O nisi o 'auʻaunaga Nginx o loʻo tumau pea le vaivai i le Nginx Alias Traversal technique, lea na tuʻuina atu i le Blackhat conference i tua i le 2018 ma faʻatagaina avanoa i faila ma faʻamaumauga o loʻo i fafo atu o le root directory ua faʻamaonia i le "alias" faatonuga. E na'o le fa'afitauli e aliali mai i fa'atonuga ma se fa'atonuga "alias" tu'u i totonu o se poloka "nofoaga" e le fa'ai'u le parakalafa i se uiga "/", ae fa'ai'u le "alias" i le "/".
O le ute o le faʻafitauli o faila mo poloka faʻatasi ai ma le faʻatonuga o loʻo tuʻuina atu e ala i le faʻapipiʻiina o le ala o loʻo talosagaina, pe a uma ona faʻatusatusa i le mask mai le nofoaga faʻatonuga ma tipi ese le vaega o le ala o loʻo faʻamaonia i lenei mask. Mo le faʻataʻitaʻiga o se faʻafitauli faʻaletonu o loʻo faʻaalia i luga, e mafai e se tagata osofaʻi ona talosagaina le faila "/img../test.txt" ma o lenei talosaga o le a pau i lalo o le "/img" mask ua faʻamaonia i le nofoaga, a maeʻa le siʻusiʻu o totoe ". ./test.txt" o le a faʻapipiʻi i le ala mai le faʻatonuga "/var/images/" ma mulimuli ane talosagaina le faila "/var/images/../test.txt". O le mea lea, e mafai e tagata osofaʻi ona maua soʻo se faila i le "/ var" directory, ae le naʻo faila i le "/ var / images /", mo se faʻataʻitaʻiga, e sii mai le log nginx, e mafai ona e lafoina le talosaga "/img../log/ nginx/access.log".
I fetuutuunaiga lea e le muta ai le tau o le fa'atonuga i se uiga "/" (mo se fa'ata'ita'iga, "alias / var/images;"), e le mafai e le tagata osofa'i ona sui i le fa'atonu matua, ae mafai ona talosagaina se isi fa'atonu i / var o lona igoa e amata i le mea lava e tasi o loʻo faʻamaonia i le faʻatulagaga. Mo se faʻataʻitaʻiga, e ala i le talosagaina "/img.old/test.txt" e mafai ona e mauaina le lisi "var/images.old/test.txt".
O se suʻesuʻega o fale teu oloa i luga o GitHub na faʻaalia ai o mea sese i le nginx configuration e mafua ai le faʻafitauli o loʻo tupu pea i galuega moni. Mo se faʻataʻitaʻiga, o se faʻafitauli na faʻaalia i le pito i tua o le Bitwarden password manager ma e mafai ona faʻaoga e faʻaoga uma faila i le /etc/bitwarden directory (/o talosaga faʻapipiʻi na tuʻuina mai /etc/bitwarden/attachments/), e aofia ai le "vault. .db", tusi faamaonia ma ogalaau, e maua ai na lava e lafo ai talosaga "/attachments../vault.db", "/attachments../identity.pfx", "/attachments../logs/api.log ", ma isi..P.
Na galue foi le auala ma Google HPC Toolkit, lea na toe faʻafeiloaʻi / static talosaga i le "../hpc-toolkit/community/front-end/website/static/" directory. Ina ia maua se faʻamaumauga faʻatasi ma se ki maʻaleʻale ma faʻamaonia, e mafai e se tagata osofaʻi ona tuʻuina atu talosaga "/static../.secret_key" ma le "/static../db.sqlite3".
puna: opennet.ru