搜索

[20737] 2017-05-05_文件上传漏洞及解析漏洞总结

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-05-05_文件上传漏洞及解析漏洞总结 文 件 上 传 漏 洞 及 解 析 漏 洞 总 结 L e m o n S e c   2 0 1 7 - 0 5 - 0 5 文 件 上 传 漏 洞 是 指 用 户 上 传 了 一 个 可 执 行 的 脚 本 文 件 ， 并 通 过 此 脚 本 文 件 获 得 了 执 行 服 务 器 端 命 令 的 能 力 。 这 种 攻 击 方 式 是 最 为 直 接 和 有 效 的 ， “ 文 件 上 传 ” 本 身 没 有 问 题 ， 有 问 题 的 是 文 件 上 传 后 ， 服 务 器 怎 么 处 理 、 解 释 文 件 。 如 果 服 务 器 的 处 理 逻 辑 做 的 不 够 安 全 ， 则 会 导 致 严 重 的 后 果 。 文 件 上 传 后 导 致 的 常 见 安 全 问 题 一 般 有 : 1 ) 上 传 文 件 是 W e b 脚 本 语 言 ， 服 务 器 的 W e b 容 器 解 释 并 执 行 了 用 户 上 传 的 脚 本 ， 导 致 代 码 执 行 。 2 ) 上 传 文 件 是 F l a s h 的 策 略 文 件 c r o s s d o m a i n . x m l ， 黑 客 用 以 控 制 F l a s h 在 该 域 下 的 行 为 （ 其 他 通 过 类 似 方 式 控 制 策 略 文 件 的 情 况 类 似 ) ; 3 ) 上 传 文 件 是 病 毒 、 木 马 文 件 ， 黑 客 用 以 诱 骗 用 户 或 者 管 理 员 下 载 执 行 。 4 ) 上 传 文 件 是 钓 鱼 图 片 或 为 包 含 了 脚 本 的 图 片 ， 在 某 些 版 本 的 浏 览 器 中 会 被 作 为 脚 本 执 行 ， 被 用 于 钓 鱼 和 欺 诈 。   除 此 之 外 ， 还 有 一 些 不 常 见 的 利 用 方 法 ， 比 如 将 上 传 文 件 作 为 一 个 入 口 ， 溢 出 服 务 器 的 后 台 处 理 程 序 ， 如 图 片 解 析 模 块 ； 或 者 上 传 一 个 合 法 的 文 本 文 件 ， 其 内 容 包 含 了 P H P 脚 本 ， 再 通 过 " 本 地 文 件 包 含 漏 洞 ( L o c a l   F i l e   I n c l u d e ) " 执 行 此 脚 本 ； 等 等 。 要 完 成 这 个 攻 击 ， 要 满 足 以 下 几 个 条 件 : 首 先 ， 上 传 的 文 件 能 够 被 W e b 容 器 解 释 执 行 。 所 以 文 件 上 传 后 所 在 的 目 录 要 是 W e b 容 器 所 覆 盖 到 的 路 径 。 其 次 ， 用 户 能 够 从 W e b 上 访 问 这 个 文 件 。 如 果 文 件 上 传 了 ， 但 用 户 无 法 通 过 W e b 访 问 ， 或 者 无 法 得 到 W e b 容 器 解 释 这 个 脚 本 ， 那 么 也 不 能 称 之 为 漏 洞 。 最 后 ， 用 户 上 传 的 文 件 若 被 安 全 检 查 、 格 式 化 、 图 片 压 缩 等 功 能 改 变 了 内 容 ， 则 也 可 能 导 致 攻 击 不 成 功 。 一 、 从 F C K E d i t o r 文 件 上 传 漏 洞 谈 起 F C K E d i t o r 是 一 款 非 常 流 行 的 富 文 本 编 辑 器 ， 为 了 方 便 用 户 ， 它 带 有 一 个 文 件 上 传 功 能 ， 但 是 这 个 功 能 却 出 过 多 次 漏 洞 。 F C K E d i t o r 针 对 A S P / P H P / J S P 等 环 境 都 有 对 应 的 版 本 ， 以 P H P 为 例 ， 其 文 件 上 传 功 能 在 ： h t t p : / / w w w . x x x . c o m / p a t h / F C K E d i t o r / e d i t o r / f i l e m a n a g e r / b r o w s e r / d e f a u l t / b r o w s e r . h t m l ? ， 配 合 解 析 漏 洞 。 （ 一 ） I I S 5 . x - 6 . x 解 析 漏 洞   使 用 i i s 5 . x - 6 . x 版 本 的 服 务 器 ， 大 多 为 w i n d o w s   s e r v e r   2 0 0 3 ， 网 站 比 较 古 老 ， 开 发 语 句 一 般 为 a s p ； 该 解 析 漏 洞 也 只 能 解 析 a s p 文 件 ， 而 不 能 解 析 a s p x 文 件 。   目 录 解 析 ( 6 . 0 )   形 式 ： w w w . x x x . c o m / x x . a s p / x x . j p g 原 理 :   服 务 器 默 认 会 把 . a s p ， . a s p 目 录 下 的 文 件 都 解 析 成 a s p 文 件 。   文 件 解 析   形 式 ： w w w . x x x . c o m / x x . a s p ; . j p g 原 理 ： 服 务 器 默 认 不 解 析 ; 号 后 面 的 内 容 ， 因 此 x x . a s p ; . j p g 便 被 解 析 成 a s p 文 件 了 。 解 析 文 件 类 型   I I S 6 . 0   默 认 的 可 执 行 文 件 除 了 a s p 还 包 含 这 三 种   : / t e s t . a s a / t e s t . c e r / t e s t . c d x   （ 二 ） a p a c h e 解 析 漏 洞   漏 洞 原 理   A p a c h e   解 析 文 件 的 规 则 是 从 右 到 左 开 始 判 断 解 析 , 如 果 后 缀 名 为 不 可 识 别 文 件 解 析 , 就 再 往 左 判 断 。 比 如 t e s t . p h p . q w e . a s d   “ . q w e ” 和 ” . a s d ”   这 两 种 后 缀 是 a p a c h e 不 可 识 别 解 析 , a p a c h e 就 会 把 w o o y u n . p h p . q w e . a s d 解 析 成 p h p 。
  漏 洞 形 式   w w w . x x x x . x x x . c o m / t e s t . p h p . p h p 1 2 3   其 余 配 置 问 题 导 致 漏 洞   （ 1 ） 如 果 在   A p a c h e   的   c o n f   里 有 这 样 一 行 配 置   A d d H a n d l e r   p h p 5 - s c r i p t   . p h p   这 时 只 要 文 件 名 里 包 含 . p h p   即 使 文 件 名 是   t e s t 2 . p h p . j p g   也 会 以 p h p   来 执 行 。 （ 2 ） 如 果 在   A p a c h e   的   c o n f   里 有 这 样 一 行 配 置   A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . j p g   即 使 扩 展 名 是   j p g ， 一 样 能 以 p h p   方 式 执 行 。   修 复 方 案   1 . a p a c h e 配 置 文 件 ， 禁 止 . p h p . 这 样 的 文 件 执 行 ， 配 置 文 件 里 面 加 入 2 . 用 伪 静 态 能 解 决 这 个 问 题 ， 重 写 类 似 . p h p . * 这 类 文 件 ， 打 开 a p a c h e 的 h t t p d . c o n f 找 到 L o a d M o d u l e   r e w r i t e _ m o d u l e   m o d u l e s / m o d _ r e w r i t e . s o 把 # 号 去 掉 ， 重 启 a p a c h e , 在 网 站 根 目 录 下 建 立 . h t a c c e s s 文 件 （ 三 ） n g i n x 解 析 漏 洞   漏 洞 原 理   N g i n x 默 认 是 以 C G I 的 方 式 支 持 P H P 解 析 的 ， 普 遍 的 做 法 是 在 N g i n x 配 置 文 件 中 通 过 正 则 匹 配 设 置 S C R I P T _ F I L E N A M E 。 当 访 问 w w w . x x . c o m / p h p i n f o . j p g / 1 . p h p 这 个 U R L 时 ， $ f a s t c g i _ s c r i p t _ n a m e 会 被 设 置 为 “ p h p i n f o . j p g / 1 . p h p ” ， 然 后 构 造 成 S C R I P T _ F I L E N A M E 传 递 给 P H P C G I ， 但 是 P H P 为 什 么 会 接 受 这 样 的 参 数 ， 并 将 p h p i n f o . j p g 作 为 P H P 文 件 解 析 呢 ? 这 就 要 说 到 f i x _ p a t h i n f o 这 个 选 项 了 。   如 果 开 启 了 这 个 选 项 ， 那 么 就 会 触 发 在 P H P 中 的 如 下 逻 辑 ：   P H P 会 认 为 S C R I P T _ F I L E N A M E 是 p h p i n f o . j p g ， 而 1 . p h p 是 P A T H _ I N F O ， 所 以 就 会 将 p h p i n f o . j p g 作 为 P H P 文 件 来 解 析 了   漏 洞 形 式   w w w . x x x x . c o m / U p l o a d F i l e s / i m a g e / 1 . j p g / 1 . p h p w w w . x x x x . c o m / U p l o a d F i l e s / i m a g e / 1 . j p g % 0 0 . p h p w w w . x x x x . c o m / U p l o a d F i l e s / i m a g e / 1 . j p g / % 2 0 0 . p h p   另 外 一 种 手 法 ： 上 传 一 个 名 字 为 t e s t . j p g ， 然 后 访 问 t e s t . j p g / . p h p , 在 这 个 目 录 下 就 会 生 成 一 句 话 木 马 s h e l l . p h p 。 （ 四 ） I I S 7 . 5 解 析 漏 洞   I I S 7 . 5 的 漏 洞 与 n g i n x 的 类 似 ， 都 是 由 于 p h p 配 置 文 件 中 ， 开 启 了 c g i . f i x _ p a t h i n f o ， 而 这 并 不 是 n g i n x 或 者 i i s 7 . 5 本 身 的 漏 洞 。 5 . 配 合 操 作 系 统 文 件 命 令 规 则 （ 1 ） 上 传 不 符 合 w i n d o w s 文 件 命 名 规 则 的 文 件 名 t e s t . a s p . t e s t . a s p ( 空 格 ) t e s t . p h p : 1 . j p g t e s t . p h p : :   $ D A T A 会 被 w i n d o w s 系 统 自 动 去 掉 不 符 合 规 则 符 号 后 面 的 内 容 。   如 图 访 问 i p / N e t s y s / H t m l E d i t / f c k e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / t e s t . h t m l
点 击 C r e a t e   F o l d e r 新 建 文 件 夹 查 看 更 多 文 章 ， 关 注 下 方 二 维 码

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理