搜索

[967] 2020-02-24_Web中间件常见安全漏洞总结

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2020-02-24_Web中间件常见安全漏洞总结 W e b 中 间 件 常 见 安 全 漏 洞 总 结 B y p a s s   B y p a s s   2 0 2 0 - 0 2 - 2 4 点 击 箭 头 处 “ 蓝 色 字 ” ， 关 注 我 哦 ！ ！ 作 者   |   l y x h h 编 辑   |   A a r o n 来 源   |   h t t p s : / / w w w . l x h s e c . c o m / 2 0 1 9 / 0 3 / 0 4 / m i d d l e w a r e “   本 文 系 统 地 介 绍 了 各 种 中 间 常 见 的 安 全 漏 洞 ， 包 含 I I S / A p a c h e / N g i n x / T o m c a t / J B o s s / W e b l o g i c / G l a s s F i s h / W e b S p h e r e 等 ， 文 章 目 录 详 见 如 下 。 ” 第 一 章 ： I I S I I S   6   解 析 漏 洞 I I S   7   解 析 漏 洞 P U T 任 意 文 件 写 入 I I S 短 文 件 漏 洞 H T T P . S Y S 远 程 代 码 执 行   ( M S 1 5 - 0 3 4 ) R C E - C V E - 2 0 1 7 - 7 2 6 9 第 二 章 ： A p a c h e 未 知 扩 展 名 解 析 漏 洞 A d d H a n d l e r 导 致 的 解 析 漏 洞 A p a c h e   H T T P D   换 行 解 析 漏 洞 （ C V E - 2 0 1 7 - 1 5 7 1 5 ） 第 三 章 ： N g i n x N g i n x 配 置 文 件 错 误 导 致 的 解 析 漏 洞 N g i n x   空 字 节 任 意 代 码 执 行 漏 洞 N g i n x   文 件 名 逻 辑 漏 洞 （ C V E - 2 0 1 3 - 4 5 4 7 ） N g i n x   配 置 错 误 导 致 的 安 全 问 题 第 四 章 ： T o m c a t T o m c a t   任 意 文 件 写 入 （ C V E - 2 0 1 7 - 1 2 6 1 5 ） T o m c a t   远 程 代 码 执 行 （ C V E - 2 0 1 9 - 0 2 3 2 ） T o m c a t   +   弱 口 令   & &   后 台 g e t s h e l l 漏 洞 T o m c a t   m a n a g e r   A p p   暴 力 破 解 第 五 章 ： J B o s s J B o s s   5 . x / 6 . x   反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 1 2 1 4 9 ） J B o s s   J M X I n v o k e r S e r v l e t   反 序 列 化 漏 洞 J B o s s   E J B I n v o k e r S e r v l e t   反 序 列 化 漏 洞 J B o s s   < = 4 . x   J B o s s M Q   J M S   反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 7 5 0 4 ） A d m i n i s t r a t i o n   C o n s o l e   弱 口 令 J M X   C o n s o l e 未 授 权 访 问 第 六 章 ： w e b l o g i c X M L D e c o d e r   反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 1 0 2 7 1   &   C V E - 2 0 1 7 - 3 5 0 6 ） W e b l o g i c   w l s 9 _ a s y n c _ r e s p o n s e , w l s - w s a t   反 序 列 化 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 9 - 2 7 2 5 ） W e b l o g i c   W L S   C o r e   C o m p o n e n t s   反 序 列 化 命 令 执 行 漏 洞 （ C V E - 2 0 1 8 - 2 6 2 8 ） W e b l o g i c   任 意 文 件 上 传 漏 洞 （ C V E - 2 0 1 8 - 2 8 9 4 ） W e b l o g i c   S S R F 漏 洞   （ C V E - 2 0 1 4 - 4 2 1 0 ） W e b l o g i c   弱 口 令   & &   后 台 g e t s h e l l 第 七 章 ： G l a s s F i s h
G l a s s F i s h   D i r e c t o r y   T r a v e r s a l （ C V E - 2 0 1 7 - 1 0 0 0 0 2 8 ） G l a s s F i s h   后 台 G e t s h e l l 第 八 章 ： W e b S p h e r e J a v a 反 序 列 化 ( C V E - 2 0 1 5 - 7 4 5 0 ） 弱 口 令   & &   后 台 G e t s h e l l 1 、 、 I I S I I S 是 I n t e r n e t   I n f o r m a t i o n   S e r v i c e s 的 缩 写 ， 意 为 互 联 网 信 息 服 务 ， 是 由 微 软 公 司 提 供 的 基 于 运 行 M i c r o s o f t   W i n d o w s 的 互 联 网 基 本 服 务 。 I I S 目 前 只 适 用 于 W i n d o w s 系 统 ， 不 适 用 于 其 他 操 作 系 统 。 I I S   6   解 析 漏 洞 解 析 漏 洞 基 于 文 件 名 ， 该 版 本   默 认 会 将   * . a s p ; . j p g   此 种 格 式 的 文 件 名 ， 当 成 A s p 解 析 ， 原 理 是   服 务 器 默 认 不 解 析 ;   号 及 其 后 面 的 内 容 ， 相 当 于 截 断 。 基 于 文 件 夹 名 ， 该 版 本   默 认 会 将   * . a s p / 目 录 下 的 所 有 文 件 当 成 A s p 解 析 。 另 外 ， I I S 6 . x 除 了 会 将 扩 展 名 为 . a s p 的 文 件 解 析 为 a s p 之 外 ， 还 默 认 会 将 扩 展 名 为 . a s a ， . c d x ， . c e r 解 析 为 a s p ， 从 网 站 属 性 - > 主 目 录 - > 配 置   可 以 看 出 ， 他 们 都 是 调 用 了 a s p . d l l 进 行 的 解 析 。
修 复 建 议 修 复 建 议 由 于 微 软 并 不 认 为 这 是 一 个 漏 洞 ， 也 没 有 推 出 I I S   6 . 0 的 补 丁 ， 因 此 漏 洞 需 要 自 己 修 复 。 1 、 限 制 上 传 目 录 执 行 权 限 ， 不 允 许 执 行 脚 本 。 2 、 不 允 许 新 建 目 录 。 3 . 、 上 传 的 文 件 需 经 过 重 命 名 ( 时 间 戳 + 随 机 数 + . j p g 等 ) I I S   7   解 析 漏 洞 解 析 漏 洞 1 、 安 装 I I S 7 . 5 ， 控 制 面 板   - >   程 序   - >   打 开 或 关 闭 w i n d o w s 功 能 。
2 、 下 载 p h p - 5 . 2 . 6 - w i n 3 2 - i n s t a l l e r . m s i 3 、 打 开 m s i ， 一 直 下 一 步 来 到 选 择 w e b   s e r v e r   s e t u p 的 界 面 ， 在 这 里 选 择 I I S   f a s t c g i , 之 后 一 直 下 一 步 。 4 、 打 开 I I S ， 管 理 工 具   - > I n t e r n e t   信 息 服 务 ( I I S ) 管 理 器 5 、 选 择 编 辑 I S A P I 或 者 C G I 限 制 添 加 安 装 的 p h p - c g i . e x e 路 径 ， 描 述 随 意 。 6 、 返 回 第 五 步 的 第 一 个 图 片 位 置 ， 点 击 处 理 程 序 映 射 ， 添 加 如 下 。
7 、 p h p i n f o 测 试 I I S 7 . x 版 本   在 F a s t - C G I 运 行 模 式 下 , 在 任 意 文 件 ， 例 ： t e s t . j p g 后 面 加 上 / . p h p ， 会 将 t e s t . j p g   解 析 为 p h p 文 件 。 修 复 建 议 修 复 建 议 配 置 c g i . f i x _ p a t h i n f o ( p h p . i n i 中 ) 为 0 并 重 启 p h p - c g i 程 序
结 果 如 下 ： P U T 任 意 文 件 写 入 任 意 文 件 写 入 I I S   S e r v e r   在   W e b   服 务 扩 展 中 开 启 了   W e b D A V 之 后 ， 支 持 多 种 请 求 ， 配 合 写 入 权 限 ， 可 造 成 任 意 文 件 写 入 。 修 复 建 议 修 复 建 议 关 闭 W e b D A V   和   写 权 限 I I S 短 文 件 漏 洞 短 文 件 漏 洞 W i n d o w s   以   8 . 3   格 式 生 成 与   M S - D O S   兼 容 的 （ 短 ） 文 件 名 ， 以 允 许 基 于   M S - D O S   或   1 6   位   W i n d o w s 的 程 序 访 问 这 些 文 件 。 在 c m d 下 输 入 ” d i r   / x ” 即 可 看 到 短 文 件 名 的 效 果 。 I I S 短 文 件 名 产 生 ： 1 、 当 后 缀 小 于 4 时 ， 短 文 件 名 产 生 需 要 文 件 ( 夹 ) 名 前 缀 字 符 长 度 大 于 等 于 9 位 。 2 、 当 后 缀 大 于 等 于 4 时 ， 文 件 名 前 缀 字 符 长 度 即 使 为 1 ， 也 会 产 生 短 文 件 名 。 目 前 I I S 支 持 短 文 件 名 猜 测 的 H T T P 方 法 主 要 包 括 ： D E B U G 、 O P T I O N S 、 G E T 、 P O S T 、 H E A D 、 T R A C E 六 种 。 I I S   8 . 0 之 后 的 版 本 只 能 通 过 O P T I O N S 和 T R A C E 方 法 被 猜 测 成 功 。 复 现 ： I I S 8 . 0 以 下 版 本 需 要 开 启 A S P . N E T 支 持 ， I I S 大 于 等 于 8 . 0 版 本 , 即 使 没 有 安 装 A S P . N E T ， 通 过 O P T I O N S 和 T R A C E 方 法 也 可 以 猜 解 成 功 。 以 下 通 过 开 启 I I S 6 . 0   A S P . N E T 后 进 行 复 现 。
当 访 问 构 造 的 某 个 存 在 的 短 文 件 名 ， 会 返 回 4 0 4 ； 当 访 问 构 造 的 某 个 不 存 在 的 短 文 件 名 ， 会 返 回 4 0 0 ； I I S 短 文 件 漏 洞 局 限 性 1 )   如 果 文 件 名 本 身 太 短 也 是 无 法 猜 解 的 ； 2 )   此 漏 洞 只 能 确 定 前 6 个 字 符 ， 如 果 后 面 的 字 符 太 长 、 包 含 特 殊 字 符 ， 很 难 猜 解 ； 3 )   如 果 文 件 名 前 6 位 带 空 格 ， 8 . 3 格 式 的 短 文 件 名 会 补 进 ， 和 真 实 文 件 名 不 匹 配 ； 4 )   如 果 文 件 夹 名 前 6 位 字 符 带 点 ” . ” ， 扫 描 程 序 会 认 为 是 文 件 而 不 是 文 件 夹 ， 最 终 出 现 误 报 ； 5 )   不 支 持 中 文 文 件 名 ， 包 括 中 文 文 件 和 中 文 文 件 夹 。 一 个 中 文 相 当 于 两 个 英 文 字 符 ， 故 超 过 4 个 中 文 字 会 产 生 短 文 件 名 ， 但 是 I I S 不 支 持 中 文 猜 测 。
修 复 建 议 修 复 建 议 1 ） 从 C M D 命 令 关 闭 N T F S   8 . 3 文 件 格 式 的 支 持 W i n d o w s   S e r v e r   2 0 0 3 ： ( 1 代 表 关 闭 ， 0 代 表 开 启 ） 关 闭 该 功 能 ： f s u t i l   b e h a v i o r   s e t   d i s a b l e 8 d o t 3   1 W i n d o w s   S e r v e r   2 0 0 8   R 2 ： 查 询 是 否 开 启 短 文 件 名 功 能 ： f s u t i l   8 d o t 3 n a m e   q u e r y 关 闭 该 功 能 ： f s u t i l   8 d o t 3 n a m e   s e t   1 不 同 系 统 关 闭 命 令 稍 有 区 别 ， 该 功 能 默 认 是 开 启 的 . 2 ） 或 从 修 改 注 册 表 关 闭 N T F S   8 . 3 文 件 格 式 的 支 持 快 捷 键 W i n + R 打 开 命 令 窗 口 ， 输 入 r e g e d i t 打 开 注 册 表 窗 口 找 到 路 径 ： H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l F i l e S y s t e m ， 将 其 中 的   N t f s D i s a b l e 8 d o t 3 N a m e C r e a t i o n 这 一 项 的 值 设 为   1 ， 1 代 表 不 创 建 短 文 件 名 格 式
以 上 两 种 方 式 修 改 完 成 后 ， 均 需 要 重 启 系 统 生 效 。 N o t e : 此 方 法 只 能 禁 止 N T F S 8 . 3 格 式 文 件 名 创 建 , 已 经 存 在 的 文 件 的 短 文 件 名 无 法 移 除 ， 需 要 重 新 复 制 才 会 消 失 。 例 : 将 w e b 文 件 夹 的 内 容 拷 贝 到 另 一 个 位 置 ， 如 c : w w w 到 c : w w , 然 后 删 除 原 文 件 夹 ， 再 重 命 名 c : w w 到 c : w w w 。 H T T P . S Y S 远 程 代 码 执 行 远 程 代 码 执 行   ( M S 1 5 - 0 3 4 ) 影 响 范 围 ： W i n d o w s   7 、 W i n d o w s   S e r v e r   2 0 0 8   R 2 、 W i n d o w s   8 、 W i n d o w s   S e r v e r   2 0 1 2 、 W i n d o w s   8 . 1   和   W i n d o w s   S e r v e r   2 0 1 2   R 2 复 现 ： 在 W i n d o w s 7 上   安 装 I I S 7 . 5 。 1 、 访 问 。 2 、 编 辑 请 求 头 ， 增 加 R a n g e :   b y t e s = 0 - 1 8 4 4 6 7 4 4 0 7 3 7 0 9 5 5 1 6 1 5 字 段 ， 若 返 回 码 状 态 为 4 1 6   R e q u e s t e d   R a n g e   N o t   S a t i s f i a b l e ， 则 存 在 H T T P . S Y S 远 程 代 码 执 行 漏 洞 漏 洞 有 点 鸡 肋 ， 配 合 其 他 漏 洞 使 用 还 是 可 以 用 用 的 ， 具 体 使 用 可 转 至 M S F 中 。 修 复 建 议 修 复 建 议 安 装 修 复 补 丁 （ K B 3 0 4 2 5 5 3 ） R C E - C V E - 2 0 1 7 - 7 2 6 9 M i c r o s o f t   W i n d o w s   S e r v e r   2 0 0 3   R 2 中 的 I n t e r n e t 信 息 服 务 （ I I S ） 6 . 0 中 的 W e b D A V 服 务 中 的 S c S t o r a g e P a t h F r o m U r l 函 数 中 的 缓 冲 区 溢 出 允 许 远 程 攻 击 者 通 过 以 ” I f ： < h t t p ： / / “ 开 头 的 长 标 头 执 行 任 意 代 码 P R O P F I N D 请 求 。 影 响 范 围 ： 在 W i n d o w s   2 0 0 3   R 2 （ M i c r o s o f t ( R )   W i n d o w s ( R )   S e r v e r   2 0 0 3 ,   E n t e r p r i s e   E d i t i o n   S e r v i c e   P a c k   2 ） 上 使 用 I I S   6 . 0 并 开 启 W e b D A V 扩 展 。 复 现 ： C V E 作 者 给 出 的 e x p   计 算 机 弹 弹 弹 ！ ！ ！ 用 p y t h o n 2   运 行 ， 结 果 如 下 。
任 务 管 理 器 开 启 了 c a l c . e x e 进 程 ， 因 为 计 算 器 是 网 络 服 务 权 限 打 开 的 ， 所 以 我 们 在 桌 面 上 看 不 见 。 这 个 漏 洞 有 几 个 需 要 注 意 的 地 方 ， 如 下 。 由 于 作 者 提 供 的 E x p 执 行 之 后 就 卡 在 那 里 了 ， 因 此 不 适 合 用 弹 计 算 机 的 s h e l l c o d e 进 行 测 试 ， 网 上 找 了 个 d a l a o 的 回 显 s h e l l c o d e 来 测 试 。 首 先 将 上 图 中 p y t h o n 2   I D E 运 行 时 产 生 的 R a w 类 型 的 H T T P 数 据 包 c o p y 保 存 至 记 事 本 中 ， 然 后 在 B u r p   R e p e a t e r 模 块   P a s t e   f r o m   f i l e 。 将 s h e l l c o d e 更 换 成 如 下 ： 结 果 ： C V E 作 者 给 出 的 E x p 是 在 默 认 端 口 ， 默 认 域 名 ， 默 认 路 径 的 情 况 下 适 用 。 第 一 个 需 要 注 意 的 是 端 口 和 域 名 绑 定 问 题 ： 当 端 口 改 变 时 ， I f 头 信 息 中 的 两 个 u r l 端 口 要 与 站 点 端 口 一 致 ， 如 下 。 当 域 名 改 变 时 ， I f 头 信 息 中 的 两 个 u r l 域 名 要 与 站 点 域 名 一 致 ， 且 H O S T 头 也 要 与 站 点 域 名 一 致 。 如 下 V V Y A 4 4 4 4 4 4 4 4 4 4 Q A T A X A Z A P A 3 Q A D A Z A B A R A L A Y A I A Q A I A Q A P A 5 A A A P A Z 1 A I 1 A I A I A J 1 1 A I A I A X A 5 8 A A P A Z A B A B Q I 1 A I Q I A I Q I 1 1 1 1 A I A J Q I 1 A Y A Z B A B A B A B A B 3 0 A P B 9 4 4 J B R D D K L M N 8 K P M 0 K P 4 K O Y M 4 C Q J I O P K S K P K P T K L I T K K Q D K U 0 G 0 K P K P M 0 0 Q Q X I 8 K P M 0 M 0 K 8 K P K P K P M 0 Q N T K K N U 3 9 7 O 0 0 W R J K P S S I 7 K Q R 7 2 J P X K O X P P 3 G P 0 P P P 3 6 V X L K M 1 V Z M 0 L C K N S O K O N 2 K P O S R O R N 3 D 3 5 R N D 4 N M P T D 9 R P 2 E N Z M P T 4 3 5 2 X C D N O S 8 B T B M B L L M K Z O S R O B N 4 4 1 U R N T 4 N M P L 2 E R N S 7 S D B H O J M P N Q 0 3 L M L J P X N M 1 J 1 3 O W N M O S 2 H 3 5 2 C B K O J O 0 P C Q F O U N M O B 0 0 N Q N W N M P 7 O B P 6 O I L M K Z L M K Z 1 3 0 V 1 5 N M P 2 P 0 N Q P 7 N M N W O B N V 0 9 K P M 0 A
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理