ਗਲਤ ਉਪਨਾਮ ਬਲਾਕ ਸੈਟਿੰਗਾਂ ਨਾਲ Nginx ਕੌਂਫਿਗਰੇਸ਼ਨ ਕਮਜ਼ੋਰੀ

Nginx ਵਾਲੇ ਕੁਝ ਸਰਵਰ Nginx Alias ​​Traversal ਤਕਨੀਕ ਲਈ ਕਮਜ਼ੋਰ ਰਹਿੰਦੇ ਹਨ, ਜੋ ਕਿ ਬਲੈਕਹੈਟ ਕਾਨਫਰੰਸ ਵਿੱਚ 2018 ਵਿੱਚ ਪ੍ਰਸਤਾਵਿਤ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ "ਉਪਨਾਮ" ਨਿਰਦੇਸ਼ਾਂ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਰੂਟ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਬਾਹਰ ਸਥਿਤ ਫਾਈਲਾਂ ਅਤੇ ਡਾਇਰੈਕਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਸਮੱਸਿਆ ਸਿਰਫ "ਸਥਾਨ" ਬਲਾਕ ਦੇ ਅੰਦਰ ਰੱਖੇ "ਉਪਨਾਮ" ਨਿਰਦੇਸ਼ਕ ਨਾਲ ਸੰਰਚਨਾ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ, ਜਿਸਦਾ ਪੈਰਾਮੀਟਰ "/" ਅੱਖਰ ਨਾਲ ਖਤਮ ਨਹੀਂ ਹੁੰਦਾ, ਜਦੋਂ ਕਿ "ਉਪਨਾਮ" "/" ਨਾਲ ਖਤਮ ਹੁੰਦਾ ਹੈ।

ਸਮੱਸਿਆ ਦਾ ਨਿਚੋੜ ਇਹ ਹੈ ਕਿ ਉਪਨਾਮ ਨਿਰਦੇਸ਼ਕ ਵਾਲੇ ਬਲਾਕਾਂ ਲਈ ਫਾਈਲਾਂ ਬੇਨਤੀ ਕੀਤੇ ਮਾਰਗ ਨੂੰ ਜੋੜ ਕੇ, ਸਥਾਨ ਨਿਰਦੇਸ਼ਕ ਤੋਂ ਮਾਸਕ ਨਾਲ ਮੇਲ ਕਰਨ ਅਤੇ ਇਸ ਮਾਸਕ ਵਿੱਚ ਦਰਸਾਏ ਮਾਰਗ ਦੇ ਹਿੱਸੇ ਨੂੰ ਕੱਟਣ ਤੋਂ ਬਾਅਦ ਦਿੱਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਉੱਪਰ ਦਿਖਾਈ ਗਈ ਇੱਕ ਕਮਜ਼ੋਰ ਸੰਰਚਨਾ ਦੀ ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ "/img../test.txt" ਫਾਈਲ ਲਈ ਬੇਨਤੀ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਇਹ ਬੇਨਤੀ ਟਿਕਾਣੇ "/img" ਵਿੱਚ ਦਰਸਾਏ ਮਾਸਕ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਬਾਕੀ ਦੀ ਪੂਛ "../test.txt" ਉਪਨਾਮ ਨਿਰਦੇਸ਼ਕ ਤੋਂ ਮਾਰਗ ਨਾਲ ਨੱਥੀ ਕੀਤੀ ਜਾਵੇਗੀ "/var/images/"/txt.///images/" ਨਤੀਜੇ ਵਜੋਂ ਫਾਈਲ ਕੀਤੀ ਜਾਵੇਗੀ। ਬੇਨਤੀ ਕੀਤੀ। ਇਸ ਤਰ੍ਹਾਂ, ਹਮਲਾਵਰ "/var" ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਕਿਸੇ ਵੀ ਫ਼ਾਈਲ ਤੱਕ ਪਹੁੰਚ ਕਰ ਸਕਦੇ ਹਨ, ਨਾ ਕਿ ਸਿਰਫ਼ "/var/images/" ਵਿੱਚ ਫ਼ਾਈਲਾਂ, ਉਦਾਹਰਨ ਲਈ, nginx ਲੌਗ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ, ਤੁਸੀਂ "/img../log/nginx/access.log" ਨੂੰ ਬੇਨਤੀ ਭੇਜ ਸਕਦੇ ਹੋ।

ਸੰਰਚਨਾਵਾਂ ਵਿੱਚ ਜਿਸ ਵਿੱਚ ਉਪਨਾਮ ਨਿਰਦੇਸ਼ਕ ਦਾ ਮੁੱਲ ਇੱਕ "/" ਅੱਖਰ (ਉਦਾਹਰਨ ਲਈ, "ਉਪਨਾਮ /var/images;") ਨਾਲ ਖਤਮ ਨਹੀਂ ਹੁੰਦਾ, ਹਮਲਾਵਰ ਮੂਲ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਨਹੀਂ ਬਦਲ ਸਕਦਾ, ਪਰ /var ਵਿੱਚ ਕਿਸੇ ਹੋਰ ਡਾਇਰੈਕਟਰੀ ਲਈ ਬੇਨਤੀ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸਦਾ ਨਾਮ ਸੰਰਚਨਾ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, "/img.old/test.txt" ਦੀ ਬੇਨਤੀ ਕਰਕੇ ਤੁਸੀਂ "var/images.old/test.txt" ਡਾਇਰੈਕਟਰੀ ਤੱਕ ਪਹੁੰਚ ਕਰ ਸਕਦੇ ਹੋ।

GitHub 'ਤੇ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਦਿਖਾਇਆ ਕਿ nginx ਸੰਰਚਨਾ ਵਿੱਚ ਗਲਤੀਆਂ ਜੋ ਸਮੱਸਿਆ ਵੱਲ ਲੈ ਜਾਂਦੀਆਂ ਹਨ, ਅਸਲ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਅਜੇ ਵੀ ਪਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਬਿਟਵਾਰਡਨ ਪਾਸਵਰਡ ਮੈਨੇਜਰ ਦੇ ਬੈਕਐਂਡ ਵਿੱਚ ਇੱਕ ਸਮੱਸਿਆ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ ਅਤੇ ਇਸਦੀ ਵਰਤੋਂ /etc/bitwarden ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਾਰੀਆਂ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ (/etc/bitwarden/attachments/ ਤੋਂ /ਅਟੈਚਮੈਂਟਾਂ ਲਈ ਬੇਨਤੀਆਂ ਜਾਰੀ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ), ਜਿਸ ਵਿੱਚ ਪਾਸਵਰਡ "vault.db" ਨਾਲ ਸਟੋਰ ਕੀਤਾ ਡੇਟਾਬੇਸ ਵੀ ਸ਼ਾਮਲ ਹੈ, ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਲੌਗ, ਜੋ ਕਿ "ਭੇਜਣ ਲਈ ਕਾਫ਼ੀ ਸੀ। /attachments../identity.pfx”, “/atta chments../logs/api.log” ਆਦਿ।

ਵਿਧੀ ਨੇ Google HPC ਟੂਲਕਿੱਟ ਨਾਲ ਵੀ ਕੰਮ ਕੀਤਾ, ਜਿੱਥੇ /static ਬੇਨਤੀਆਂ ਨੂੰ "../hpc-toolkit/community/front-end/website/static/" ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਇੱਕ ਨਿੱਜੀ ਕੁੰਜੀ ਅਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਵਾਲਾ ਇੱਕ ਡੇਟਾਬੇਸ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ "/static../.secret_key" ਅਤੇ "/static../db.sqlite3" ਪ੍ਰਸ਼ਨ ਭੇਜ ਸਕਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru