WEB攻防-PHP应用&文件上传&中间件CVE解析&第三方编辑器&已知CMS漏洞#

漏洞条件：#

• Apache2.4.0~2.4.29版本
• 需要有文件上传
• 需要有重命名文件的代码实现

漏洞环境#

编译及运行漏洞环境：

1
docker compose build
2
docker compose up -d

启动后Apache运行在http://your-ip:8080。

漏洞复现#

1. 创建一个名为1.php的文件内容<?php phpinfo();?>，上传该文件，并将filename（重命名修改为：evil.php）
2. 通过burp抓包，将evil.php后面多加一个空格（方便后期十六进制进制定位），并将数据包发送至repeater处
3. 将数据包的内容转换为Hex格式，定位到evil.php ，后方的20（预留空格处），将其修改为0a
4. 点击发送数据包，然后访问http://47.86.173.25:8080/evil.php%0a（在evil.php后面加%0a）即可发现，phpinfo被执行了，该文件被解析为php脚本。但这个文件不是php后缀，说明目标存在解析漏洞：

漏洞条件#

如果运维人员给.php后缀增加了处理器：

1
AddHandler application/x-httpd-php .php

那么，在有多个后缀的情况下，==只要一个文件含有.php后缀的文件即将被识别成PHP文件，==没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。

漏洞环境#

运行如下命令启动一个稳定版Apache，并附带PHP 7.3环境：

1
docker compose up -d

漏洞复现#

总结：http://192.168.200.130/index.php中是一个白名单检查文件后缀的上传组件，上传完成后并未重命名。我们可以通过上传文件名为xxx.php.jpg或xxx.php.jpeg的文件，利用Apache解析漏洞进行getshell。

1. 创建木马文件，1.txt修改内容为：<?=phpinfo()?>，重命名为apache.php.jpeg
2. 上传修改好的文件apache.php.jpeg ，并访问上传路径http://192.168.200.130/uploadfiles/apache.php.jpeg即可发现，phpinfo被执行了，该文件被解析为php脚本。

漏洞条件#

• Nginx 0.8.41 ~ 1.4.3 / 1.5.0 ~ 1.5.7
• 需要有文件上传

漏洞环境#

运行如下命启动漏洞环境：

1
cd ~/vulhub
2
cd nginx/CVE-2013-4547
3
docker compose up -d

环境启动后，访问http://your-ip:8080/即可看到一个上传页面。

漏洞复现#

1. 创建一个名为1.php的文件内容<?php phpinfo();?>，修改此文件后缀 1.gif,上传该文件,抓包发送数据包至repeater，在filename=“1.gif “其后加空格点击发送，查看发送成功
2. 复制发送成功数据包中==上传文件的存储路径==，并加上ip进行路由访问http://192.168.200.130:8080/uploadfiles/1.gif，将访问的数据包再次进行抓包，将抓取的数据包发送至repeater
3. 修改GET后的路径，==将1.gif后面加上两个空格和.php，然后转Hex格式，将第二个空格20修改为00==即可发现，phpinfo被执行了，该文件被解析为php脚本

   1
   GET /uploadfiles/1.gif .php HTTP/1.1
   

4. 细节：在修改Hex中的数值时候，如果发现一直修改不了，应当在修改完毕时候，点旁边任意一个数值，即可修改成功

漏洞条件#

Nginx解析漏洞复现。
版本信息：

• Nginx 1.x 最新版
• PHP 7.x最新版

由此可知，该漏洞与Nginx、php版本无关，属于用户配置不当造成的解析漏洞。

直接执行docker compose up -d启动容器，无需编译。

漏洞环境#

运行如下命启动漏洞环境：

1
cd ~/vulhub
2
cd nginx/nginx_parsing_vulnerability
3
docker compose up -d

环境启动后，访问http://192.168.200.130/uploadfiles/nginx.png和http://your-ip/uploadfiles/nginx.png/.php即可查看效果

漏洞复现#

1. 随便上传一个图片，通过抓取数据包，在该数据包的最后写上php后门代码，可以多写几个
2. 将数据包发送至repeate，并点击发送，获取上传文件保存路径/uploadfiles/8266e4bfeda1bd42d8f9794eb4ea0a13.png
3. 将路径加ip地址，并在路径后面加上/.php即可发现，phpinfo被执行了，该文件被解析为php脚本http://192.168.200.130/uploadfiles/87aa2ffbf3c5370b130361392aedf2ac.png/dsadsdas.php