， 向 左
四 、 四 、   N g i n x 漏 洞 分 析 漏 洞 分 析 （ 一 ） （ 一 ）   N g i n x 简 介 简 介 N g i n x   是 一 款   轻 量 级 的   W e b   服 务 器 、   反 向 代 理   服 务 器 及   电 子 邮 件 （ I M A P / P O P 3 ） 代 理 服 务 器 ， 并 在 一 个 B S D - l i k e   协 议 下 发 行 。 其 特 点 是 占 有 内 存 少 ，   并 发 能 力 强 ， 事 实 上 n g i n x 的 并 发 能 力 确 实 在 同 类 型 的 网 页 服 务 器 中 表 现 较 好 （ 二 ） 文 件 解 析 （ 二 ） 文 件 解 析 1 、 、   漏 洞 介 绍 及 成 因 漏 洞 介 绍 及 成 因 对 任 意 文 件 名 ， 在 后 面 添 加 / 任 意 文 件 名 . p h p 的 解 析 漏 洞 ， 比 如 原 本 文 件 名 是 t e s t . j p g ， 可 以 添 加 t e s t . j p g / x . p h p 进 行 解 析 攻 击 。 2 、 、   漏 洞 复 现 漏 洞 复 现 在 网 站 根 目 录 下 新 建 一 个 i . g i f 的 文 件 ， 在 里 面 写 入 p h p i n f o ( ) 在 浏 览 器 中 打 开 利 用 文 件 解 析 漏 洞 ， 输 入 1 9 2 . 1 6 8 . 1 3 9 . 1 2 9 : 1 0 0 / i . g i f . 2 . p h p , 发 现 无 法 解 析 将 / e t c / p h p 5 / f p m / p o o l . d / w w w . c o n f 中 s e c u r i t y . l i m i t _ e x t e n s i o n s   =   . p h p 中 的 . p h p 删 除
再 次 在 浏 览 器 中 打 开 ， 成 功 解 析 3 、 、   漏 洞 修 复 漏 洞 修 复 1 ）   将 p h p . i n i 文 件 中 的 c g i . f i x _ p a t h i n f o 的 值 设 为 0 . 这 样 p h p 在 解 析 1 . p h p / 1 . j p g 这 样 的 目 录 时 ， 只 要 1 . j p g 不 存 在 就 会 显 示 4 0 4 ； 2 ）   将 / e t c / p h p 5 / f p m / p o o l . d / w w w . c o n f 中 s e c u r i t y . l i m i t _ e c t e n s i o n s 后 面 的 值 设 为 . p h p （ 三 ） 目 录 遍 历 （ 三 ） 目 录 遍 历 1 、 、   漏 洞 简 介 及 成 因 漏 洞 简 介 及 成 因 N g i n x 的 目 录 遍 历 与 A p a c h e 一 样 ， 属 于 配 置 方 面 的 问 题 ， 错 误 的 配 置 可 到 导 致 目 录 遍 历 与 源 码 泄 露 。 2 、 、   漏 洞 复 现 漏 洞 复 现 打 开 t e s t 目 录 ， 发 现 无 法 打 开 修 改 / e t c / n g i n x / s i t e s - a v a l i a b l e / d e f a u l t ， 在 如 下 图 所 示 的 位 置 添 加 a u t o i n d e x   o n 。
再 次 访 问 3 、 、   漏 洞 修 复 漏 洞 修 复 将 / e t c / n g i n x / s i t e s - a v a l i a b l e / d e f a u l t 里 的 a u t o i n d e x   o n 改 为 a u t o i n d e x   o f f （ 四 ） （ 四 ）   C R L F 注 入 注 入 1 、 、   漏 洞 简 介 及 成 因 漏 洞 简 介 及 成 因 C R L F 时 “ 回 车 + 换 行 ” （ r n ） 的 简 称 。 H T T P   H e a d e r 与 H T T P   B o d y 时 用 两 个 C R L F 分 隔 的 ， 浏 览 器 根 据 两 个 C R L F 来 取 出 H T T P 内 容 并 显 示 出 来 。 通 过 控 制 H T T P 消 息 头 中 的 字 符 ， 注 入 一 些 恶 意 的 换 行 ， 就 能 注 入 一 些 会 话 c o o k i e 或 者 h t m l 代 码 ， 由 于 N g i n x 配 置 不 正 确 ， 导 致 注 入 的 代 码 会 被 执 行 。 2 、 、   漏 洞 复 现 漏 洞 复 现 访 问 页 面 ， 抓 包 请 求 加 上 / % 0 d % 0 a % 0 d % 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理