Nginx 文件名逻辑漏洞（CVE-2013-4547）复现

漏洞原理

影响范围: Nginx 0.8.41 ~ 1.4.3
影响范围: Nginx 1.5.0 ~ 1.5.7

Nginx在解析php文件的时候通常在配置文件中如下配置

location ~ \.php$ {
           root           html;
           include        fastcgi_params;

           fastcgi_pass   php:9000;
           fastcgi_index  index.php;
           fastcgi_param  SCRIPT_FILENAME  /var/www/html$fastcgi_script_name;
           fastcgi_param  DOCUMENT_ROOT /var/www/html;
        }

通过$正则表达式匹配文件是否已.php后缀名结束然后将该文件交给fastcgi执行，该漏洞绕过的原因是正则匹配和Nginx匹配结合起来的漏洞
首先例如我们给一个文件名test.png\x00.php，在上诉配置文件使用正则匹配成功确定是一个php文件，但是Nginx在遇到\x00就会结束，实际交给fastcgi的文件名就是test.png

所以这里我们只需要上传一个test.png\x00.php,\x00代表十六进制数据，可以绕过Nginx解析，但是在实际利用过程中是不行的，通过实验环境上面的思路漏洞利用失败

这里参考了https://blog.csdn.net/Blood_Pupil/article/details/88565176博客，需要再\x00前面加入\x20空格，就可以让Nginx运行不报错正常执行，这是一个逻辑漏洞