中间件安全-nginx目录穿越
前言中间件nginx漏洞漏洞描述Nginx配置别名(Alias)时，忘记加/，造成目录穿越漏洞。漏洞原理在nginx.conf配置目录别名/files配置/home的别名，访问/files…/时，nginx处理路径/home/…/，实现穿越目录。步骤切换到/vulhub/nginx/insecure-configuration目录，docker-compose up -d 开启容器/files…/
·
前言
中间件nginx漏洞
漏洞描述
Nginx配置别名(Alias)时，忘记加/，造成目录穿越漏洞。
漏洞原理
在nginx.conf配置目录别名/files配置/home的别名，访问/files…/时，nginx处理路径/home/…/，实现穿越目录。
步骤
切换到/vulhub/nginx/insecure-configuration目录，docker-compose up -d 开启容器
/files…/相当于执行切换到files文件，在切换到上级文件。
在该目录下选择某一目录，载进去。
查看漏洞出处
漏洞原因为/files未加/files/，相当于穿越到上级目录
防护
location与alias的值都加上/或不加/
权威｜前沿｜技术｜干货｜国内首个API全生命周期开发者社区
更多推荐
0
0- 0
已为社区贡献1条内容
所有评论(0)