Nginx解析漏洞复现

1、漏洞描述

版本信息：

• Nginx 1.x 最新版
• PHP 7.x最新版

由此可知，该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。

2、漏洞原理

1、 由于nginx.conf的如下配置导致nginx把以’.php’结尾的文件交给fastcgi处理,为此可以构造http://your-ip/uploadfiles/level2.png/1.php (url结尾不一定是‘1.php’,任何服务器端不存在的php文件均可,比如’a.php’),其中level2.png是我们上传的包含PHP代码的照片文件。

 2、但是fastcgi在处理’.php’文件时发现文件并不存在,这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径。为此这里交由fastcgi处理的文件就变成了’/level2.png’。

3、 最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析),此项设置为空的时候才允许fastcgi将’.png’等文件当做代码解析。

 3、漏洞复现过程

docker打开nginx解析漏洞环境

docker-compose up -d

 查看ip地址

生成带有php代码的图片level2.png

 访问http://192.168.2.16/

 上传level2.png，拿到上传路径

访问

访问http://192.168.2.16/uploadfiles/c6198b386557d09c00dd2b85b7a3645a.png/1.php 

 

 成功执行php代码，说明解析漏洞存在！！！

修改php-fpm.conf的配置文件

重启环境

 访问http://192.168.2.16/uploadfiles/c6198b386557d09c00dd2b85b7a3645a.png/1.php

 

拒绝访问，漏洞被修复

4、漏洞防御

1、 将php.ini文件中的cgi.fix_pathinfo的值设置为0,这样php再解析1.png/1.php这样的目录时,只要1.php不存在就会显示404页面

2、 php-fpm.conf中的security.limit_extensions后面的值设置为.php