中间件常见漏洞

简介

Nginx是一个高性能的HTTP和反向代理web服务器，还提供IMAP/POP3/SMTP服务器。Nginx由Igor开发，以其稳定性、丰富的特性集、实例配置文件和低系统资源消耗而闻名。

NGX是一个轻量级的Web服务器/反向代理服务器和电子邮件代理服务器，它是在类似BSD的协议下发布的。其特点是内存占用少，并发性强。其实Nginx的并发性在同类型的web服务器中确实是比较好的。

在中国大陆使用nginx的网站用户有:、JD.COM、新浪、网易、腾讯和淘宝。

Nginx适合高并发，可以作为负载均衡服务器和HTTP服务器，具有代码特性，可以作为代理服务器。

【1】所有资源关注我，私信回复“信息”获取。

你不能访问1.jpg，所以在网址中输入1.jpg…PHP。

那就去拿包。在十六进制选项下，的十六进制代码。是2e，第一个2e改为00。

成功绕过

该漏洞不受cgi.fix_pathinfo影响，为0时仍然解析。

该漏洞在高版本中不存在。

CRLF注入漏洞

脆弱性:

Nginx将对$uri进行编码，这将导致在传入%0a%0d时引入换行符，从而产生CRLF注入漏洞。

错误的配置文件原本的目的是让http请求跳转到https，也就是说配置实现了强制跳转的功能。当用户访问nginx服务器时，由于该配置的存在，用户将被迫跳转到使用https协议访问之前访问的链接。

配置的$url是可控的，这样我们就可以在$url处填充CRLF，然后访问服务器实现头注入。

服务器将向用户返回302跳转。

脆弱性:

劫持合法用户的会话，利用管理员的身份进行恶意操作，篡改页面内容，进一步渗透网站。

使用CRLF注入来设置会话会导致“会话修复漏洞”

原则:

CRLF是“回车+换行”的缩写。在HTTP协议中，HTTP头和HTTP体由两个CRLF隔开，浏览器根据这两个CRLF取出HTTP内容并显示。所以，一旦我们可以控制HTTP消息头中的字符，注入一些恶意的换行符，这样就可以注入一些会话cookie或者HTML代码，CRLF注入也叫HTTP响应拆分，简称HRS。

Nginx将解码$uri，这将导致传入的%0a%0d引入换行符，从而导致CRLF注入漏洞。

当uri跳转到HTTPS时，uri会生成%0a%0d换行符，换行符中一定存在CRLF注入漏洞。

漏洞重现:

CD vulhub/nginx/不安全-配置

docker-撰写向上-d

[http://127 . 0 . 0 . 1/% 0a set-cookie:JSPSESSID % 3d 36]

CRLF+XSS协调:

%0D%0A%0D%0A%3Cimg%20src=1%20onerror=alert%3E% 0D % 0A % 0D % 0A % 3c img % 20 src = 1% 20on error = alert % 3E

使用旧浏览器弹出窗口。

CRLF深度:

攻击者操作:

攻击者打开一个网站，然后服务器会回复他一个会话id。比如SID=abcdefg。攻击者记下了这个id。

攻击向受害者发送邮件，受害者假装抽奖或推销，诱导攻击者点击链接:http://unsafe/ SID=abcdefg，后面是攻击自己的会话ID。

被攻击者吸引后，他点击了http://unsafe/ SID=abcdefg。像往常一样，他输入自己的账号和密码登录银行网站。

因为服务器的会话id不变，现在被攻击者点击后，他就有了攻击者的身份，可以为所欲为。

文件名逻辑漏洞

影响:

nginx 0.8.41 - 1.4.3 / 1.5.0 - 1.5.7

文件名在重现时需要跟一个空网格，而windows不允许这样的文件，所以用vulhub来重现。

漏洞重现:

cd vulhub/nginx/CVE-2013-4547

docker-撰写构建

docker-撰写向上-d

docker ps

上传1.jpg

内容是:

< php phpinfo>

抓取数据包，在后缀名称后添加空，成功绕过。

名字改成2.jpg…PHP，jpg后面的两个2e改成十六进制编码下的20，00。

成功绕过

原则:

建议:

升级版本

溢出整数CVE-2017-7529

漏洞描述:

nginx的范围过滤器中存在整数溢出漏洞。此整数溢出漏洞可由带有特制范围HTTP头的恶意请求触发，这将导致信息泄露。

影响:

Nginx 0.5.6 - 1.13.2

危害程度:

低的