[Vulhub] Nginx漏洞

最新推荐文章于 2023-12-07 15:04:57 发布
最新推荐文章于 2023-12-07 15:04:57 发布
阅读量1.6k 收藏 13
点赞数 3
分类专栏： 漏洞复现 文章标签： nginx 安全漏洞 渗透测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45605352/article/details/117696444
版权

文章目录

Nginx 解析漏洞

0x00 漏洞描述

访问http://your-ip/uploadfiles/nginx.png和http://your-ip/uploadfiles/nginx.png/.php即可查看效果。Nginx拿到文件路径（更专业的说法是URI）/nginx.png/.php后，一看后缀是.php，便认为该文件是php文件，转交给php去处理。php一看/nginx.png/.php不存在，便删去最后的/.php，又看/nginx.png存在，便把/nginx.png当成要执行的文件了。

0x01 影响版本

该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。

0x02 靶场环境

Nginx 1.x 最新版：https://vulhub.org/#/environments/nginx/nginx_parsing_vulnerability/

0x03 漏洞分析

1、由于nginx.conf的如下配置导致nginx把以.php结尾的文件交给fastcgi处理,为此可以构造http://ip/uploadfiles/nginx.png/.php(url结尾不一定是.php,任何服务器端不存在的php文件均可,比如a.php),其中nginx.png是我们上传的包含PHP代码的图片马。

default.conf配置文件如下：

server {
	listen 80 default_server;
	listen [::]:80 default_server;

	root /usr/share/nginx/html;

	index index.html index.php;

	server_name _;

	location / {
		try_files $uri $uri/ =404;
	}
	
	location ~ \.php$ {
		fastcgi_index index.php;

		include fastcgi_params;

		fastcgi_param  REDIRECT_STATUS    200;
		fastcgi_param  SCRIPT_FILENAME /var/www/html$fastcgi_script_name;
		fastcgi_param  DOCUMENT_ROOT /var/www/html;
		fastcgi_pass php:9000;
	}
}

2、但是fastcgi在处理.php文件时发现文件并不存在，这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用，这项配置用于修复路径，如果当前路径不存在则采用上层路径。为此这里交由fastcgi处理的文件就变成了nginx.png。

3、最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析)，此项设置为空的时候才允许fastcgi将.png等文件当做代码解析。
在这里插入图片描述
注:限制fpm允许解析的脚本扩展名。此设置可以预防web服务器配置的错误。应当限制fpm仅仅解析.php扩展名,阻止恶意用户使用其他扩展名运行php代码。默认值:.php

4、漏洞防御：

  1. 将php.ini文件中的cgi.fix_pathinfo的值设置为0,这样php再解析1.jpg/1.php这样的目录时,只要1.php不存在就会显示404页面
  2. php-fpm.conf中的security.limit_extensions后面的值设置为.php

参考链接：https://www.cnblogs.com/yuzly/p/11208742.html（nginx解析漏洞复现）

0x04 漏洞复现

访问靶场地址，正常上传php文件被拦截：
在这里插入图片描述
上传jpg文件，得到上传后文件路径：
在这里插入图片描述
访问文件路径，正常显示：
在这里插入图片描述
文件路径加入/.php，成功解析成php文件，证明上传代码不存在漏洞，但利用解析漏洞即可getshell：
在这里插入图片描述
如果将php-fpm.conf中的security.limit_extensions后面的值设置为.php，限制fpm仅仅解析.php扩展名,阻止恶意用户使用其他扩展名运行php代码。则不会将.jpg文件当作php代码解析。
在这里插入图片描述

Nginx 文件名逻辑漏洞（CVE-2013-4547）

0x00 漏洞描述

这一漏洞的原理是非法字符空格和截止符\0会导致Nginx解析URI时的有限状态机混乱，危害是允许攻击者通过一个非编码空格绕过后缀名限制。

正常情况下，只有.php后缀的文件才会被发送给fastcgi解析。
这里却错误地解析了请求的URI

0x01 影响版本

Nginx 0.8.41 ~ 1.4.3 / 1.5.0 ~ 1.5.7

0x02 靶场环境

Nginx：https://vulhub.org/#/environments/nginx/CVE-2013-4547/

0x03 漏洞分析

这个漏洞其实和代码执行没有太大关系，其主要原因是错误地解析了请求的URI，错误地获取到用户请求的文件名，导致出现权限绕过、代码执行的连带影响。

举个例子，比如，Nginx匹配到.php结尾的请求，就发送给fastcgi进行解析，常见的写法如下：

location ~ \.php$ {
    include        fastcgi_params;

    fastcgi_pass   127.0.0.1:9000;
    fastcgi_index  index.php;
    fastcgi_param  SCRIPT_FILENAME  /var/www/html$fastcgi_script_name;
    fastcgi_param  DOCUMENT_ROOT /var/www/html;
}

正常情况下（关闭pathinfo的情况下），只有.php后缀的文件才会被发送给fastcgi解析。

而存在CVE-2013-4547的情况下，我们请求1.gif[0x20][0x00].php，这个URI可以匹配上正则\.php$，可以进入这个Location块；但进入后，由于00截断，Nginx却错误地认为请求的文件是1.gif[0x20]，就设置其为SCRIPT_FILENAME的值发送给fastcgi。

fastcgi根据SCRIPT_FILENAME的值进行解析，最后造成了解析漏洞。

所以，我们只需要上传一个空格结尾的文件，即可使PHP解析。

再举个例子，比如很多网站限制了允许访问后台的IP：

location /admin/ {
    allow 127.0.0.1;
    deny all;
}

我们可以请求如下URI：/test[0x20]/../admin/index.php，这个URI不会匹配上location后面的/admin/，也就绕过了其中的IP验证；但最后请求的是/test[0x20]/../admin/index.php文件，也就是/admin/index.php，成功访问到后台。（这个前提是需要有一个目录叫“test ”：这是Linux系统的特点，如果有一个不存在的目录，则即使跳转到上一层，也会爆文件不存在的错误，Windows下没有这个限制）

参考：https://www.freesion.com/article/8137557774/（NGINX不一样的逻辑漏洞）

0x04 漏洞复现

访问http://your-ip:8080/即可看到一个上传页面

// Check filesize
if(!is_uploaded_file($_FILES['file_upload']['tmp_name'])) {
    die('File is not uploaded file');
}

$ext = pathinfo($_FILES['file_upload']['name'], PATHINFO_EXTENSION);
if (empty($ext) || in_array($ext, ['php', 'php3', 'php5', 'phtml'])) {
    die('Unsupported filetype uploaded.');
}

这里对上传的文件做了黑名单限制，上传图片马"test.jpg " ，注意后缀后面有空格：
在这里插入图片描述
访问http://your-ip:8080/uploadfiles/test.jpg[0x20][0x00].php，发现PHP已成功解析：

注意：[0x20]是空格，[0x00]是\0，这两个字符都不需要编码。
抓包将.php前增加[0x20][0x00]两个字节，nginx识别到.php文件，但由于00截断fastcgi会解析test.jpg[0x20]文件
在这里插入图片描述
如果security.limit_extensions限制了值为.php则无法解析，可见security.limit_extensions威力强大，一招破万法。

Nginx越界读取缓存漏洞（CVE-2017-7529）

0x00 漏洞描述

如果请求中包含Range头，Nginx会根据指定的start和end位置，返回指定长度的内容。攻击者可以构造两个负的位置来获取响应中的缓存文件头部信息。在某些配置中，缓存文件头可能包含后端服务器的IP地址或其它敏感信息，比如缓存文件中位于HTTP返回包体前的文件头、HTTP返回包头，从而导致信息泄露。

0x01 影响版本

Nginx version 0.5.6 - 1.13.2

0x02 靶场环境

Nginx：https://vulhub.org/#/environments/nginx/CVE-2017-7529/

0x03 漏洞分析

由于对http header中range域处理不当造成。

主要代码是ngx_http_range_parse函数中的循环。

Nginx在反向代理站点的时候，通常会将一些文件进行缓存，特别是静态文件。缓存的部分存储在文件中，每个缓存文件包括“文件头”+“HTTP返回包头”+“HTTP返回包体”。如果二次请求命中了该缓存文件，则Nginx会直接将该文件中的“HTTP返回包体”返回给用户。

如果我们的请求中包含Range头，Nginx将会根据我指定的start和end位置，返回指定长度的内容。而如果我构造了两个负的位置，如(-600, -9223372036854774591)，将可能读取到负位置的数据。如果这次请求又命中了缓存文件，则可能就可以读取到缓存文件中位于“HTTP返回包体”前的“文件头”、“HTTP返回包头”等内容。当Nginx服务器使用代理缓存的情况下，攻击者通过利用该漏洞可以拿到服务器的后端真实IP。

正向代理和反向代理
正向代理类似一个跳板机，代理访问外部资源：（正向代理即是客户端代理, 代理客户端, 服务端不知道实际发起请求的客户端）

  1. 访问原来无法访问的资源，如google
  2. 可以做缓存，加速访问资源
  3. 对客户端访问授权，上网进行认证
  4. 代理可以记录用户访问记录（上网行为管理），对外隐藏用户信息

反向代理实际运行方式是指以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给internet上请求连接的客户端，此时代理服务器对外就表现为一个服务器：（反向代理即是服务端代理, 代理服务端, 客户端不知道实际提供服务的服务端）

  1. 保证内网的安全，阻止web攻击，大型网站，通常将反向代理作为公网访问地址，Web服务器是内网
  2. 负载均衡，通过反向代理服务器来优化网站的负载

参考链接：
https://www.cnblogs.com/cute-puli/p/13282355.html
https://www.cnblogs.com/taostaryu/p/10547132.html

0x04 漏洞复现

访问http://your-ip:8080/index.html，即可查看到Nginx默认页面，这个页面实际上是反向代理的8081端口的内容。
在这里插入图片描述
调用python3 poc.py http://your-ip:8080/，读取返回结果：
在这里插入图片描述
可见，越界读取到了位于“HTTP返回包体”前的“文件头”、“HTTP返回包头”等内容。
如果读取有误，调整poc.py中的偏移地址（605）。

Nginx 配置错误导致漏洞

Mistake 1. CRLF注入漏洞

0x00 漏洞描述

CRLF注入
回车换行（CRLF）注入攻击是一种当用户将CRLF字符插入到应用中而触发漏洞的攻击技巧。CRLF字符（%0d%0a）在许多互联网协议中表示行的结束，包括HTML，该字符解码后即为\ r\ n。这些字符可以被用来表示换行符，并且当该字符与HTTP协议请求和响应的头部一起联用时就有可能会出现各种各样的漏洞，包括http请求走私（HTTP RequestSmuggling）和http响应拆分（HTTP Response Splitting）。

就http请求走私而言，这种漏洞通常出现在当服务器接收http请求并将该请求转发给其他服务器时，比如说代理和防火墙，这种漏洞将造成如下问题：

  1. 缓存毒化–攻击者可以修改缓存中的内容然后不显示正常页面而显示恶意页面。
  2. 防火墙逃逸–攻击者通过构造数据包来逃避安全检查，通常会利用CRLF和构造超大的数据包。
  3. 请求劫持–攻击者可以通过该利用获取HttpOnly的cookie和http认证数据，类似于xss但是不需要攻击者和黑客进行交互。

测试
CRLF注入漏洞的检测也和XSS漏洞的检测差不多。通过修改HTTP参数或URL，注入恶意的CRLF，查看构造的恶意数据是否在响应头中输出。主要是在看到有重定向或者跳转的地方，可以在跳转的地址添加?url=http://baidu.com/xxx%0a%0dSet-Cookie:%20test123=123测试一下，通过查看响应包的数据查看结果。

如果利用成功的话，响应包会出现一行Set-Cookie: test123=123 数据。

防御方式
服务端收到前端过来的参数，在加入Location之前，需要过滤 \r 、\n 之类的行结束符，避免输入的数据污染其它HTTP首部字段。

参考文章：
https://xz.aliyun.com/t/7501
https://zhuanlan.zhihu.com/p/22953209
https://www.cnblogs.com/mysticbinary/p/12560080.html

0x01 漏洞分析

Nginx会将$uri进行解码，导致传入%0a%0d即可引入换行符，造成CRLF注入漏洞。

错误的配置文件示例（原本的目的是为了让http的请求跳转到https上）

location / {
    return 302 https://$host$uri;
}

0x02 漏洞复现

利用Payload：http://your-ip:8080/%0a%0dSet-Cookie:%20test123=123，可注入Set-Cookie头：
在这里插入图片描述
利用Payload，http://your-ip:8080/%0a%0dSet-Cookie:%20test123=123%0d%0a%0d%0a<img src=1 οnerrοr=alert(/xss/)>，可构造一个xss漏洞：
在这里插入图片描述

Mistake 2. 目录穿越漏洞

0x00 漏洞描述

目录遍历/穿越漏洞是一个WEB安全漏洞，黑客可以利用该漏洞读取运行在服务器上的任意文件。文件可以是应用程序代码，或者数据，后端系统的凭证以及敏感的操作系统文件。在某些情况下，黑客可以在服务器上传任意文件然后允许他们修改应用程序数据行为，从而最终完全控制服务器。

在window上../和..\都是有效的目录遍历序列

利用目录穿越漏洞的常见障碍
如果应用程序从用户提供的文件名中剥离或阻止目录穿越，则可以用多种技术绕过这种防御。

  1. 可以使用文件系统根目录中的绝对路径(filename=/etc/passwd)直接引用文件，无需任何的文件目录遍历。
  2. 使用嵌套的遍历序列，比如….//或者…./,当内部序列被剥离时，它们会被还原为简单的遍历序列
  3. 可以使用各种非标准编码(…%c0af或…%252f)来绕过输入过滤器
  4. 如果应用程序要求用户提供文件名必须以所需的基本文件夹(/var/www/images)开头，则可以包括所需的基本文件夹，后跟适当的遍历序列。例如：filename=/var/www/images/../../../etc/passwd
  5. 如果应用程序需要用户提供的文件名必须以某种要求的文件扩展名如。jpg结尾，则可以使用空子节有效终止要求的扩展名之前的文件路径比如：filename=../../../etc/passwd%00.jpg

防御方式
防止目录文件穿越攻击最有效的方法是避免将用户提供的输入完全传递给文件系统API。可以重写许多执行此操作的应用程序功能，以更安全的方式提供相同的行为。

如果认为将用户输入的信息传递给文件系统API是无法避免的，那么可以使用两层防御来防止攻击：应用程序将在处理之前验证用户输入。理想情况下，验证应与允许值中的白名单进行比较，如果所需功能无法做到这一点，则验证输入内容仅包含允许内容，例如纯字母数字字符。

参考链接：https://bbs.zkaq.cn/t/4315.html

0x01 漏洞分析

Nginx在配置别名（Alias）的时候，如果忘记加/，将造成一个目录穿越漏洞。

错误的配置文件示例（原本的目的是为了让用户访问到/home/目录下的文件）：

location /files {
    alias /home/;
}

0x04 漏洞复现

Payload：http://your-ip:8081/files../ ，成功穿越到根目录：
在这里插入图片描述

Mistake 3. add_header被覆盖

0x00 漏洞描述

Nginx配置文件子块（server、location、if）中的add_header，将会覆盖父块中的add_header添加的HTTP头，造成一些安全隐患。

0x01 漏洞分析

如下列代码，整站（父块中）添加了CSP头：

add_header Content-Security-Policy "default-src 'self'";
add_header X-Frame-Options DENY;

location = /test1 {
    rewrite ^(.*)$ /xss.html break;
}

location = /test2 {
    add_header X-Content-Type-Options nosniff;
    rewrite ^(.*)$ /xss.html break;
}

但/test2的location中又添加了X-Content-Type-Options头，导致父块中的add_header全部失效：

0x02 漏洞复现

访问/test1：
在这里插入图片描述
访问/test2：
在这里插入图片描述
XSS可被触发：
在这里插入图片描述

yAnd0n9
关注
  • 3
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 6
    评论
专栏目录
服务器及nginx常见漏洞修复
09-14
服务器及nginx常见漏洞修复
Nginx解析漏洞测试
09-19
Nginx是一款高性能的web服务器，使用非常广泛，其不仅经常被用作反向代理，也可以非常好的支持PHP的运行。默认情况下可能导致服务器错误的将任何类型的文件以PHP的方式进行解析，这将导致严重的安全问题，使得恶意的攻击者可能攻陷支持php的nginx服务器。
Nginx相关漏洞极其预防1
08-08
Nginx相关漏洞极其预防1
Nginx漏洞扫描器GUI版
08-20
漏洞扫描器，很适合扫描，希望大家会喜欢 欢迎大家下载没有毒的
Python解析nginx日志文件
09-22
Web服务器的各种系统管理工作包括了多Nginx/Apache 日志的统计，python使这个任务变得极其简单，下面我们来详细讲解下具体的做法，有需要的小伙伴可以参考下。
从零开始的渗透测试学习（十）
szyqz的博客
07-27 215
Nginx（发音为"engine-x"）是一个高性能的开源Web服务器和反向代理服务器。：Nginx旨在提供高性能、稳定性和低资源消耗的Web服务器功能。它能够处理大量并发连接并快速响应客户端请求。Nginx支持静态和动态内容的传输，并提供了强大的配置选项，使得开发人员可以灵活地配置和优化服务器。：作为反向代理服务器，Nginx可以代理来自客户端的请求，并将这些请求转发到后端服务器。通过使用反向代理，Nginx可以实现负载均衡、缓存、SSL终端和请求分发等功能。
安全渗透测评之nginx配置解决方案
just_for_that_moment的博客
08-13 7871
host头攻击漏洞，点击劫持漏洞，X-Download-Options响应头缺失，X-Permitted-Cross-Domain-Policies响应头缺失，Referrer-Policy响应头缺失，Strict-Transport-Security响应头缺失，Content-Security-Policy响应头缺失，X-XSS-Protection响应头缺失，X-Content-Type-Options响应头缺失，会话cookie中缺少HttpOnly属性......
pentest 渗透测试 nginx配置
m0_66173671的博客
01-06 347
pentest 渗透测试 nginx配置
奇怪的知识，黑客如何用nginx攻击一个网站？
不定时分享最优质的网络技术与教程，满满的干货。
03-15 572
这两天在写一个小程序，计划做成程序员资源、求助、内推、课程、学习路线图之类的综合类小程序，所以更新有点慢了，见谅见谅。对于今天所述的文章，真正有不良居心的人，总是会有更sao的攻击方法。我也不敢说得太多，而且这些攻击的行为都是违法的，建议大家学会以后手下留情。今天的目的实际上是教大家学会nginx。
安全渗透测试解决方法以及使用nginx进行解决
qq_45621643的博客
12-07 709
线上安全环境维护
nginx1.4.0漏洞验证
06-21
测试用到的python文件和linux版本的nginx1.4.0源码
Nginx中间件渗透总结
kali_Ma的博客
11-16 6733
简介 Nginx（engine x）是一个高性能的HTTP和反向代理web服务器，同时也提供了IMAP/POP3/SMTP服务器Nginx是由伊戈尔开发，因为它的稳定性、丰富的功能集、实例配置文件和低系统资源的消耗而闻名。 Nginx是一款轻量级的Web服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器，在BSD-like协议下发行，其特点是占用内存少，并发能力强，事实上nginx的并发能力确实在同类型的网页服务器中表现较好 中国大陆使用 nginx 的网站用户有：百度、京东、新浪、网易、腾
10.100个渗透测试实战#10（DC-5）
qwsn
03-30 2579
世间一切即可努力 ...
渗透测试思路整理
闵行小鱼塘
07-02 4631
有些时候渗透测试搞着搞着就陷入了无解状态，不知道再从哪儿下手了，故对渗透测试思路做个整理，后续有新的见解持续更新
【vulhub】Nginx错误配置导致的漏洞
qq_45300786的博客
04-21 1115
运行测试环境 docker-compose up -d 运行成功后，Nginx将会监听8080/8081/8082三个端口，分别对应三种漏洞。 1.CRLF注入漏洞 漏洞介绍：CRLF是“\r\n”的简称，即回车+换行的意思。在HTTP协议里，http头部和http正文是用两个CRLF分割的，恶意的注入http返回包头部，即是CRLF注入漏洞。这也叫HTTP Response Splitting ，简称HRS。 漏洞复现：这里搭建了一个简单的靶机环境，错误配置示例如下，传入的 %oa%0d 会被uri解
Vulhub中Nginx系列之CVE-2013-4547、CVE-2017-7529、Insecure-configuration、nginx_parsing_vulne 漏洞复现
weixin_41438728的博客
11-30 1216
Nginx系列漏洞复现一、Nginx 文件名逻辑漏洞（CVE-2013-4547 ）漏洞复现影响版本漏洞说明漏洞利用漏洞修复Nginx越界读取缓存漏洞（CVE-2017-7529 ）漏洞复现影响版本漏洞说明概念介绍漏洞利用漏洞修复配置错误导致漏洞（insecure-configuration ）影响版本影响说明1、CRLF注入漏洞Mistake 1. CRLF注入漏洞2、目录穿越漏洞3、add_header被覆盖nginx_parsing_vulnerability 一、Nginx 文件名逻辑漏洞（CVE-
Nginx 配置错误导致漏洞（insecure-configuration）复现
weixin_51198941的博客
09-28 173
Nginx 配置错误导致漏洞有三种，分别是：（1）CRLF注入漏洞；（2）目录穿越遍历漏洞 （3）add_header被覆盖。
Nginx 配置错误导致的漏洞
qq_68163788的博客
11-24 741
ngixn错误配置导致漏洞在Docker中，NGINX常常被用作Web应用的代理服务器或负载均衡器。通过Docker，可以快速部署和管理NGINX容器，实现灵活的扩展和配置。
docker下实现nginx的三种配置错误漏洞
xk2844600795的博客
08-09 156
uri$uri。
nginx1.18.0漏洞
最新发布
12-16
Nginx 1.18.0是一个非常受欢迎的Web服务器软件，但它也存在一些漏洞和安全问题。具体来说，Nginx 1.18.0在某些版本中存在一个已知的漏洞，该漏洞允许恶意攻击者利用一个特定的恶意请求来绕过访问控制，并可能引发潜在的安全问题。 这个漏洞的原因是由于Nginx在处理某些请求时存在漏洞，攻击者可以发送特殊设计的请求来绕过Nginx的访问控制，从而可能导致拒绝服务攻击、信息泄露或远程代码执行等安全问题。具体的漏洞细节和利用方式可能会因版本和配置而有所不同，因此建议及时更新和修复Nginx版本，以避免潜在的安全威胁。 为了防止这个漏洞带来的安全问题，用户应该及时更新Nginx到最新版本，并遵循最佳的安全实践。这包括使用合适的配置和访问控制策略，以限制外部访问和最小化攻击的影响范围。此外，应该定期对Nginx服务器进行安全审计和漏洞扫描，以及部署适当的入侵防御系统和监控工具，以及时检测和应对任何安全事件。 总结而言，Nginx 1.18.0存在一个已知的漏洞，攻击者可以利用该漏洞绕过访问控制，可能导致拒绝服务攻击、信息泄露或远程代码执行等安全问题。为了保护服务器和数据安全，用户应该及时更新Nginx到最新版本，并采取合适的安全措施，并定期进行安全审计和漏洞扫描。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值