【文件上传绕过】——解析漏洞_IIS7.0 | IIS7.5 | Nginx的解析漏洞

一、实验目的：

1、通过本次实验学习漏洞产生的成因。
2、通过搭建漏洞环境，学习绕过技巧。

二、工具：

火狐/谷歌浏览器

三、实验环境：

靶 机： windows Sever 2008 R2 x64虚拟机：192.168.15.142
      xampp-win32-5.6.28-1-VC11-installer集成环境
      IIS7.0服务器
 
攻击机： 物理机
点我下载XAMPP安装包提取码：jake

四、漏洞说明：

1.  nginx解析漏洞（实验环境：Nginx1.4.6 )：

1.1 原理：

  Nginx拿到文件路径（更专业的说法是URI）/test.jpg/test.php后，一看后缀是.php，便认为该文件是php文件，转交给php去处理。php一看/test.jpg/test.php不存在，便删去最后的/test.php，又看/test.jpg存在，便把/test.jpg当成要执行的文件了，又因为后缀为.jpg，php认为这不是php文件，于是返回Access denied。
  这其中涉及到php的一个选项：cgi.fix_pathinfo，该值默认为1，表示开启。开启这一选项PHP可以对文件路径进行修理。
  举个例子，当php遇到文件路径/1.jpg/2.txt/3.php时，若/1.jpg/2.txt/3.php不存在，则会去掉最后的/3.php，然后判断/1.jpg/2.txt是否存在，若存在，则把/1.jpg/2.txt当做文件/1.jpg/2.txt/3.php，若/1.jpg/2.txt仍不存在，则继续去掉/2.txt，以此类推。

1.2 漏洞形式：

www.xxxxx.com/UploadFiles/image/1.jpg/1.php

1.3 另外两种解析漏洞：

www.xxxxx.com/UploadFiles/image/1.jpg%00.php
www.xxxxx.com/UploadFiles/image/1.jpg/%20\0.php

2. IIS7.0 | 7.5解析漏洞：

2.1 原理：

IIS7.5 IIS7.0的漏洞与nginx的类似，都是由于php配置文件中，开启了cai.fix_pathinfo，而这并不是nginx或者IIS7.0 | 7.5本身的漏洞。

2.2 漏洞形式：

www.xxxxx.com/UploadFiles/image/1.jpg/1.php