Nginx 解析漏洞复现

漏洞描述

产生原因

环境搭建

漏洞复现

---

漏洞描述

Nginx (engine x) 是一个高性能的HTTP和反向代理WEB服务器，同时也提供了IMAP/POP3/SMTP服务。

Nginx是一款轻量级的Web 服务器、反向代理服务器及电子邮件（IMAP/POP3）代理服务器，在BSD-like 协议下发行。其特点是占有内存少，并发能力强，事实上Nginx的并发能力在同类型的网页服务器中表现较好，使用Nginx网站用户有：百度、京东、新浪、网易、腾讯、淘宝等。

版本信息：

• Nginx 1.x 最新版

• PHP 7.x最新版

由此可知，该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。

产生原因

这个值叫做“修理”，而后面又接了一个path，从单词中我们不难理解就是对路径进行修理。那么问题来了，什么是修理？举个例子，在php中，我们收到一个文件的路径为：/张三.xx/李四.yy/王五.pp(x、y、p代表文件格式），收到这个路径后，我们的php会先从最后开始解析，也就是会先解析王五.xx存不存在。如果不存在，那么我们会向王五.xx的上一级，也就是李四.yy去判断李四.yy存不存在。如果存在就会把/张三.xx/李四.yy当作/张三.xx/李四.yy/王五.pp去解析。什么意思呢？简单来说就是如果王五.pp不存在而李四.yy存在的话，我们会按照王五的文件格式去解析李四，也就是我们解析的时候路径是这样的的：/张三.xx/李四.pp。看到这里你就发现了一个很大的漏洞，在相对比老的版本里，如果这里设置为on，代表开启，我们就会存在漏洞~

环境搭建

docker-compose up -d

访问http://your-ip/uploadfiles/nginx.png和http://your-ip/uploadfiles/nginx.png/.php即可查看效果。

漏洞复现

增加/.php后缀，被解析成PHP文件：

我们将nginx.png保存下来查看，可以看到图片中包含了php代码

参考链接

Vulhub - Docker-Compose file for vulnerability environment

中间件攻防-Nginx解析漏洞深入分析 - 知乎 (zhihu.com)