Apache HTTPD 换行解析漏洞（CVE-2017-15715）

Apache HTTPD 换行解析漏洞（CVE-2017-15715）

漏洞描述：

Apache
HTTPD是一款HTTP服务器，它可以通过mod_php来运行PHP网页。其2.4.0~2.4.29版本中存在一个解析漏洞，在解析PHP时，1.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。

风险等级：

高

影响版本：

2.4.0~2.4.29

漏洞复现：

[1] 先尝试上传一个PHP文件进行抓包

[2] 上传抓包修改hex，在70后面修改成0a

[3] 上传文件，访问测试（访问时需要带着%0a）

访问测试

基础环境搭建：

使用vulhub和docker搭建即可
cd vulhub/httpd/CVE-2017-15715
docker-compose
build docker-compose up -d

漏洞修复：
[1] 升级到最新版本
[2] 或将上传的文件重命名为为时间戳+随机数+.jpg的格式并禁用上传文件目录执行脚本权限