nginx檔案類型錯誤解析漏洞

80sec發現的大漏洞 ，之前聽阿裡巴巴的同學也說到過 。說明這個漏洞地下知道的人已經很多了

隻是今天公開了。。。現在來看看漏洞描述

漏洞介紹：nginx是一款高性能的web伺服器，使用非常廣泛，其不僅經常被用作反向代理，也可以非常好的支援PHP的運作。80sec發現其中存在一個較為嚴重的安全問題，預設情況下可能導緻伺服器錯誤的将任何類型的檔案以PHP的方式進行解析，這将導緻嚴重的安全問題，使得惡意的攻擊者可能攻陷支援php的nginx伺服器。

漏洞分析：nginx預設以cgi的方式支援php的運作，譬如在配置檔案當中可以以

location ~ /.php$ { root html; fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name; include fastcgi_params; }

的方式支援對php的解析，location對請求進行選擇的時候會使用URI環境變量進行選擇，其中傳遞到後端Fastcgi的關鍵變量SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定，而通過分析可以看到$fastcgi_script_name是直接由URI環境變量控制的，這裡就是産生問題的點。而為了較好的支援PATH_INFO的提取，在PHP的配置選項裡存在cgi.fix_pathinfo選項，其目的是為了從SCRIPT_FILENAME裡取出真正的腳本名。

那麼假設存在一個http://www.80sec.com/80sec.jpg，我們以如下的方式去通路

将會得到一個URI

/80sec.jpg/80sec.php

經過location指令，該請求将會交給後端的fastcgi處理，nginx為其設定環境變量SCRIPT_FILENAME，内容為

/scripts/80sec.jpg/80sec.php

而在其他的webserver如lighttpd當中，我們發現其中的SCRIPT_FILENAME被正确的設定為

/scripts/80sec.jpg

是以不存在此問題。

後端的fastcgi在接受到該選項時，會根據fix_pathinfo配置決定是否對SCRIPT_FILENAME進行額外的處理，一般情況下如果不對fix_pathinfo進行設定将影響使用PATH_INFO進行路由選擇的應用，是以該選項一般配置開啟。Php通過該選項之後将查找其中真正的腳本檔案名字，查找的方式也是檢視檔案是否存在，這個時候将分離出SCRIPT_FILENAME和PATH_INFO分别為

/scripts/80sec.jpg和80sec.php

最後，以/scripts/80sec.jpg作為此次請求需要執行的腳本，攻擊者就可以實作讓nginx以php來解析任何類型的檔案了。

http://www.80sec.com/80sec.jpg/80sec.php

POC： 通路一個nginx來支援php的站點，在一個任何資源的檔案如robots.txt後面加上/80sec.php，這個時候你可以看到如下的差別：

通路http://www.80sec.com/robots.txt

HTTP/1.1 200 OK Server: nginx/0.6.32 Date: Thu, 20 May 2010 10:05:30 GMT Content-Type: text/plain Content-Length: 18 Last-Modified: Thu, 20 May 2010 06:26:34 GMT Connection: keep-alive Keep-Alive: timeout=20 Accept-Ranges: bytes

通路通路http://www.80sec.com/robots.txt/80sec.php

HTTP/1.1 200 OK Server: nginx/0.6.32 Date: Thu, 20 May 2010 10:06:49 GMT Content-Type: text/html Transfer-Encoding: chunked Connection: keep-alive Keep-Alive: timeout=20 X-Powered-By: PHP/5.2.6

其中的Content-Type的變化說明了後端負責解析的變化，該站點就可能存在漏洞。

漏洞廠商：http://www.nginx.org

解決方案：

我們已經嘗試聯系官方，但是此前你可以通過以下的方式來減少損失

關閉cgi.fix_pathinfo為0

或者

if ( $fastcgi_script_name ~ /..*//.*php ) { return 403; }