漏洞介紹:nginx是一款高性能的web服務器,使用非常廣泛,其不僅經常被用作反向代理,也可以非常好的支持PHP的運行。80sec發現其中存在一 個較爲嚴重的安全問題,默認情況下可能導致服務器錯誤的將任何類型的文件以PHP的方式進行解析,這將導致嚴重的安全問題,使得惡意的***者可能攻陷支持 php的nginx服務器。
漏洞分析:nginx默認以cgi的方式支持php的運行,譬如在配置文件當中可以以
location ~ \.php$ {
root html;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
include fastcgi_params;
}
的 方式支持對php的解析,location對請求進行選擇的時候會使用URI環境變量進行選擇,其中傳遞到後端Fastcgi的關鍵變量 SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定,而通過分析可以看 到$fastcgi_script_name是直接由URI環境變量控制的,這裏就是產生問題的點。而爲了較好的支持PATH_INFO的提取,在PHP 的配置選項裏存在cgi.fix_pathinfo選項,其目的是爲了從SCRIPT_FILENAME裏取出真正的腳本名。
那麼假設存在一個http://www.80sec.com/80sec.jpg,我們以如下的方式去訪問
http://www.80sec.com/80sec.jpg/80sec.php
將會得到一個URI
/80sec.jpg/80sec.php
經過location指令,該請求將會交給後端的fastcgi處理,nginx爲其設置環境變量SCRIPT_FILENAME,內容爲
/scripts/80sec.jpg/80sec.php
而在其他的webserver如lighttpd當中,我們發現其中的SCRIPT_FILENAME被正確的設置爲
/scripts/80sec.jpg
所以不存在此問題。
後 端的fastcgi在接受到該選項時,會根據fix_pathinfo配置決定是否對SCRIPT_FILENAME進行額外的處理,一般情況下如果不對 fix_pathinfo進行設置將影響使用PATH_INFO進行路由選擇的應用,所以該選項一般配置開啓。Php通過該選項之後將查找其中真正的腳本 文件名字,查找的方式也是查看文件是否存在,這個時候將分離出SCRIPT_FILENAME和PATH_INFO分別爲
/scripts/80sec.jpg和80sec.php
最後,以/scripts/80sec.jpg作爲此次請求需要執行的腳本,***者就可以實現讓nginx以php來解析任何類型的文件了。
POC: 訪問一個nginx來支持php的站點,在一個任何資源的文件如robots.txt後面加上/80sec.php,這個時候你可以看到如下的區別:
訪問http://www.80sec.com/robots.txt
HTTP/1.1 200 OK
Server: nginx/0.6.32
Date: Thu, 20 May 2010 10:05:30 GMT
Content-Type: text/plain
Content-Length: 18
Last-Modified: Thu, 20 May 2010 06:26:34 GMT
Connection: keep-alive
Keep-Alive: timeout=20
Accept-Ranges: bytes
訪問訪問http://www.80sec.com/robots.txt/80sec.php
HTTP/1.1 200 OK
Server: nginx/0.6.32
Date: Thu, 20 May 2010 10:06:49 GMT
Content-Type: text/html
Transfer-Encoding: chunked
Connection: keep-alive
Keep-Alive: timeout=20
X-Powered-By: PHP/5.2.6
其中的Content-Type的變化說明了後端負責解析的變化,該站點就可能存在漏洞。
漏洞廠商:http://www.nginx.org
解決方案:
我們已經嘗試聯繫官方,但是此前你可以通過以下的方式來減少損失
關閉cgi.fix_pathinfo爲0
或者
if ( $fastcgi_script_name ~ \..*\/.*php ) {
return 403;
}
PS: 鳴謝laruence大牛在分析過程中給的幫助
nginx文件類型錯誤解析漏洞
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章
Linux基本操作命令
wbzjacky
2019-02-24 13:12:38
真實的模擬***綜合實驗
wbzjacky
2019-02-24 13:12:37
如果同事暗中傷害你,應該怎麼辦?
這個饅頭有餡
2019-02-24 13:59:08
職場中,抱怨越多的員工,越被領導瞧不起!
這個饅頭有餡
2019-02-24 13:59:08
老程序員被裁,應屆生卻能月薪 1.3 萬?這你能忍?
前端高達
2019-02-24 13:48:04
遇到到處蹭吃卻從不請客吃飯的主怎麼辦?
樑軍年
2019-02-24 13:26:35
高標準機房綜合配線安裝
wbzjacky
2019-02-24 13:12:38
IPsec ***實驗
wbzjacky
2019-02-24 13:12:37
CISCO路由AAA的Easy ***
wbzjacky
2019-02-24 13:12:37
Nginx 安裝與配置規則入門
Lmagic16
2019-02-24 22:13:58
nginx+php執行請求的工作原理
xavier
2019-02-24 15:52:41
配置Nginx支持php,出現No input file specified錯誤的解決方法
lvqingpu
2019-02-24 13:15:35