这几天做中南大学的院赛web题碰到了一道上传题,正好利用到了去年发布的一个cve,虽然漏洞有点鸡肋,但是作为一种姿势了解一下还是不错的,故此记录总结一下
漏洞概述
在Apache 2.4.0到2.4.29版本中使用到了如下的配置信息:
1
2
3
SetHandler application/x-httpd-php
这是一个php文件的解析表达式,我们可以注意到$,这个解析漏洞的根本原因就是这个$。我们知道$在正则表达式中用来匹配字符串结尾位置,在菜鸟教程中对正则表达符$的解释如下:
1匹配输入字符串的结尾位置。如果设置了 RegExp 对象的 Multiline 属性,则 $ 也匹配 ‘\n’ 或 ‘\r’。要匹配 $ 字符本身,请使用 \$。
说明了$是可以匹配到字符串结尾的换行符,也就是说,如果我们此时有个文件后缀名为:.php\n,Apache是会将其作为php文件进行解析的
漏洞利用
了解了该解析漏洞,我们便可以利用它来绕过上传的黑名单限制,例如存在下面的上传逻辑:
1
2
3
4
5
6
7
8
9<?php
if(isset($_FILES['file'])) {
$name = basename($_POST['name']);
$ext = pathinfo($name,PATHINFO_EXTENSION);
if(in_array($ext, ['php', 'php3', 'php4', 'php5', 'phtml', 'pht'])) {
exit('bad file');
}
move_uploaded_file($_FILES['file']['tmp_name'], './' . $name);
}
这里使用到了黑名单过滤方式,但是如果我们利用上述漏洞,上传一个文件名为:1.php\x0a,那么便可以成功绕过黑名单的限制上传php文件
实例演示
实例来自于中南大学的院赛ctf中的一道题,题目名字是upload something
题目页面如下:
上传文件时可以发现,不论正常上传什么文件,login.php都显示bad file
我们抓包可以发现,请求包中额外post一个参数name
这就想到了我们分析的Apache解析漏洞,如果文件名取自$_FILES['file']['name'],就会自动把换行符去掉,而文件名取自post参数name中,就能很好的利用到这个解析漏洞
下面我们上传一个包含换行符的文件,这里需要注意只能时\x0a而不是\x0d\x0a,\x0d\x0a的情况是我们直接添加一个换行符,我们利用burp的hex功能在test666.php后面添加一个\x0a
从响应包中可以看到上传成功了,但是相应页面success.html中并没有告诉我们上传文件的目录
但是我们在请求包中还可以看到一个参数dir = /upload/,所以猜测上传目录为·/upload/test666.php%0a
访问成功,最后就是上木马拿shell了
最后我们可以看一下upload.php的源码:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31<?php
if(isset($_FILES['file'])) {
$name = basename($_POST['name']);
$ext = pathinfo($name,PATHINFO_EXTENSION);
$ext = pathinfo($name,PATHINFO_EXTENSION);
if(preg_match('/php/',$ext)){
if(in_array($ext, ['php', 'php3', 'php4', 'php5', 'phtml'])) {
header("location:hacker.html");
exit('bad file');
}
if(!move_uploaded_file($_FILES['file']['tmp_name'], '../upload/'. $name)){
exit('upload failed');
}else{
header("location:success.html");
}
//move_uploaded_file($_FILES['file']['tmp_name'], './' . $name);
}else{
header("location:hacker.html");
exit('bad file');
}
}
?>
验证的逻辑就是首先利用正则匹配验证后缀名是否包含了php,第二步就是利用黑名单过滤,但是由于未过滤php%0a,并且取post参数name作为文件名,所以便可以很好的利用到apache的解析漏洞,另外我们还可以看一下apache配置文件,文件目录在/etc/apache2/conf-available/docker-php.conf:
1
2
3
SetHandler application/x-httpd-php
正如我们前面提到的配置文件内容一样,$能匹配到换行符\x0a,这就造成了该解析漏洞
总结
这个漏洞利用的条件如下:
获取文件名时不能用$_FILES['file']['name'],因为他会自动把换行去掉,这一点有点鸡肋
Apache版本为2.4.0到2.4.29
服务器必须是linux系统,因为windows环境下不支持后缀名带有换行符\x0a
总体上而言,只要取$FILES['file']['name']作为文件名,就可以无视该解析漏洞,所以该漏洞总体来说实际用处不大,但是由于根本成因在于$,在以后的其他某些漏洞可以还有利用到的地方,作为一种姿势学习一下还是蛮有趣的。
最后附上参考链接: