建站
咨詢
售后
建站咨詢
新聞中心
漏洞介紹：nginx是一款高性能的web服務(wù)器，使用非常廣泛，其不僅經(jīng)常被用作反向代理，也可以非常好的支持PHP的運行。80sec發(fā)現(xiàn)其中存在一個較為嚴重的安全問題，默認情況下可能導(dǎo)致服務(wù)器錯誤的將任何類型的文件以PHP的方式進行解析，這將導(dǎo)致嚴重的安全問題，使得惡意的攻擊者可能攻陷支持php的nginx服務(wù)器。
漏洞分析：nginx默認以cgi的方式支持php的運行，譬如在配置文件當(dāng)中可以以
location ~ \.php$ {
root html;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
include fastcgi_params;
}
的方式支持對php的解析，location對請求進行選擇的時候會使用URI環(huán)境變量進行選擇，其中傳遞到后端Fastcgi的關(guān)鍵變量SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定，而通過分析可以看到$fastcgi_script_name是直接由URI環(huán)境變量控制的，這里就是產(chǎn)生問題的點。而為了較好的支持PATH_INFO的提取，在PHP的配置選項里存在cgi.fix_pathinfo選項，其目的是為了從SCRIPT_FILENAME里取出真正的腳本名。
那么假設(shè)存在一個http://www.80sec.com/80sec.jpg，我們以如下的方式去訪問
POC： 訪問一個nginx來支持php的站點，在一個任何資源的文件如robots.txt后面加上/80sec.php，這個時候你可以看到如下的區(qū)別：
訪問http://www.80sec.com/robots.txt
HTTP/1.1 200 OK
Server: nginx/0.6.32
Date: Thu, 20 May 2010 10:05:30 GMT
Content-Type: text/plain
Content-Length: 18
Last-Modified: Thu, 20 May 2010 06:26:34 GMT
Connection: keep-alive
Keep-Alive: timeout=20
Accept-Ranges: bytes
訪問訪問http://www.80sec.com/robots.txt/80sec.php
HTTP/1.1 200 OK
Server: nginx/0.6.32
Date: Thu, 20 May 2010 10:06:49 GMT
Content-Type: text/html
Transfer-Encoding: chunked
Connection: keep-alive
Keep-Alive: timeout=20
X-Powered-By: PHP/5.2.6
其中的Content-Type的變化說明了后端負責(zé)解析的變化，該站點就可能存在漏洞。
漏洞廠商：http://www.nginx.org
解決方案：
我們已經(jīng)嘗試聯(lián)系官方，但是此前你可以通過以下的方式來減少損失
關(guān)閉cgi.fix_pathinfo為0
或者
if ( $fastcgi_script_name ~ \..*\/.*php ) {
return 403;
}
PS: 鳴謝laruence大牛在分析過程中給的幫助。
【編輯推薦】
- “拯救網(wǎng)站運維經(jīng)理趙明”有獎?wù)骷顒?/li>
- nginx爆0day漏洞 上傳圖片可入侵100萬服務(wù)器
名稱欄目：nginx文件類型錯誤解析漏洞
瀏覽路徑：http://m.5511xx.com/article/djdisph.html
