【文件解析漏洞】实战详解！

漏洞描述：

                  文件解析漏洞是由于中间件错误的将任意格式的文件解析成网页可执行文件，配合文件上传漏洞进行GetShell的漏洞!

IIS解析漏洞：

IIS6.X：

方式一:目录解析

            在网站下建立文件夹的名字为.asp/.asa 的文件夹，其目录内的任何扩展名的文件都被I1S当作asp文件来解析并执行。

 

 

方式二:畸形文件解析

                        在IIS 6处理文件解析时，分号可以起到截断的效果。也就是说 shel.asp;.jpg会被服务器看成是shell.asp。另外IS6.0默认的可执行文件除了asp还包含 asa\cer\cdx

 

----------------------------------------------

lIS7.X

                 在IlS7.0和IlS7.5版本下也存在解析漏洞，在默认Fast-CGI开启状况下，在一个文件路径/xx.jpg后面加上/xx.php会将/xx.jpg/xx.php 解析为 php 文件。

利用条件

php.ini里的cgi.fix_pathinfo=1 开启

IIS7在Fast-CGl运行模式下

 环境配置

          在Windows Server 2008R2中安装IS后在安装PHPstudy for liS..

          配置 php.ini 文件，将cgi.fix_pathinfo=1 取消掉...并重启.….

lIS --》 配置网站--》 处理程序映射--》 PHPStudy_FastCGl --》 请求限制 --》取消勾选

利用姿势 .

                   在www目录下创建1.jpg

 

浏览器访问：

GetShell :

                    将PHP一句话木马写到shell.php并更改后缀为shell.jpg上传到目标站点..利用解析漏洞进行访问...

http://192.168.4.xxx/shell.jpg/.php

 

浏览器访问进行木马连接

在菜刀2014中添加Shell并链接..蚁剑不能行 

连接成功

 -----------------------------------------------

Nginx解析漏洞

                                这个解析漏洞其实是PHP CGI的漏洞，在PHP的配置文件中有一个关键的选项cgi.fix_pathinfo默认是开启的，当URL中有不存在的文件，PHP就会向前递归解析。在一个文件/xx.jpg后面加上/.php会将/xx.jpg/xx.php 解析为 php 文件。

利用姿势

                 Nginx的文件解析漏洞..和S7.0的解析漏洞同样的原理,因为 cgi.fix_pathinfo=1 造成的解析漏洞...PS:同样使用1.jpg/.php方式进行绕过.

步骤一:进入以下Vulhub路径并开启容器..

          上传一个jpg文件 用文件头绕过

         访问以下路径，利用Nginx解析漏洞...

 

CVE-2013-4547

此漏洞为文件名逻辑漏洞，该漏洞在上传图片时，修改其16进制编码可使其绕过策略，导致解析为php。当Nginx得到一个用户请求时，首先对url进行解析，进行正则匹配，如果匹配到以.php后缀结尾的文件名，会将请求的PHP文件交给PHP-CGI去解析。
     

影响版本
Nginx 0.8.41 ~ 1.4.3 / 1.5.0 ~ 1.5.7

利用姿势

              步骤一:进入以下Vulhub路径并开启容器..

         上传一个php文件看看

不让上传试试jpg抓包

在jpg后面加上两个空格.php再将hex的第二个空格改为%00

 

        然后放包上传成功

访问upload路径再次进行抓包

把%20改为空格 把hex第二个空格改为%00

 

   放包访问成功

--------------------------------------------

Apache解析漏洞

       漏洞原理：

               Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。比如如下配置文件:

AddType text/html .html
AddLanguage zh-CN .cn

                那么，在有多个后缀的情况下，只要一个文件含有.php 后缀的文件即将被识别成PHP文件，没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。 

利用姿势：

                   步骤一:进入以下Vulhub路径并开启容器..

            上传一个php.jpg文件 

        上传成功访问upload地址-----访问成功

-----------------------------------

CVE-2017-15715

                            Apache HTTPD是一款HTTP服务器，它可以通过mod_php来运行PHP网页。其2.4.0~2.4.29版本中存在一个解析漏洞，在解析PHP时，1.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。

影响版本：2.4.0~2.4.29

利用姿势：

             步骤一:进入Vulhub靶场并开启目标靶机，进行访问.

       上传php文件并进行抓包

      访问上传的evil文件在后面加上 %0a 再访问发现解析了其中的PHP代码，但后不是php说明
存在解析漏洞

       将hex的20改为0a

 

     

  放包上传成功(访问成功)