Nginx 配置错误漏洞 CRLF注入漏洞¶
一、漏洞简介¶
二、漏洞影响¶
三、复现过程¶
下面两种情景十分常见:
- 用户访问http://url/aabbcc,自动跳转到https://url/aabbcc
- 用户访问http://url/aabbcc,自动跳转到http://url/aabbcc
比如我的博客,访问http://url/other/tinger.html,将会301跳转到https://url/other/tinger.html。随着现在https的普及,很多站点都强制使用https访问,这样的跳转非常常见。
第二个场景主要是为了统一用户访问的域名,更加有益于SEO优化。
在跳转的过程中,我们需要保证用户访问的页面不变,所以需要从Nginx获取用户请求的文件路径。查看Nginx文档,可以发现有三个表示uri的变量:
- $uri
- $document_uri
- $request_uri
解释一下,1和2表示的是解码以后的请求路径,不带参数;3表示的是完整的URI(没有解码)。Nginx会将$uri进行解码,导致传入%0a%0d即可引入换行符,造成CRLF注入漏洞。那么,如果运维配置了下列的代码:
// 错误的配置文件示例(原本的目的是为了让http的请求跳转到https上):
location / {
return 302 https://$host$uri;
}
**Payload: **http://url:8080/%0a%0dSet-Cookie:%20a=1
,可注入Set-Cookie头。
参考链接¶
https://www.leavesongs.com/PENETRATION/nginx-insecure-configuration.html
https://vulhub.org/#/environments/nginx/insecure-configuration/