web漏洞之中间介漏洞

IIS

解析漏洞

IIS6.x

基于文件名

• 将 *.asp;.jpg 此种格式的文件名，当成asp解析，
• 原理：服务器默认不解析; 号及其后面的内容，相当于截断。

基于文件夹名

• 将 *.asp/目录下的所有文件当成asp解析

其他

• 默认会将扩展名为.asa，.cdx，.cer解析为asp

漏洞修复

• 限制上传目录执行权限，不允许执行脚本
• 不允许新建目录。
• 上传的文件需经过重命名(时间戳+随机数+.jpg等)

IIS7.x

漏洞描述

• CGI运行模式

  CGI即通用网关接口(Common Gateway Interface)，它是一段程序，通俗的讲CGI就象是一座桥，把网页和WEB服务器中的执行程序连接起来，它把HTML接收的指令传递给服务器的执行程序，再把服务器执行程序的结果返还给HTML页。CGI 的跨平台性能极佳，几乎可以在任何操作系统上实现。

  CGI方式在遇到连接请求（用户 请求）先要创建cgi的子进程，激活一个CGI进程，然后处理请求，处理完后结束这个子进程。这就是fork-and-execute模式。所以用cgi方式的服务器有多少连接请求就会有多少cgi子进程，子进程反复加载是cgi性能低下的主要原因。都会当用户请求数量非常多时，会大量挤占系统的资源如内 存，CPU时间等，造成效能低下。

• Fast-CGI运行模式

  fast-cgi 是cgi的升级版本，FastCGI像是一个常驻(long-live)型的CGI，它可以一直执行着，只要激活后，不会每次都要花费时间去fork一 次。PHP使用PHP-FPM(FastCGI Process Manager)，全称PHP FastCGI进程管理器进行管理。

• FastCGI的工作原理

  1、Web Server启动时载入FastCGI进程管理器(IIS ISAPI或Apache Module)

  2、FastCGI进程管理器自身初始化，启动多个CGI解释器进程(可见多个php-cgi)并等待来自Web Server的连接。

  3、当客户端请求到达Web Server时，FastCGI进程管理器选择并连接到一个CGI解释器。Web server将CGI环境变量和标准输入发送到FastCGI子进程php-cgi。

  4、 FastCGI子进程完成处理后将标准输出和错误信息从同一连接返回Web Server。当FastCGI子进程关闭连接时，请求便告处理完成。FastCGI子进程接着等待并处理来自FastCGI进程管理器(运行在Web Server中)的下一个连接。 在CGI模式中，php-cgi在此便退出了。

  在上述情况中，你可以想象CGI通常有多慢。每一个Web请求PHP都必须重新解析php.ini、重新载入全部扩展并重初始化全部数据结构。使用FastCGI，所有这些都只在进程启动时发生一次。一个额外的 好处是，持续数据库连接(Persistent database connection)可以工作。

漏洞利用

• Fast-CGI运行模式下
  任意文件test.jpg后面加上/.php，会将test.jpg 解析为php文件。

漏洞修复

• 配置cgi.fix_pathinfo(php.ini中)为0并重启php-cgi程序

---

PUT漏洞

描述

• Web 服务扩展中开启了 WebDAV之后，支持多种请求，配合写入权限，可造成任意文件写入

漏洞修复

• 关闭WebDAV 和 写权限

---

短文件名漏洞

描述

• 此漏洞实际是由HTTP请求中旧DOS 8.3名称约定（SFN）的代字符（〜）波浪号引起的。它允许远程攻击者在Web根目录下公开文件和文件夹名称（不应该可被访问）。攻击者可以找到通常无法从外部直接访问的重要文件，并获取有关应用程序基础结构的信息。
• Windows 支持以 8.3 格式生成与 MS-DOS 兼容的（短）文件名，以允许基于 MS-DOS 或 16 位 Windows的程序访问这些文件。在cmd下进入IIS网站根目录C:\inetpub\wwwroot输入“dir /x”即可看到短文件名的效果：

影响版本

IIS 1.0，Windows NT 3.51
IIS 3.0，Windows NT 4.0 Service Pack 2
IIS 4.0，Windows NT 4.0选项包
IIS 5.0，Windows 2000
IIS 5.1，Windows XP Professional和Windows XP Media Center Edition
IIS 6.0，Windows Server 2003和Windows XP Professional x64 Edition
IIS 7.0，Windows Server 2008和Windows Vista
IIS 7.5，Windows 7（远程启用customErrors或没有web.config）
IIS 7.5，Windows 2008（经典管道模式）

IIS短文件名产生

• 当后缀小于4时，短文件名产生需要文件(夹)名前缀字符长度大于等于9位。
• 当后缀大于等于4时，文件名前缀字符长度即使为1，也会产生短文件名。

短文件名猜测