Apache总结
Apache
Apache的简介
Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上,由于其跨平台和安全性被广泛使用,是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充,将 Perl/Python等解释器编译到服务器中
这边我用phpstudy进行安装
Apache的原理
一次完整的WEB请求流程
从request开始,到response结束
是一次Apache和PHP配合的一次WEB请求,Apache在前,PHP在后
Apache本身是不支持PHP解析的,是通过SAPI进行通信,那 Apache如何和SAP通信呢?Apache怎么知道什么类型的文件要解析为PHP?
#加载php5_module模块
LoadModule php5_module php5apache2_2.dll的路径
#添加可以执行php的文件类型,让.php文件类型解析为PHP
AddType application/x-httpd-php.php
#或者将 AddType变为下面的(在 Apache2.4.0~2.4.29中默认使用了该方式)
<FiLesMatch \.php$>
SetHandler application/x-httpd-php
</FiLesMatch>
以及
<IfModule dir_module
DirectoryIndex index.html index.html index.php index.phtml
</IfModule>
Apache通过 LoadModule来加载php5_module模块( php5apache2_2.dll)
这样做的目的是让Apache加载php5_module模块来解析PHP文件。
意思其实就是用 LoadModule来加载php5_module。也就是把php作为 Apache的一个子模块来运行。当通过Web访问php文件时,Apache就会调用php5_module来解析php代码
调用过程概况
HTTP->Apahce->php5_module->sapi->php
Apache的目录结构
bin------------存放常用的命令工具,例如httpd
cgi-bin--------存放 Linux下常用的命令,例如xxx.sh
conf-----------Linux的配置相关文件,例如httpd..conf
error----------错误记录
htdocs---------放网站源码
icons----------网站图标
logs-----------日志
manual---------手册
modules--------扩展模块
Apche对文件名扩展名的定义
它是不可以解析php的!!!
Apache的解析漏洞(CVE-2017-15715)
搞一张图片 搞一个未知的扩展名
然后我们访问一下
这里它不是apache解析的php文件
是php解析的
继续提升版本
要安装一个这个vc11-86
php常见运行方式有 apache的模块模式(分为mod_php和mod_cgi)cgi模式fast-cgi模式
1.使用 module模式与php结合的所有版本 apache存在未知扩展名解析漏洞
2.使用 fastcgi模式与php结合的所有版本 apache不存在此漏洞。
3.并且,想利用此漏洞必须保证文件扩展名中至少带有一个`.php`,否则将默认被作为`txt/html`文档处理
然后访问一下 可以看到是fast-cgi模式
我们访问phpinfo.php.xxx
会报500的错误
kali操作
kali是自带apache的
进行配置一下就可以了
开启apache服务
/etc/init.d/apache2 start
访问一下 成功开启
php的版本
kali下apache默认的网站根目录:
/var/www/html
写一个phpinfo的2.php文件
访问一下
深入解析一下
去这个目录下
/etc/apache2/mods-enabled
我们打开分析一下
<FilesMatch ".+\.ph(ar|p|tml)$">
以 phar
,php
, phtml
结尾的文件会被 apache当做php解析
apache解析漏洞的根本原因就是这个$
当我们把$
换成\.
时
搞一个2.php.xxx
重启一下apache服务
service apache2 restart
访问一下 成功解析了
总结利用条件
1.使用 module模式,且正则符合条件2.文件扩展名中至少带有一个.php
Apache HTTPD换行解析漏洞
漏洞原理
上传一个后缀末尾包含换行符的文件,来绕过 FilesMatch。
绕过 FilesMatch不一定能被PHP解析这个漏洞可以用来绕过文件上传黑名单限制
举例:
a001.php\x0a-->a001.php
该漏洞属于用户配置不当
影响版本
apache :2.4.0~2.4.29版本
漏洞复现
Kail的Apache的版本不符合
我这边上Ubuntu进行复现
Ubuntu安装docker命令
sudo apt-get update sudo apt install curl curl -s https://get.docker.com/ | shsudo apt install python curl https://bootstrap.pypa.io/pip/2.7/get-pip.py --output get-pip.py sudo python get-pip.py pip install docker-compose sudo apt install docker-compose docker-compose -v docker -v sudo service docker start 启动docker
安装完成 那么 开始安装vulhub
sudo apt install gitgit clone https://github.com/vulhub/vulhub.git
开启环境
cd vulhub/httpd/CVE-2017-15715/ sudo docker-compose build sudo docker-compose up -d docker ps
访问
http://192.168.175.179:8080/
部署成功了
开始上传
直接上传phpinfo.php 是失败的
抓包进行修改
加入一个点
修改后发送到重放器
去看看Hex
.
的Hex-->2e
改成0a 成功上传
然后我们进行访问
http://192.168.175.179:8080/phpinfo.php%0a
成功上传并解析
分析原因
后台是通过黑名单方式过滤了php后缀的文件,根据最开始的知识,什么样的文件算是php文件呢?在有定义,这句话的意思是以php结尾的文件都算php文件,在正则中表示匹配输入字符串的结尾位置。如果设置了 RegExp对象的 Multiline属性,则也匹配\n
或\r
恰好,我们在文件末尾加了0x0a(n),所以被匹配成功了。
0x0a和0x0d
1.0x0d \r CR这三者代表是回车,是同一个东西,回车的作用只是移动光标至该行的起始位置2.0x0a \n CL这三者代表换行,是同一个东西,换行至下一行行首起始位置;
修复建议
1.升级到最新版本
2.或将上传的文件重命名为为时间戳+随机数+.jpg
的格式并禁用上传文件目录执行脚本权限
4、Apache SsI远程命令执行漏洞
影响版本
Apache全版本(支持SS与cG)
漏洞危害
绕过服务器策略,上传 webshell
漏洞原理
ssi:是放置在HTML页面中的指令,它可以将动态生成的内容添加到现有的HTML页面,而不必通过CGI程序或其他动态技术来提供整个页面。以上是定义采用在 Apache官网对SS的定义
简单来讲,就是ssi可以在HTML中加入特定的指令,也可以引入其他的页面。
开启ssi需要单独配置 Apache,可以参考ssi配置
https://httpd.apache.org/docs/2.4/howto/ssi.html
总结呢,就是:ssi.html也可以执行命令
创建a001.shtml 写入如下命令 进行上传
包含ssi指令的文件
<pre><!--#exec cmd="whoami" --></pre>
漏洞复现
同样是用vulhub进行启动
sudo docker-compose up -d
访问一下
写入ssi指令的文件
<pre><!--#exec cmd="whoami" --></pre>
文件名保存为a001.shtml
,这个后缀取决于 Apache的配置,默认是此后缀
访问一下
这里的思路 比如上传webshell 或者拿反弹shell都是可以的
- 本文作者: 略略略
- 本文来源: 奇安信攻防社区
- 原文链接: https://forum.butian.net/share/318
- 版权声明: 除特别声明外,本文各项权利归原文作者和发表平台所有。转载请注明出处!