一、漏洞描述
该漏洞与nginx、php版本无关,属于用户配置不当造成的解析漏洞
二、漏洞原理
漏洞出现的主要原因是错误地解析了请求的URI，错误地获取到用户请求的文件名，导致出现权限绕过、代码执行的影响。
Nginx匹配到.php结尾请求，会发生给fastcgi解析
在关闭pathinfo情况下只有.php后缀文件才会被发生给fastcgi解析。
在CVE-2013-4547的情况下，请求1.gif[0x20][0x00].php，这个URI可以匹配上正则\.php$，可以进入这个Location块；但进入后，Nginx却错误地认为请求的文件是1.gif[0x20]，就设 置其为SCRIPT_FILENAME的值发送给fastcgi（把文件当成php来解析的组件）。
fastcgi根据SCRIPT_FILENAME的值进行解析，最后造成了解析漏洞。
只需要上传一个空格结尾的文件，可以使PHP解析。
1、 上述提到由于nginx.conf的如下配置导致nginx把以’.php’结尾的文件交给fastcgi处理,为此可以构造
http://ip/uploadfiles/test.png/.php
(url结尾不一定是‘.php’,任何服务器端不存在的php文件均可,比如’a.php’),其中test.png是我们上传的包含PHP代码的照片文件。
2、但是fastcgi在处理’.php’文件时发现文件并不存在,这时php.ini配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径。为此这里交由fastcgi处理的文件就变成了’/test.png’。
3、 最重要的一点是php-fpm.conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析),此项设置为空的时候才允许fastcgi将’.png’等文件当做代码解析。
注:限制fpm允许解析的脚本扩展名。此设置可以预防web服务器配置的错误。应当限制fpm仅仅解析.php扩展名,阻止恶意用户使用其他扩展名运行php代码。默认值:.php
三、漏洞环境搭建和复现
我们配置好漏洞环境后直接访问ip地址即可
http://192.168.36.146/
然后我们上传文件
发现并不能上传php文件，那我们可以利用nginx解析漏洞进行测试
我们上传一个正常的图片
截取返回包查看路径
我们发现正常打开，然后我们利用nginx 的解析漏洞将图片解析为php代码
上文提到：
(url结尾不一定是‘.php’,任何服务器端不存在的php文件均可,比如’a.php’),其中test.png是我们上传的包含PHP代码的照片文件。
http://192.168.36.146/图片名.图片格式/(写不写php文件名无所谓也可以些什么都行).php
解析成功，成功复现漏洞
