问答
发起
提问
文章
攻防
活动
Toggle navigation
首页
(current)
问答
商城
实战攻防技术
漏洞分析与复现
NEW
活动
摸鱼办
搜索
登录
注册
Apache渗透测试合集
渗透测试
Apache总结
Apache ====== Apache的简介 --------- Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充，将 Perl/Python等解释器编译到服务器中 这边我用phpstudy进行安装 Apache的原理 --------- 一次完整的WEB请求流程  从request开始，到response结束 是一次Apache和PHP配合的一次WEB请求，Apache在前，PHP在后 Apache本身是不支持PHP解析的，是通过SAPI进行通信，那 Apache如何和SAP通信呢？Apache怎么知道什么类型的文件要解析为PHP？ ```php #加载php5_module模块 LoadModule php5_module php5apache2_2.dll的路径 #添加可以执行php的文件类型，让.php文件类型解析为PHP AddType application/x-httpd-php.php #或者将 AddType变为下面的(在 Apache2.4.0~2.4.29中默认使用了该方式) <FiLesMatch \.php$> SetHandler application/x-httpd-php </FiLesMatch> 以及 <IfModule dir_module DirectoryIndex index.html index.html index.php index.phtml </IfModule> ``` Apache通过 LoadModule来加载php5\_module模块( php5apache2\_2.dll) 这样做的目的是让Apache加载php5\_module模块来解析PHP文件。 意思其实就是用 LoadModule来加载php5\_module。也就是把php作为 Apache的一个子模块来运行。当通过Web访问php文件时，Apache就会调用php5\_module来解析php代码 调用过程概况 ```php HTTP->Apahce->php5_module->sapi->php ``` Apache的目录结构 -----------  ```php bin------------存放常用的命令工具，例如httpd cgi-bin--------存放 Linux下常用的命令，例如xxx.sh conf-----------Linux的配置相关文件，例如httpd．．conf error----------错误记录 htdocs---------放网站源码 icons----------网站图标 logs-----------日志 manual---------手册 modules--------扩展模块 ``` Apche对文件名扩展名的定义 ---------------    它是不可以解析php的！！！ Apache的解析漏洞(CVE-2017-15715) --------------------------- 搞一张图片 搞一个未知的扩展名  然后我们访问一下     这里它不是apache解析的php文件 是php解析的 继续提升版本  要安装一个这个vc11-86  php常见运行方式有 apache的模块模式(分为mod\_php和mod\_cgi)cgi模式fast-cgi模式 ```php 1.使用 module模式与php结合的所有版本 apache存在未知扩展名解析漏洞 2.使用 fastcgi模式与php结合的所有版本 apache不存在此漏洞。 3.并且，想利用此漏洞必须保证文件扩展名中至少带有一个`.php`，否则将默认被作为`txt/html`文档处理 ``` 然后访问一下 可以看到是fast-cgi模式  我们访问`phpinfo.php.xxx` 会报500的错误  ### kali操作 kali是自带apache的  进行配置一下就可以了 开启apache服务 ```php /etc/init.d/apache2 start ``` 访问一下 成功开启  php的版本  kali下apache默认的网站根目录： ```php /var/www/html ``` 写一个phpinfo的2.php文件  访问一下  ### 深入解析一下 去这个目录下 ```php /etc/apache2/mods-enabled ```  我们打开分析一下  ```php <FilesMatch ".+\.ph(ar|p|tml)$"> ``` 以 `phar`，`php`， `phtml` 结尾的文件会被 apache当做php解析 apache解析漏洞的根本原因就是这个`$`  当我们把`$` 换成`\.`时  搞一个2.php.xxx  重启一下apache服务 ```php service apache2 restart ``` 访问一下 成功解析了  ### 总结利用条件 ```php 1.使用 module模式，且正则符合条件2.文件扩展名中至少带有一个.php ``` Apache HTTPD换行解析漏洞 ------------------ ### 漏洞原理 上传一个后缀末尾包含换行符的文件，来绕过 FilesMatch。 绕过 FilesMatch不一定能被PHP解析这个漏洞可以用来绕过文件上传黑名单限制 举例： ```php a001.php\x0a-->a001.php ``` 该漏洞属于用户配置不当 ### 影响版本 apache ：2.4.0~2.4.29版本 ### 漏洞复现 Kail的Apache的版本不符合 我这边上Ubuntu进行复现  Ubuntu安装docker命令 ```php sudo apt-get update sudo apt install curl curl -s https://get.docker.com/ | sh sudo apt install python curl https://bootstrap.pypa.io/pip/2.7/get-pip.py --output get-pip.py sudo python get-pip.py pip install docker-compose sudo apt install docker-compose docker-compose -v docker -v sudo service docker start 启动docker ```  安装完成 那么 开始安装vulhub ```php sudo apt install gitgit clone https://github.com/vulhub/vulhub.git ``` 开启环境 ```php cd vulhub/httpd/CVE-2017-15715/ sudo docker-compose build sudo docker-compose up -d docker ps ``` 访问 ```php http://192.168.175.179:8080/ ```  部署成功了 开始上传 直接上传phpinfo.php 是失败的   抓包进行修改   加入一个点  修改后发送到重放器 去看看Hex   `.`的Hex-->2e  改成0a 成功上传 然后我们进行访问 ```php http://192.168.175.179:8080/phpinfo.php%0a ```  成功上传并解析 分析原因  后台是通过黑名单方式过滤了php后缀的文件，根据最开始的知识，什么样的文件算是php文件呢？在有定义，这句话的意思是以php结尾的文件都算php文件，在正则中表示匹配输入字符串的结尾位置。如果设置了 RegExp对象的 Multiline属性，则也匹配`\n`或`\r` 恰好，我们在文件末尾加了0x0a（n），所以被匹配成功了。 ### 0x0a和0x0d ```php 1.0x0d \r CR这三者代表是回车，是同一个东西，回车的作用只是移动光标至该行的起始位置2.0x0a \n CL这三者代表换行，是同一个东西，换行至下一行行首起始位置； ``` ### 修复建议 1.升级到最新版本 2.或将上传的文件重命名为为`时间戳+随机数+.jpg`的格式并禁用上传文件目录执行脚本权限 4、Apache SsI远程命令执行漏洞 -------------------- ### 影响版本 Apache全版本（支持SS与cG） ### 漏洞危害 绕过服务器策略，上传 webshell ### 漏洞原理 ssi：是放置在HTML页面中的指令，它可以将动态生成的内容添加到现有的HTML页面，而不必通过CGI程序或其他动态技术来提供整个页面。以上是定义采用在 Apache官网对SS的定义 简单来讲，就是ssi可以在HTML中加入特定的指令，也可以引入其他的页面。 开启ssi需要单独配置 Apache，可以参考ssi配置 ```php https://httpd.apache.org/docs/2.4/howto/ssi.html ``` 总结呢，就是：ssi.html也可以执行命令 创建a001.shtml 写入如下命令 进行上传 ### 包含ssi指令的文件 ```php <pre><!--#exec cmd="whoami" --></pre> ``` ### 漏洞复现 同样是用vulhub进行启动 ```php sudo docker-compose up -d ``` 访问一下  写入ssi指令的文件 ```php <pre><!--#exec cmd="whoami" --></pre> ``` 文件名保存为`a001.shtml`，这个后缀取决于 Apache的配置，默认是此后缀  访问一下  这里的思路 比如上传webshell 或者拿反弹shell都是可以的 文章转载于：<https://www.freebuf.com/articles/web/271745.html>
发表于 2021-07-29 15:00:04
阅读 ( 6467 )
分类：
WEB安全
1 推荐
收藏
0 条评论
请先
登录
后评论
略略略
36 篇文章
×
发送私信
请先
登录
后发送私信
×
举报此文章
垃圾广告信息：
广告、推广、测试等内容
违规内容：
色情、暴力、血腥、敏感信息等内容
不友善内容：
人身攻击、挑衅辱骂、恶意行为
其他原因：
请补充说明
举报原因:
×
如果觉得我的文章对您有用，请随意打赏。你的支持将鼓励我继续创作！
