nginx文件路徑處理遠程命令執行漏洞
責編：admin ｜2015-02-08 15:53:34漏洞描述：
nginx是多平臺的HTTP服務器和郵件代理服務器。
nginx可以被配置為以CGI的方式支持PHP的運行，nginx在處理PHP腳本文件路徑的解析時存在問題。如果網站允許上傳文件，而且上傳文件路徑可得到，遠程攻擊者可以利用此漏洞上傳包含惡意代碼的文件并得到執行，實現以Web進程權限執行任意命令。
問題出現在nginx傳遞訪問的URL和后續的腳本路徑提取過程中，攻擊者可以上傳允許上傳的文件類型，文件中包含惡意代碼，得到上傳文件通過Web可訪問的URL后，在其后添加任意php后綴的文件名進行訪問，存在漏洞的處理過程會把上傳的文件作為CGI腳本執行。
nginx默認以cgi的方式支持php的運行，譬如在配置文件當中可以以
location ~ .php$ {
root html；
fastcgi_pass 127.0.0.1：9000；
fastcgi_index index.php；
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name；
include fastcgi_params；
}
的方式支持對php的解析，location對請求進行選擇的時候會使用URI環境變量進行選擇，其中傳遞到后端Fastcgi的關鍵變量 SCRIPT_FILENAME由nginx生成的$fastcgi_script_name決定，而通過分析可以看到$fastcgi_script_name是直接由URI環境變量控制的，這里就是產生問題的點。而為了較好的支持PATH_INFO的提取，在PHP 的配置選項里存在cgi.fix_pathinfo選項，其目的是為了從SCRIPT_FILENAME里取出真正的腳本名。
那么假設存在一個http：//www.xxx.com/xxx.jpg，我們以如下的方式去訪問
http：//www.xxx.com/xxx.jpg/xxx.php
將會得到一個URI
/xxx.jpg/xxx.php
經過location指令，該請求將會交給后端的fastcgi處理，nginx為其設置環境變量SCRIPT_FILENAME，內容為
/scripts/xxx.jpg/xxx.php
測試方法：
[www.Safe.sh]
本站提供程序(方法)可能帶有攻擊性，僅供安全研究與教學之用，風險自負！
訪問一個nginx來支持php的站點，在一個任何資源的文件如robots.txt后面加上/xxxx.php，這個時候你可以看到如下的區別：
訪問http：//www.xxxx.com/robots.txt
HTTP/1.1 200 OK
Server： nginx/0.6.32
Date： Thu， 20 May 2010 10：05：30 GMT
Content-Type： text/plain
Content-Length： 18
Last-Modified： Thu， 20 May 2010 06：26：34 GMT
Connection： keep-alive
Keep-Alive： timeout=20
Accept-Ranges： bytes
訪問訪問http：//www.xxxx.com/robots.txt/xxxx.php
HTTP/1.1 200 OK
Server： nginx/0.6.32
Date： Thu， 20 May 2010 10：06：49 GMT
Content-Type： text/html
Transfer-Encoding： chunked
Connection： keep-alive
Keep-Alive： timeout=20
X-Powered-By： PHP/5.2.6
其中的Content-Type的變化說明了后端負責解析的變化，該站點就可能存在漏洞。
Safe.sh安全建議：
臨時解決方法：
用戶可以采用下面的臨時解決方案來避免漏洞的威脅：
* 修改運行配置
修改配置文件PHP的配置文件php.ini，把默認的如下行：
cgi.fix_pathinfo=1
修改為：
cgi.fix_pathinfo=0
重啟nginx服務器。