Nginx-Host绕过复现

目录

环境搭建：

第一种处理方式

第二种处理方式

第三种处理方式

---

原理依据：Nginx与PHP对Host处理方式不同

环境搭建：

1、提前安装完成nginx+php+mysql，然后上传文件pwnhub到nginx/html下

2、修改nginx.conf配置文件：

    server {
        listen          80;
        server_name     www.php.com;
        root            html/pwnhub/web;
        index           index.html index.php index.htm;
        #location / {
        #    root       html/mhz/web;
        #    index      index.html index.htm index.php;
        #}
        location / {
        try_files $uri $uri/ /index.php;
        }
        location ~ \.php(.*)$ {
            fastcgi_pass        127.0.0.1:9000;
            fastcgi_index       index.php;
            fastcgi_split_path_info ^((?U).+\.php)(/?.+)$;
            fastcgi_param       SCRIPT_FILENAME $document_root$fastcgi_script_name;
            fastcgi_param       PATH_INFO $fastcgi_path_info;
            fastcgi_param       PATH_TRANSLATED $document_root$fastcgi_path_info;
            include             fastcgi_params;
        }
    }

3、在nginx/sbin目录下运行

./nginx -s reload

4、运行MySQL数据库并创建数据库和表：

[root@localhost ~]# mysql -u root -p
Enter password: 
​
mysql> show databases;
mysql> create database security;
mysql> use security;
​
mysql>SET NAMES utf8;
mysql>SET FOREIGN_KEY_CHECKS = 0;
​
mysql>DROP TABLE IF EXISTS `flags`;
mysql>CREATE TABLE `flags` (
  `id` int(10) unsigned NOT NULL AUTO_INCREMENT,
  `flag` varchar(256) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8mb4;
​
mysql>DROP TABLE IF EXISTS `users`;
mysql>CREATE TABLE `users` (
  `id` int(10) unsigned NOT NULL AUTO_INCREMENT,
  `username` varchar(256) NOT NULL,
  `password` varchar(32) NOT NULL,
  `email` varchar(256) DEFAULT NULL,
  PRIMARY KEY (`id`),
  UNIQUE KEY `username` (`username`)
) ENGINE=InnoDB AUTO_INCREMENT=15 DEFAULT CHARSET=utf8mb4;
​
mysql>SET FOREIGN_KEY_CHECKS = 1;

5、在本地“C:\Windows\System32\drivers\etc/hosts”中添加映射关系。

6、在本地浏览器中访问“www.php.com”，便可以看到如下图片，默认登录页面地址为“http://www.php.com/main/login”，

 

切换为“http://www.php.com/main/register”就可以注册新用户，如下图所示

 

第一种处理方式

Nginx在处理Host的时候，会将Host用冒号分割成hostname和port，port部分被丢弃。所以，我们可以设置Host的值为www.php.com:xxx'"@example.com，这样就能访问到目标Server块：

 

如上图，成功触发SQL报错。

总结：Nginx通过冒号分隔只截取到冒号之前的内容，而PHP会将全部内容都拿到。

第二种处理方式

当我们传入两个Host头的时候，Nginx将以第一个为准，而PHP-FPM将以第二个为准。

Host：www.php.com
Host：xxx'"@example.com

Nginx将认为Host为www.php.com并交给Server处理；但是PHP中使用$_SERVER['HTTP_HOST']取到的值却是xxx'"@example.com。这种方法也可以实现绕过。

 

注意：只有Nginx+PHP会出现这个问题，Apache与此不同，将会是另一种情况。

第三种处理方式

原理：在发送https数据包的时候，SNI中指定的域名是example2.com，而无需和HTTP报文中的Host头保持一致，Nginx会选择SNI中的域名作为Server Name。

 

我们可以直接使用Burpsuite来测试这个trick，比如我在后端编写PHP代码echo $_SERVER['HTTP_HOST']。正常访问是会显示此时的Host头。

在HTTP协议时，如果我们修改Host头，Nginx将因为识别不到Server Name被导向默认的页面。

但此时我们在Burpsuite里修改协议为https，并指定好https的Host，也就是SNI，如图4。我们再修改HTTP数据包的Host头，就能正常访问目标后端了。