ຊ່ອງໂຫວ່ການຕັ້ງຄ່າ Nginx ກັບການຕັ້ງຄ່າບລັອກນາມແຝງທີ່ບໍ່ຖືກຕ້ອງ

ບາງເຊີບເວີ Nginx ຍັງຄົງມີຄວາມສ່ຽງຕໍ່ເຕັກນິກ Nginx Alias ​​​​Traversal, ເຊິ່ງໄດ້ຖືກສະເຫນີໃນກອງປະຊຸມ Blackhat ກັບຄືນໄປບ່ອນໃນປີ 2018 ແລະອະນຸຍາດໃຫ້ເຂົ້າເຖິງໄຟລ໌ແລະໄດເລກະທໍລີທີ່ຢູ່ນອກໄດເລກະທໍລີຮາກທີ່ລະບຸໄວ້ໃນຄໍາສັ່ງ "alias". ບັນຫາພຽງແຕ່ປາກົດຢູ່ໃນການຕັ້ງຄ່າທີ່ມີຄໍາສັ່ງ "alias" ທີ່ວາງໄວ້ພາຍໃນບລັອກ "ສະຖານທີ່" ທີ່ບໍ່ມີຕົວກໍານົດການສິ້ນສຸດດ້ວຍ "/" ຕົວອັກສອນ, ໃນຂະນະທີ່ "alias" ສິ້ນສຸດດ້ວຍ "/".

ໂດຍເນື້ອແທ້ແລ້ວຂອງບັນຫາແມ່ນວ່າໄຟລ໌ສໍາລັບຕັນທີ່ມີຄໍາສັ່ງນາມແຝງແມ່ນໄດ້ຮັບຜິດຊອບໂດຍການຄັດຕິດເສັ້ນທາງທີ່ຮ້ອງຂໍ, ຫຼັງຈາກປຽບທຽບກັບຫນ້າກາກຈາກຄໍາແນະນໍາສະຖານທີ່ແລະຕັດສ່ວນຂອງເສັ້ນທາງທີ່ລະບຸໄວ້ໃນຫນ້າກາກນີ້. ຕົວຢ່າງຂອງການຕັ້ງຄ່າທີ່ມີຄວາມສ່ຽງທີ່ສະແດງຢູ່ຂ້າງເທິງ, ຜູ້ໂຈມຕີສາມາດຮ້ອງຂໍໄຟລ໌ "/img../test.txt" ແລະການຮ້ອງຂໍນີ້ຈະຢູ່ພາຍໃຕ້ຫນ້າກາກ "/img" ທີ່ລະບຸຢູ່ໃນສະຖານທີ່, ຫຼັງຈາກນັ້ນຫາງທີ່ຍັງເຫຼືອ ".. /test.txt” ຈະຖືກຕິດກັບເສັ້ນທາງຈາກຄໍາສັ່ງນາມແຝງ “/var/images/” ແລະໃນທີ່ສຸດຈະຮ້ອງຂໍໄຟລ໌ “/var/images/../test.txt”. ດັ່ງນັ້ນ, ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງໄຟລ໌ໃດໆໃນໄດເລກະທໍລີ "/var", ແລະບໍ່ພຽງແຕ່ໄຟລ໌ໃນ "/var/images/", ສໍາລັບຕົວຢ່າງ, ເພື່ອດາວໂຫລດບັນທຶກ nginx, ທ່ານສາມາດສົ່ງຄໍາຮ້ອງຂໍ "/img../log/. nginx/ access.log".

ໃນການຕັ້ງຄ່າທີ່ຄ່າຂອງຄໍາສັ່ງນາມແຝງບໍ່ໄດ້ສິ້ນສຸດດ້ວຍຕົວອັກສອນ "/" (ຕົວຢ່າງ, "alias /var/images;"), ຜູ້ໂຈມຕີບໍ່ສາມາດປ່ຽນເປັນໄດເຣັກທໍຣີແມ່ໄດ້, ແຕ່ສາມາດຮ້ອງຂໍລາຍຊື່ອື່ນໃນ /var. ຊື່ຂອງມັນເລີ່ມຕົ້ນດ້ວຍອັນດຽວກັນທີ່ລະບຸໄວ້ໃນການຕັ້ງຄ່າ. ຕົວຢ່າງ, ໂດຍການຮ້ອງຂໍ "/img.old/test.txt" ທ່ານສາມາດເຂົ້າເຖິງໄດເລກະທໍລີ "var/images.old/test.txt".

ການວິເຄາະຂອງ repositories ໃນ GitHub ສະແດງໃຫ້ເຫັນວ່າຄວາມຜິດພາດໃນການຕັ້ງຄ່າ nginx ທີ່ນໍາໄປສູ່ບັນຫາຍັງເກີດຂື້ນໃນໂຄງການທີ່ແທ້ຈິງ. ຕົວຢ່າງ, ບັນຫາໄດ້ຖືກລະບຸໄວ້ໃນ backend ຂອງຕົວຈັດການລະຫັດຜ່ານ Bitwarden ແລະສາມາດຖືກນໍາໃຊ້ເພື່ອເຂົ້າເຖິງໄຟລ໌ທັງຫມົດໃນໄດເລກະທໍລີ /etc/bitwarden (/ການຮ້ອງຂໍໄຟລ໌ແນບແມ່ນມາຈາກ /etc/bitwarden/attachments/), ລວມທັງ "vault. . ", ແລະອື່ນໆ .P.

ວິທີການດັ່ງກ່າວຍັງເຮັດວຽກກັບ Google HPC Toolkit, ເຊິ່ງປ່ຽນເສັ້ນທາງການຮ້ອງຂໍ /static ໄປຫາໄດເລກະທໍລີ "../hpc-toolkit/community/front-end/website/static/". ເພື່ອໃຫ້ໄດ້ຮັບຖານຂໍ້ມູນທີ່ມີລະຫັດສ່ວນຕົວແລະຂໍ້ມູນປະຈໍາຕົວ, ຜູ້ໂຈມຕີສາມາດສົ່ງຄໍາຮ້ອງຂໍ "/static../.secret_key" ແລະ "/static../db.sqlite3".

ແຫຼ່ງຂໍ້ມູນ: opennet.ru