Nginx 文件名逻辑漏洞(CVE-2013-4547)

AffettoIris 2023-9-24 9,113,626 9/24

官网给的漏洞原理及题解

题解

vlhub给了我们这样的网页

Nginx 文件名逻辑漏洞(CVE-2013-4547)

测试发现只不能提交.php文件,我们将一句话木马<?php phpinfo(); ?>写进1.txt,重命名为1.jpg,然后上传,这个过程burp抓包,将filename从"1.jpg"改为"1.jpg "并forward,上传成功~服务器存着一个叫"1.jpg "的非图片文件.

Nginx 文件名逻辑漏洞(CVE-2013-4547)

在浏览器输入62.234.14.252:8080/uploadfiles/1.jpgaa.php并抓包,

Nginx 文件名逻辑漏洞(CVE-2013-4547)

然后Forward,漏洞利用成功:

Nginx 文件名逻辑漏洞(CVE-2013-4547)

我的服务器是nginx1.20,比较新,上述漏洞未能成功显示phpinfo();显示如下:

Nginx 文件名逻辑漏洞(CVE-2013-4547)

踩坑点及深入挖掘原理

  1. 成功上传1.jpg[0x20]后,访问http://62.234.14.252:8080/uploadfiles/1.jpg显示如下

    Nginx 文件名逻辑漏洞(CVE-2013-4547)

    因为服务器上存的是1.jpg[0x20],而浏览器输入62.234.14.252:8080/uploadfiles/1.jpg[0x20]实际访问的还是62.234.14.252:8080/uploadfiles/1.jpg (对,浏览器会过滤忽略掉url开头结尾的空格),所以404了。

  2. 假设我们上传的就是1.jpg,文件名不带空格,然后我们访问62.234.14.252:8080/uploadfiles/1.jpg,这个访问过程无法被FoxyProxy和burp抓包,可能是因为纯图片不是报文不在其业务范围的缘故。

    解决如何即访问1.jpg[0x20]又能让burp抓到包?:

    访问http://62.234.14.252:8080/uploadfiles/1.jpgaa.php,违背了纯图片就能被抓包了。然后用burp在底层将aa修改为[0x20][0x00]就能访问1.jpg[0x20]了

  3. 官方教程教收尾阶段访问http://your-ip:8080/uploadfiles/1.jpg[0x20][0x00].php,我傻乎乎的尝试在浏览器输入带[]的、不带[]的、[0x20]改写而成空格的、[0x00]改写不成空,都显示404了。后来才知道要去burp去修改报文的十六进制底层,即访问http://62.234.14.252:8080/uploadfiles/1.jpgaa.php,其中aa是可以留的占位符,a在底层对应ascii的十六进制61,将[61][61]改成[20][00],其中20是空格,00是空的ascii。

  4. 这里应该是用到了0x00截断原理了,具体原理是 系统在对文件名的读取时,如果遇到0x00,就会认为读取已结束。这个常用在对文件类型名的绕过上。还不止这个原理。

  5. 当Nginx得到一个用户请求时,首先对url进行解析,进行正则匹配,如果匹配到以.php后缀结尾的文件名(即http://62.234.14.252:8080/uploadfiles/1.jpg \0.php),会将请求的PHP文件交给PHP-CGI去解析。其中处理模块如下:

    location ~ \.php$ {
        root           html;
        include        fastcgi_params;
    
        fastcgi_pass   IP:9000;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  /var/www/html$fastcgi_script_name;
        fastcgi_param  DOCUMENT_ROOT /var/www/html;
    }

    以.php结尾的文件都会交给该模块处理,其中fastcgi_pass就是Nginx与PHP-FPM之间的媒介,通过ip+port的方式将请求转发给PHP解释器。

    但是我们有代码的文件它叫’1.jpg ‘啊,不叫'1.php'不叫'1.jpg php'不叫'1.jpgphp',所以我们利用0x00的阶段原理,用0x00将'1.jpg '和.php分隔开。http://62.234.14.252:8080/uploadfiles/1.jpg \0.php通过.php进入这个Location块;但进入后,Nginx却因0x00隔断而错误地认为请求的文件是1.gif[0x20],就将'1.gif '交付PHP-CGI去解析(就设置其为SCRIPT_FILENAME的值发送给fastcgi)。

- THE END -

AffettoIris

10月16日15:24

最后修改:2023年10月16日
2

共有 142,721 条评论

  1. Sheltonkeync

    Алкогольный запой представляет собой тяжелое состояние, вызванное длительным бесконтрольным употреблением спиртных напитков. Без медицинского вмешательства вывести организм из запоя может быть сложно и даже опасно. Срочная помощь нарколога требуется при следующих признаках:
    Подробнее – <a href=https://kapelnica-ot-zapoya-nizhniy-novgorod0.ru/>капельница от запоя нижегородская область</a>

  2. Alberthip

    Мы проводим инфузионное введение детоксикационных коктейлей. Очищение крови позволяет восстановить баланс и нормализовать функции мозга уже в первые часы. Стоимость услуги остаётся доступной, а срочный выезд бригады к больному в любом районе и области осуществляется 24/7. В базовый состав лечения входят солевые растворы, витамины группы B, гепатопротекторы и седативные компоненты. Такая комбинация помогает купировать ломки, снять тревогу и бессонницу, стабилизировать давление. Мы также обязательно добавляем кардиопротекторы, улучшающие мозговое кровообращение.
    Выяснить больше – <a href=https://vyvod-iz-zapoya-moskva1-13.ru/>вывод из запоя москва срочно</a>

  3. Danielfuecy

    Для наглядности представлена таблица с основными этапами лечения и их характеристиками:
    Ознакомиться с деталями – <a href=https://narkologicheskaya-clinika-v-rostove19.ru/>вывод наркологическая клиника</a>

  4. Russellerova

    Работа клиники строится на принципах доказательной медицины и индивидуального подхода. При поступлении пациента осуществляется всесторонняя диагностика, включающая анализы крови, оценку психического состояния и анамнез. По результатам разрабатывается персонализированный курс терапии.
    Исследовать вопрос подробнее – <a href=https://narkologicheskaya-klinika-v-ryazani12.ru/>наркологические клиники алкоголизм</a>

  5. Дон8Плей_Бет

    Только оригинальный софт
    https://www.don8play.ru/

  6. Terrypor

    Назначение
    Получить дополнительную информацию – <a href=https://kapelnicza-ot-zapoya-pervouralsk11.ru/>капельница от запоя стоимость в первоуральске</a>

  7. JamesLam

    Термин «зеркала Kraken» относится к альтернативным веб-адресам ресурса, дублирующим основной сайт. Такие копии создают для обеспечения доступа при технических ограничениях. Важно помнить: деятельность на подобных платформах может противоречить законодательству, а работа с ними связана с рисками утечки данных.<a href=https://clckat.fun/darknet-ofitsial-nyi-sait-kraken-polnoe-rukovodstvo-i-struktura/>магазин kraken даркнет
    </a>

  8. don8play

    Эксклюзивные промокоды 2026
    https://www.don8play.ru/

  9. CharlesCig

    В данной публикации мы поговорим о процессе восстановления от зависимости, о том, как вернуть себе нормальную жизнь. Мы обсудим преодоление трудностей, значимость поддержки и наличие программ реабилитации. Читатели смогут узнать о ключевых шагах к успешному восстановлению.
    Погрузиться в научную дискуссию – <a href=https://www.smolmed.ru/kapelnica-ot-zapoya-chto-eto-i-dlya-chego-nuzhno/>Наркологическая клиника «Похмельная служба» в Новороссийске</a>

  10. RobertSon

    В этой статье рассматриваются способы преодоления зависимости и успешные истории людей, которые справились с этой проблемой. Мы обсудим важность поддержки со стороны близких и профессионалов, а также стратегии, которые могут помочь в процессе выздоровления. Научитесь первоочередным шагам к новой жизни.
    Слушай внимательно — тут важно – <a href=http://healthyorgans.ru/novosti/alkogolizm/25248-narkolog-na-dom-operativnaya-narkologicheskaya-pomoshch>стоп алко новороссийск</a>