freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Apache渗透
2021-07-18 06:26:15

Apache

Apache的简介

Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上,由于其跨平台和安全性被广泛使用,是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充,将 Perl/Python等解释器编译到服务器中

这边我用phpstudy进行安装

Apache的原理

一次完整的WEB请求流程

图片.png

从request开始,到response结束

是一次Apache和PHP配合的一次WEB请求,Apache在前,PHP在后

Apache本身是不支持PHP解析的,是通过SAPI进行通信,那 Apache如何和SAP通信呢?Apache怎么知道什么类型的文件要解析为PHP?

#加载php5_module模块
LoadModule php5_module php5apache2_2.dll的路径

#添加可以执行php的文件类型,让.php文件类型解析为PHP 
AddType application/x-httpd-php.php

#或者将 AddType变为下面的(在 Apache2.4.0~2.4.29中默认使用了该方式)
<FiLesMatch \.php$>
	SetHandler application/x-httpd-php
</FiLesMatch>
以及
<IfModule dir_module
DirectoryIndex index.html index.html index.php index.phtml
</IfModule>

Apache通过 LoadModule来加载php5_module模块( php5apache2_2.dll)

这样做的目的是让Apache加载php5_module模块来解析PHP文件。

意思其实就是用 LoadModule来加载php5_module。也就是把php作为 Apache的一个子模块来运行。当通过Web访问php文件时,Apache就会调用php5_module来解析php代码

调用过程概况

HTTP->Apahce->php5_module->sapi->php

Apache的目录结构

在这里插入图片描述

bin------------存放常用的命令工具,例如httpd 
cgi-bin--------存放 Linux下常用的命令,例如xxx.sh 
conf-----------Linux的配置相关文件,例如httpd..conf 
error----------错误记录
htdocs---------放网站源码
icons----------网站图标
logs-----------日志
manual---------手册
modules--------扩展模块

Apche对文件名扩展名的定义

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

它是不可以解析php的!!!

Apache的解析漏洞(CVE-2017-15715)

搞一张图片 搞一个未知的扩展名

图片.png

然后我们访问一下

图片.png

图片.png

在这里插入图片描述

在这里插入图片描述

这里它不是apache解析的php文件

是php解析的

继续提升版本

图片.png

要安装一个这个vc11-86

图片.png

php常见运行方式有 apache的模块模式(分为mod_php和mod_cgi)cgi模式fast-cgi模式

1.使用 module模式与php结合的所有版本 apache存在未知扩展名解析漏洞
2.使用 fastcgi模式与php结合的所有版本 apache不存在此漏洞。
3.并且,想利用此漏洞必须保证文件扩展名中至少带有一个`.php`,否则将默认被作为`txt/html`文档处理

然后访问一下 可以看到是fast-cgi模式

图片.png

我们访问phpinfo.php.xxx会报500的错误

图片.png

kali操作

kali是自带apache的

图片.png

进行配置一下就可以了

开启apache服务

/etc/init.d/apache2 start

访问一下 成功开启

图片.png
php的版本

图片.png

kali下apache默认的网站根目录:

/var/www/html

写一个phpinfo的2.php文件

图片.png

访问一下

图片.png

深入解析一下

去这个目录下

/etc/apache2/mods-enabled

图片.png

我们打开分析一下

图片.png

<FilesMatch ".+\.ph(ar|p|tml)$">

pharphpphtml结尾的文件会被 apache当做php解析

apache解析漏洞的根本原因就是这个$

图片.png

当我们把$换成\.

图片.png

搞一个2.php.xxx

图片.png

重启一下apache服务

service apache2 restart

访问一下 成功解析了

图片.png

总结利用条件

1.使用 module模式,且正则符合条件
2.文件扩展名中至少带有一个.php

Apache HTTPD换行解析漏洞

漏洞原理

上传一个后缀末尾包含换行符的文件,来绕过 FilesMatch。

绕过 FilesMatch不一定能被PHP解析这个漏洞可以用来绕过文件上传黑名单限制

举例:

a001.php\x0a-->a001.php

该漏洞属于用户配置不当

影响版本

apache :2.4.0~2.4.29版本

漏洞复现

Kail的Apache的版本不符合

我这边上Ubuntu进行复现

图片.png

Ubuntu安装docker命令

sudo apt-get update 

 sudo apt install curl 

 curl -s https://get.docker.com/ | sh

 sudo apt install python 
 
 curl https://bootstrap.pypa.io/pip/2.7/get-pip.py --output get-pip.py
 
 sudo python get-pip.py
 
 pip install docker-compose 
 
 sudo apt install docker-compose
 
 docker-compose -v
 
 docker -v
 
 sudo service docker start 启动docker

图片.png

安装完成 那么 开始安装vulhub

sudo apt install git
git clone https://github.com/vulhub/vulhub.git

开启环境

cd vulhub/httpd/CVE-2017-15715/ 

sudo docker-compose build 

sudo docker-compose up -d 

docker ps

访问

http://192.168.175.179:8080/

图片.png

部署成功了

开始上传

直接上传phpinfo.php 是失败的

图片.png

图片.png

抓包进行修改

图片.png

图片.png

去看看Hex

图片.png

.的Hex-->2e

图片.png

改成0a 成功上传

然后我们进行访问

http://192.168.175.179:8080/phpinfo.php%0a

图片.png
成功上传并解析

分析原因

图片.png

后台是通过黑名单方式过滤了php后缀的文件,根据最开始的知识,什么样的文件算是php文件呢?在有定义,这句话的意思是以php结尾的文件都算php文件,在正则中表示匹配输入字符串的结尾位置。如果设置了 RegExp对象的 Multiline属性,则也匹配\n\r
恰好,我们在文件末尾加了0x0a(n),所以被匹配成功了。

0x0a和0x0d

1.0x0d \r CR这三者代表是回车,是同一个东西,回车的作用只是移动光标至该行的起始位置
2.0x0a \n CL这三者代表换行,是同一个东西,换行至下一行行首起始位置;

修复建议

1.升级到最新版本
2.或将上传的文件重命名为为时间戳+随机数+.jpg的格式并禁用上传文件目录执行脚本权限

Apache SsI远程命令执行漏洞

影响版本

Apache全版本(支持SS与cG)

漏洞危害

绕过服务器策略,上传 webshell

漏洞原理

ssi:是放置在HTML页面中的指令,它可以将动态生成的内容添加到现有的HTML页面,而不必通过CGI程序或其他动态技术来提供整个页面。以上是定义采用在 Apache官网对SS的定义

简单来讲,就是ssi可以在HTML中加入特定的指令,也可以引入其他的页面。

开启ssi需要单独配置 Apache,可以参考ssi配置

https://httpd.apache.org/docs/2.4/howto/ssi.html

总结呢,就是:ssi.html也可以执行命令

创建a001.shtml 写入如下命令 进行上传

包含ssi指令的文件

<pre>
<!--#exec cmd="whoami" -->
</pre>

漏洞复现

同样是用vulhub进行启动

sudo docker-compose up -d

访问一下

图片.png

写入ssi指令的文件

<pre>
<!--#exec cmd="whoami" -->
</pre>

文件名保存为a001.shtml,这个后缀取决于 Apache的配置,默认是此后缀

图片.png

访问一下

图片.png

这里的思路 比如上传webshell 或者拿反弹shell都是可以的

# apache漏洞 # 中间件 # 服务攻防
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录