Apache SSI 遠程命令執行漏洞

Path httpd/ssi-rce

在測試任意文件上傳漏洞的時候，目標服務端可能不允許上傳php后綴的文件。如果目標服務器開啟了SSI與CGI支持，我們可以上傳一個shtml文件，并利用<!--#exec cmd="id" -->語法執行任意命令。

參考鏈接：

• https://httpd.apache.org/docs/2.4/howto/ssi.html
• https://www.w3.org/Jigsaw/Doc/User/SSI.html

漏洞環境

運行一個支持SSI與CGI的Apache服務器：

docker-compose up -d

環境啟動后，訪問http://your-ip:8080/upload.php，即可看到一個上傳表單。

漏洞復現

正常上傳PHP文件是不允許的，我們可以上傳一個shell.shtml文件：

<!--#exec cmd="ls" -->

成功上傳，然后訪問shell.shtml，可見命令已成功執行：