Apache HTTPD 多后缀名解析漏洞复现

什么是多后缀名解析漏洞加粗样式:
多后缀名解析漏洞（Multiple Extension Handling Vulnerability）指的是一种安全漏洞，发生在某些操作系统或网络服务中的文件扩展名处理机制中。

这种漏洞的本质是当文件具有多个后缀名（例如file.txt.php）时，系统或服务可能会错误地解析文件的类型和处理方式。攻击者可以利用这个漏洞来绕过安全检查，欺骗系统或服务执行不应该执行的操作。

漏洞环境

说明：

​ apahe解析文件时候有一特性，Apache默认一个文件可以有多个以点分割的后缀，apache会从最右边开始识别其后缀名，如遇无法识别的后缀名则依次往左进行识别
​ 如果运维人员给.php后缀的文件添加了处理程序 AddHandler application/x-httpd-php .php 那么在有多个后缀的情况下，只要文件含有.php后缀那么该文件就会被识别为PHP文件进行解析。
​ 该漏洞和apache版本和php版本无关,属于用户配置不当造成的解析漏洞。

​

​ Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。比如，如下配置文件：

AddType text/html .html
AddLanguage zh-CN .cn
1
2

​ 其给.html后缀增加了media-type，值为text/html；给.cn后缀增加了语言，值为zh-CN。此时，如果用户请求文件index.cn.html，他将返回一个中文的html页面。

以上就是Apache多后缀的特性。如果运维人员给.php后缀增加了处理器：

AddHandler application/x-httpd-php .php
1

​ 那么，在有多个后缀的情况下，只要一个文件含有.php后缀的文件即将被识别成PHP文件，没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。

漏洞环境

运行如下命令启动一个稳定版Apache，并附带PHP 7.3环境：

sudo docker-compose up -d
1

查看使用的端口：

sudo docker ps -a
1

访问80端口，页面：

漏洞复现

​ 环境运行后，访问http://your-ip/uploadfiles/apache.php.jpeg即可发现，phpinfo被执行了，该文件被解析为php脚本。

​ http://your-ip/index.php中是一个白名单检查文件后缀的上传组件，上传完成后并未重命名。我们可以通过上传文件名为xxx.php.jpg或xxx.php.jpeg的文件，利用Apache解析漏洞进行getshell。

我们上传一个php木马文件试一下：

我们把文件类型改为info.php.png ,然后上传：

显示文件上传成功。

访问一下文件：

发现php代码执行了。

为什么php代码会执行呢，其实是因为由安全配置引起的。

cat docker-compose.yml
1

volumes表示卷，卷和磁盘有关，它会把./www 目录映射到/var/www/html 目录，下面的也是如此，就是把左边是物理机中的文件和右边是docker容器中的文件做了映射。所以我们要看配置文件话，直接看映射的文件就可以，配置文件在conf目录下：

cat conf/docker-php.conf
1

其中AddHandler application/x-httpd-php .php 就是不安全的配置。如果运维人员给.php后缀的文件添加了处理程序 AddHandler application/x-httpd-php .php 那么在有多个后缀的情况下，只要文件含有.php后缀那么该文件就会被识别为PHP文件进行解析。