IIS

解析漏洞

IIS6.x

基于文件名

将 *.asp;.jpg 此种格式的文件名，当成asp解析，
原理：服务器默认不解析; 号及其后面的内容，相当于截断。

基于文件夹名

将 *.asp/目录下的所有文件当成asp解析

其他

默认会将扩展名为.asa，.cdx，.cer解析为asp

漏洞修复

限制上传目录执行权限，不允许执行脚本
不允许新建目录。
上传的文件需经过重命名(时间戳+随机数+.jpg等)

IIS7.x

漏洞描述

CGI运行模式

CGI即通用网关接口(Common Gateway Interface)，它是一段程序，通俗的讲CGI就象是一座桥，把网页和WEB服务器中的执行程序连接起来，它把HTML接收的指令传递给服务器的执行程序，再把服务器执行程序的结果返还给HTML页。CGI 的跨平台性能极佳，几乎可以在任何操作系统上实现。

CGI方式在遇到连接请求（用户请求）先要创建cgi的子进程，激活一个CGI进程，然后处理请求，处理完后结束这个子进程。这就是fork-and-execute模式。所以用cgi方式的服务器有多少连接请求就会有多少cgi子进程，子进程反复加载是cgi性能低下的主要原因。都会当用户请求数量非常多时，会大量挤占系统的资源如内存，CPU时间等，造成效能低下。
Fast-CGI运行模式

fast-cgi 是cgi的升级版本，FastCGI像是一个常驻(long-live)型的CGI，它可以一直执行着，只要激活后，不会每次都要花费时间去fork一次。PHP使用PHP-FPM(FastCGI Process Manager)，全称PHP FastCGI进程管理器进行管理。
FastCGI的工作原理

1、Web Server启动时载入FastCGI进程管理器(IIS ISAPI或Apache Module)

2、FastCGI进程管理器自身初始化，启动多个CGI解释器进程(可见多个php-cgi)并等待来自Web Server的连接。

3、当客户端请求到达Web Server时，FastCGI进程管理器选择并连接到一个CGI解释器。Web server将CGI环境变量和标准输入发送到FastCGI子进程php-cgi。

4、 FastCGI子进程完成处理后将标准输出和错误信息从同一连接返回Web Server。当FastCGI子进程关闭连接时，请求便告处理完成。FastCGI子进程接着等待并处理来自FastCGI进程管理器(运行在Web Server中)的下一个连接。在CGI模式中，php-cgi在此便退出了。

在上述情况中，你可以想象CGI通常有多慢。每一个Web请求PHP都必须重新解析php.ini、重新载入全部扩展并重初始化全部数据结构。使用FastCGI，所有这些都只在进程启动时发生一次。一个额外的好处是，持续数据库连接(Persistent database connection)可以工作。

漏洞利用

Fast-CGI运行模式下
任意文件test.jpg后面加上/.php，会将test.jpg 解析为php文件。

漏洞修复

配置cgi.fix_pathinfo(php.ini中)为0并重启php-cgi程序

PUT漏洞

描述

Web 服务扩展中开启了 WebDAV之后，支持多种请求，配合写入权限，可造成任意文件写入

漏洞修复

关闭WebDAV 和写权限

短文件名漏洞

描述

此漏洞实际是由HTTP请求中旧DOS 8.3名称约定（SFN）的代字符（〜）波浪号引起的。它允许远程攻击者在Web根目录下公开文件和文件夹名称（不应该可被访问）。攻击者可以找到通常无法从外部直接访问的重要文件，并获取有关应用程序基础结构的信息。
Windows 支持以 8.3 格式生成与 MS-DOS 兼容的（短）文件名，以允许基于 MS-DOS 或 16 位 Windows的程序访问这些文件。在cmd下进入IIS网站根目录C:\inetpub\wwwroot输入“dir /x”即可看到短文件名的效果：

影响版本

IIS 1.0，Windows NT 3.51
IIS 3.0，Windows NT 4.0 Service Pack 2
IIS 4.0，Windows NT 4.0选项包
IIS 5.0，Windows 2000
IIS 5.1，Windows XP Professional和Windows XP Media Center Edition
IIS 6.0，Windows Server 2003和Windows XP Professional x64 Edition
IIS 7.0，Windows Server 2008和Windows Vista
IIS 7.5，Windows 7（远程启用customErrors或没有web.config）
IIS 7.5，Windows 2008（经典管道模式）

IIS短文件名产生

当后缀小于4时，短文件名产生需要文件(夹)名前缀字符长度大于等于9位。
当后缀大于等于4时，文件名前缀字符长度即使为1，也会产生短文件名。

短文件名猜测

目前IIS支持短文件名猜测的HTTP方法包括
DEBUG
OPTIONS
GET
POST
HEAD
TRACE
IIS 8.0之后的版本只能通过OPTIONS和TRACE方法被猜测成功。
IIS 8.0，Windows 8, Windows Server 2012
IIS 8.5，Windows 8.1,Windows Server 2012 R2
IIS 10.0，Windows 10, Windows Server 2016

IIS短文件漏洞局限性

如果文件名本身太短也是无法猜解的；
此漏洞只能确定前6个字符，如果后面的字符太长、包含特殊字符，很难猜解；
如果文件名前6位带空格，8.3格式的短文件名会补进，和真实文件名不匹配；
如果文件夹名前6位字符带点"."，扫描程序会认为是文件而不是文件夹，最终出现误报；
不支持中文文件名，包括中文文件和中文文件夹。一个中文相当于两个英文字符，故超过4个中文字会产生短文件名，但是IIS不支持中文猜测。

漏洞修复

从CMD命令关闭NTFS 8.3文件格式的支持

Windows Server 2003：
(1代表关闭，0代表开启）关闭该功能：fsutil behavior set disable8dot3 1

Windows Server 2008 R2：
查询是否开启短文件名功能：fsutil 8dot3name query
关闭该功能：fsutil 8dot3name set 1
不同系统关闭命令稍有区别，该功能默认是开启的.

或从修改注册表关闭NTFS 8.3文件格式的支持
快捷键Win+R打开命令窗口，输入regedit打开注册表窗口
找到路径： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem
将其中的 NtfsDisable8dot3NameCreation这一项的值设为 1，1代表不创建短文件名格式

远程代码执行漏洞

MS15-034

HTTP.SYS远程代码执行
远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。
成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。

影响范围：IIS7.5
Windows 7
Windows 8
Windows 8.1
Windows Server 2008 R2
Windows Server 2012
Windows Server 2012 R2

漏洞修复

安装修复补丁（KB3042553）

Apache

Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充，将Perl/Python等解释器编译到服务器中。

解析漏洞

未知扩展名解析漏洞

漏洞原理

Apache的解析漏洞依赖于一个特性： Apache默认一个文件可以有多个以点分割的后缀，当最右边的后缀无法识别，则继续向左识别，直到识别到合法后缀才进行解析
上传rar，owf等文件进行利用，如果上传phpinfo.php.jpg，即使文件名中有.php，也会直接解析为jpg。因为Apache认识.jpg,停止继续向左识别。

漏洞修复

AddHandler导致的解析漏洞

漏洞原理

如果运维人员给.php后缀增加了处理器：

AddHandler application/x-httpd-php .php

那么，在有多个后缀的情况下，只要一个文件名中含有.php后缀，即被识别成PHP文件，没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。即使最右边的文件格式是在mime.types文件内，只要文件名中出现.php，就直接被解析为php。

Apache HTTPD 换行解析漏洞

影响范围

2.4.0~2.4.29版本

漏洞原理

此漏洞形成的根本原因在于$, 正则表达式中$不仅匹配字符串结尾位置，也可以匹配\n 或 \r
在解析PHP时，1.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。

漏洞复现

环境：phpstudy2014 Apache + PHP5.4n

漏洞修复

升级到最新版本
或将上传的文件重命名为为时间戳+随机数+.jpg的格式并禁用上传文件目录执行脚本权限。

目录遍历

漏洞成因

漏洞复现

修改apache配置文件httpd.conf，找到Options+Indexes+FollowSymLinks +ExecCGI并修改成 Options-Indexes+FollowSymLinks +ExecCGI

漏洞修复

Nginx

解析漏洞

漏洞成因

Nginx配置文件错误导致的解析漏洞

影响版本

与版本无关

漏洞原理

对于任意文件名，在后面添加/xxx.php（xxx为任意字符）后,即可将文件作为php解析。
例：info.jpg后面加上/xxx.php，会将info.jpg 以php解析。
php的一个选项：cgi.fix_pathinfo，该选项默认开启，值为1，用于修理路径，
例如：当php遇到文件路径"/info.jpg/xxx.php/lxh.sec"时
若"/info.jpg/xxx.php/lxh.sec"不存在，则会去掉最后的"/lxh.sec"，然后判断"/info.jpg/xxx.php"是否存在
若存在则将/info.jpg/xxx.php，当作文件/info.jpg/xxx.php/lxh.sec
若/info.jpg/xxx.php仍不存在，则继续去掉xxx.php,依此类推。

漏洞修复

配置cgi.fix_pathinfo(php.ini中)为0并重启php-cgi程序。
或如果需要使用到cgi.fix_pathinfo这个特性（例如：Wordpress），那么可以禁止上传目录的执行脚本权限。或将上传存储的内容与网站分离，即站库分离。
或高版本PHP提供了security.limit_extensions这个配置参数，设置security.limit_extensions = .php

目录遍历

漏洞原理

错误的配置可到导致目录遍历与源码泄露
当Nginx配置文件中，autoindex 的值为on时，将造成一个目录遍历漏洞

漏洞复现

修改/etc/nginx/sites-avaliable/default，添加autoindex on

漏洞修复

将/etc/nginx/sites-avaliable/default里的autoindex on改为autoindex off.

目录穿越

漏洞原理

Nginx反向代理，静态文件存储在/home/下，而访问时需要在url中输入files，配置文件中/files没有用/闭合，导致可以穿越至上层目录

location / {autoindex on;alias c:/www/home/;
}

漏洞复现

漏洞修复

Nginx配置文件/etc/nginx/conf.d/error2.conf的/files使用/闭合.
保证location和alias的值都有后缀/或都没有/这个后缀。

CRLF注入

漏洞成因

$uri
$document_uri
$request_uri

1和2表示的是解码以后的请求路径，不带参数；3表示的是完整的URI（没有解码）Nginx会将1，2进行解码，导致传入%0a%0d即可引入换行符，造成CRLF注入漏洞CRLF时“回车+换行”（\r\n)键的简称HTTP Header与HTTP Body用两个CRLF分隔的，浏览器根据两个CRLF来取出HTTP内容并显示出来通过控制HTTP消息头中的字符，注入恶意换行，就能注入一些会话cookie或者html代码

漏洞修复

Nginx的配置文件/etc/nginx/conf.d/error1.conf修改为使用不解码的url跳转

location / {return 302 http://$host$request_url;
}

add_header被覆盖

漏洞原理

Nginx的配置文件分为Server、Location等一些配置块，并且存在包含关系，子块会继承父块的一些选项
子块中添加与父块相同的add_header，导致父块中的全部失效

漏洞复现

漏洞修复

任意代码执行漏洞

影响版本

0.5
0.6
0.7 <= 0.7.65
0.8 <= 0.8.37

漏洞原理

空字节任意代码执行漏洞

漏洞复现

Windows环境 Nginx 0.7.65+php 5.3.2
创建info.jpg，访问并抓包，修改为info.jpg…php，在Hex选修卡中将jpg后面的…更改为00.
该漏洞不受cgi.fix_pathinfo影响，当其为0时，依旧解析

文件名逻辑漏洞

CVE-2013-4547

影响版本

0.8.41 ~ 1.4.3
1.5.0 ~ 1.5.7

漏洞复现

修改info.jpg…php，在Hex选修卡中将jpg后面的两个点2e分别改为20，00
该漏洞不受cgi.fix_pathinfo影响，当其为0时，依旧解析，在Windows上有所限制

修复建议

设置security.limit_extensions = .php
或升级Nginx

Tomcat

Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。对于一个初学者来说，可以这样认为，当在一台机器上配置好Apache服务器，可利用它响应HTML（标准通用标记语言下的一个应用）页面的访问请求。实际上Tomcat是Apache服务器的扩展，但运行时它是独立运行的，所以当运行tomcat 时，它实际上作为一个与Apache独立的进程单独运行的

任意文件写入

CVE-2017-12615

影响环境

Tomcat/8.0.30

漏洞原理

Tomcat配置文件/conf/web.xml 配置了可写（readonly=false），导致我们可以向服务器写文件

<init-param><param-name>readonly</param-name><param-value>false</param-vlaue>
</init-param>

漏洞修复

将readonly=true，默认为true

远程代码执行

CVE-2019-0232

影响范围

9.0.0.M1 ~ 9.0.17
8.5.0 ~ 8.5.39
7.0.0 ~ 7.0.93

漏洞原理

漏洞复现

漏洞修复

弱口令&&后台getshell漏洞

漏洞成因

漏洞复现

环境：Apache Tomcat/7.0.94
在conf/tomcat-users.xml文件中配置用户的权限，正常安装的情况下，tomcat7.0.94中默认没有任何用户，且manager页面只允许本地IP访问，只有管理员手工修改了这些属性的情况下，才可以进行攻击

修复建议

若无必要，取消manager/html功能。
若要使用，manager页面应只允许本地IP访问

Manager App 暴力破解

漏洞成因

漏洞复现

环境：Apache Tomcat/7.0.94
访问：http://127.0.0.1:8080/manager/html, 输入密码，抓包

漏洞修复

若无必要，取消manager/html功能。
若要使用，manager页面应只允许本地IP访问

war后门文件部署

WebLogic

WebLogic是美国Oracle公司出品的一个applicationserver，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中

反序列化漏洞

CVE-2017-10271

XMLDecoder 反序列化命令执行漏洞
Weblogic的WLS Security组件对外提供webservice服务，其中使用了XMLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。攻击者发送精心构造的xml数据甚至能通过反弹shell拿到权限。

影响版本

10.3.6.0.0
12.1.3.0.0
12.2.1.1.0
12.2.1.2.0

漏洞复现

CVE-2018-2628

WLS Core Components 反序列化命令执行漏洞
CVE-2018-2628漏洞与CVE-2017-3248漏洞利用方法类似，仅仅更换了使用的rmi接口，用java.rmi.activation.Activator替换了CVE-2017-3248所使用的java.rmi.registry.Registry，从而绕过resolveProxyClass的判断，成功绕过了CVE-2017-3248漏洞的修复补丁

CVE-2019-2725

CVE-2019-2729

wls9_async_response,wls-wsat 反序列化远程代码执行
这个漏洞是CVE-2019-2725的Bypass，对于JDK1.6，使用标记有效地替换了标记的功能。只需用标签替换标签就可以有效地绕过黑名单。

任意代码执行

CVE-2020-14882

远程攻击者可以构造特殊的HTTP请求，在未经身份验证的情况下接管 WebLogic Server Console，并在 WebLogic Server Console 执行任意代码。
结合 CVE-2020-14883 漏洞，远程攻击者可以构造特殊的HTTP请求，在未经身份验证的情况下接管 WebLogic Server Console ，并在 WebLogic Server Console 执行任意代码。

影响版本

10.3.6.0.0
12.1.3.0.0
12.2.1.3.0
12.2.1.4.0
14.1.1.0.0

漏洞复现

利用 com.tangosol.coherence.mvel2.sh.ShellSession 执行命令
利用 com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext 执行命令

权限绕过

CVE-2020-14883

远程攻击者可以构造特殊的HTTP请求，在未经身份验证的情况下接管 WebLogic Server Console。权限绕过漏洞（CVE-2020-14883），访问以下URL，未授权访问到管理后台页面（低权限的用户）

漏洞复现

/console/images/%252E%252E%252Fconsole.portal
/console/css/%252e%252e%252fconsole.portal（小写可绕过补丁）
/console/css/%25%32%65%25%32%65%25%32%66console.portal

SSRF

CVE-2014-4210

Weblogic中存在一个SSRF漏洞，利用该漏洞可以发送任意HTTP请求，进而攻击内网中redis、fastcgi等脆弱组件。
SSRF漏洞可以通过篡改获取资源的请求发送给服务器，但是服务器并没有检测这个请求是否合法的，然后服务器以他的身份来访问其他服务器的资源。
redis简介
Redis是一个开源的使用ANSIC语言编写、遵守BSD协议、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API
它通常被称为数据结构服务器，因为值（value）可以是字符串(String), 哈希(Hash), 列表(list), 集合(sets) 和有序集合(sorted sets)等类型。

影响版本

10.3.6.0
10.0.2.0

漏洞复现

注入HTTP头，利用Redis反弹shell
Weblogic的SSRF有一个比较大的特点，其虽然是一个“GET”请求，但是我们可以通过传入%0a%0d来注入换行符，而某些服务（如redis）是通过换行符来分隔每条命令，也就说我们可以通过该SSRF攻击内网中的redis服务器

弱口令和任意文件上传

CVE-2019-2618

利用任意文件读取来获取weblogic的弱口令登录进入后台，然后通过上传getshell，通过构造任意文件下载漏洞环境读取到后台用户名和密码，然后登陆进后台，上传webshell。
漏洞主要是利用了WebLogic组件中的DeploymentService接口，该接口支持向服务器上传任意文件。登录weblogic之后，设置wl_request_type参数为app_upload，构造文件上传格式的POST请求包，上传jsp木马文件，进而可以获得整个服务器的权限。
另外，weblogic的DeploymentService接口的正常功能本来就能部署war包。

影响版本

10.3.6.0
12.1.3.0
12.2.1.3

漏洞复现

XXE漏洞

CVE-2019-2647
CVE-2019-2648
CVE-2019-2649
CVE-2019-2650

jBoss

jBoss是一个基于J2EE的开发源代码的应用服务器。 JBoss代码遵循LGPL许可，可以在任何商业应用中免费使用。JBoss是一个管理EJB的容器和服务器，支持EJB1.1、EJB 2.0和EJB3的规范。但JBoss核心服务不包括支持servlet/JSP的WEB容器，一般与Tomcat或Jetty绑定使用。
默认端口:8080,9990

反序列化漏洞

JMXInvokerServlet 反序列化漏洞

EJBInvokerServlet 反序列化漏洞

JBossMQ JMS 反序列化漏洞

Administration Console 弱口令

JMX Console未授权访问

war后门文件部署

web漏洞之中间介漏洞相关推荐

web渗透测试靶机系统漏洞测试环境
本文总结了目前网络上比较流行的渗透测试演练系统,这些系统里面都提供了一些实际的安全漏洞,排名不分先后,各位安全测试人员可以亲身实践如何利用这个漏洞,同时也可以学习到漏洞的相关知识. DVWA (Dam ...
开源Web应用中最常见漏洞是XSS和SQLI漏洞
Web应用程序安全公司Netsparker使用他们的自动化安全扫描工具,对396 个Web应用程序进行了扫描,发现了269个安全漏洞,其中最多的漏洞是跨站点脚本(XSS)和SQL注入(SQLI)漏洞, ...
Web安全之文件包含漏洞
什么是文件包含程序开发人员一般会把重复使用的函数写到单个文件中,需要使用某个函数时直接调用此文件.而无需再次编写,这种文件调用的过程一般被称为文件包含. 例如:include "conn ...
Web 文件管理器elFinder 的漏洞链分析
应用程序与文件系统的交互始终是高度安全敏感的,因为较小的功能漏洞很容易成为可利用漏洞的来源.这种观察在web文件管理器的情况下尤其正确,其作用是复制完整文件系统的功能并以透明的方式将其公开给客户端的浏 ...
Web安全—文件上传漏洞
文件上传漏洞提要:文件上传漏洞属于服务端漏洞,可归纳为文件操作类型中的漏洞. 漏洞简介:文件上传漏洞是Web安全中对数据与代码分离原理的一种攻击方法,顾名思义,攻击者上传了一个可执行文件(木马,病毒 ...
web漏洞-SQL注入漏洞、目录遍历漏洞、文件下载漏洞
这里用到的是Pikachu漏洞练习平台一.SQL注入漏洞-数字型注入 SQL注入漏洞简介在owasp发布的top10排行榜里,注入漏洞一直是危害排名第一的漏洞,其中注入漏洞里面首当其冲的就是数据库 ...
小白兔快开门，我是你爸爸。WEB安全基础入门—访问控制漏洞和权限提升
欢迎关注订阅专栏! WEB安全系列包括如下三个专栏: <WEB安全基础-服务器端漏洞> <WEB安全基础-客户端漏洞> <WEB安全高级-综合利用> 知识点全面细致 ...
Web 安全恩仇录：漏洞原理
课程介绍本课程主要内容为 Web 常见漏洞分析,同时会介绍在各个阶段需要做什么事,该课程利用的攻防平台是 Kali Linux 以及一些 Linux 和 Windows 靶机,按照主次会依次介绍 O ...
web安全入门课程推荐--Web 安全恩仇录：漏洞原理
玄魂玄魂工作室 gitchat上看到的一套入门教程. 课程介绍本课程主要内容为 Web 常见漏洞分析,同时会介绍在各个阶段需要做什么事,该课程利用的攻防平台是 Kali Linux 以及一些 Li ...

web漏洞之中间介漏洞

IIS

解析漏洞

IIS6.x

IIS7.x

PUT漏洞

短文件名漏洞

远程代码执行漏洞

Apache

解析漏洞

未知扩展名解析漏洞

AddHandler导致的解析漏洞

Apache HTTPD 换行解析漏洞

目录遍历

Nginx

解析漏洞

目录遍历

目录穿越

CRLF注入

add_header被覆盖

任意代码执行漏洞

文件名逻辑漏洞

Tomcat

任意文件写入

远程代码执行

弱口令&&后台getshell漏洞

Manager App 暴力破解

war后门文件部署

WebLogic

反序列化漏洞

CVE-2017-10271

CVE-2018-2628

CVE-2019-2725

CVE-2019-2729

任意代码执行

CVE-2020-14882

权限绕过

CVE-2020-14883

SSRF

CVE-2014-4210

弱口令和任意文件上传

CVE-2019-2618

XXE漏洞

jBoss

反序列化漏洞

JMXInvokerServlet 反序列化漏洞

EJBInvokerServlet 反序列化漏洞

JBossMQ JMS 反序列化漏洞

Administration Console 弱口令

JMX Console未授权访问

war后门文件部署

web漏洞之中间介漏洞相关推荐

最新文章

热门文章