Web服务器安全核心解析：三大主流服务器漏洞与实战防护

域名解析：用户输入URL，经DNS解析转化为服务器真实IP地址；

连接建立：客户端与服务器通过TCP三次握手建立稳定网络连接；

请求发送：客户端基于连接发送HTTP/HTTPS请求报文（包含请求路径、参数等）；

服务器处理：服务器解析请求，调取对应Web资源并生成响应报文；

页面渲染：浏览器接收响应报文，解析HTML/CSS/JS并渲染页面展示给用户。

服务器解析文件时，会从右向左识别文件后缀，直到识别到可解析的合法后缀为止，忽略中间不认识的后缀；

若配置了AddHandler application/x-httpd-php .php，则所有包含.php后缀的文件都会被识别为PHP脚本，无需.php是最后一个后缀。

切换至漏洞环境目录：cd /home/enjoy/vulhub-master/httpd/apache_parsing_vulnerability；

构建并启动环境：docker-compose build && docker-compose up -d；

上传畸形后缀文件：将恶意PHP脚本命名为test.php.xxx.jpg，通过靶场上传功能上传；

访问触发漏洞：在浏览器访问http://靶机IP/uploadfiles/test.php.xxx.jpg，服务器会解析并执行该PHP脚本；

停止环境：docker-compose down（测试完成后务必关闭）。

路径欺骗解析：默认配置下，xxx.php/xxx.jpg这类URL，Nginx会将其当作xxx.php脚本，交给后端PHP-FPM解析执行；

配置空格缺陷：若fastcgi_split_path_info配置行存在空格，会导致解析异常，畸形后缀文件被识别为PHP脚本。

切换至漏洞环境目录：cd /home/enjoy/vulhub-master/nginx/nginx_parsing_vulnerability；

构建并启动环境：docker-compose build && docker-compose up -d；

上传正常图片文件：将恶意PHP脚本伪装为test.png并上传，获取文件访问路径；

构造URL触发漏洞：访问http://靶机IP/uploadfiles/test.png/.php，Nginx会将其解析为PHP脚本执行；

停止环境：docker-compose down。

分号截断解析：解析文件时，会忽略文件名中;后面的所有内容，例如webshell.asp;.jpg会被解析为webshell.asp并执行ASP脚本；

特殊后缀解析：默认将.asa、.cer、.cdx这3个后缀当作ASP脚本解析，攻击者可利用这些“冷门后缀”绕过上传过滤。

新建恶意ASP脚本：编写<% response.write("i am hacker")%>并保存为hack.asp；

构造畸形文件名：将文件重命名为hack.asp;.jpg；

放置至服务器目录：将文件放入IIS 6.0的Web根目录（如C:\\IIS6\\WEB）；

访问触发漏洞：在浏览器访问http://服务器IP/hack.asp;.jpg，服务器会执行ASP脚本并输出内容。

核心配置加固：修改Apache主配置文件httpd.conf，添加严格的后缀匹配规则，仅允许纯.php后缀被解析：

<FilesMatch \\.php$>
SetHandler application/x-httpd-php
</FilesMatch>

上传白名单过滤：业务层仅允许jpg/png/pdf等合法资源后缀上传，拒绝所有脚本后缀（php/perl/python）；

权限控制：将上传目录单独存放，设置为只读不可执行权限，禁止Apache解析该目录下的文件；

版本及时升级：升级至修复了解析漏洞的Apache版本，封堵已知漏洞。

严格PHP解析配置：修改Nginx配置文件，添加精准的正则匹配，仅解析纯.php后缀文件，杜绝畸形URL：

location ~ \\.php$ {
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_param PATH_INFO ""; # 禁止空字节解析
}

上传目录单独防护：在配置中禁止解析上传目录的PHP文件：

location /upload {
deny all; # 禁止所有访问
}

检查配置格式：确保fastcgi_split_path_info配置行无空格，避免配置缺陷；

升级Nginx版本：使用最新稳定版，修复已知的解析漏洞。

版本升级（根本解决）：升级至IIS 7.0及以上版本，该版本原生修复了分号截断和特殊后缀解析漏洞；

禁用危险后缀：修改IIS的MIME类型，删除.asa、.cer、.cdx与ASP的映射关系，禁止解析这类后缀；

过滤特殊字符：业务层严格校验上传文件名，禁止包含;的文件上传，从源头封堵畸形文件名；

上传目录权限控制：将上传目录设置为只读，禁止执行ASP脚本，单独存放上传文件。

白名单校验：仅允许合法的资源后缀上传，拒绝所有脚本后缀（php/asp/jsp等）；

文件头校验：不仅校验文件名后缀，还需校验文件头（如jpg文件头为FF D8 FF），防止文件伪装；

随机重命名：服务器对上传的文件进行随机名称重命名，并保留正确后缀，让攻击者的畸形文件名失效；

上传目录隔离：上传目录与Web根目录隔离，设置为只读不可执行，禁止服务器解析该目录文件。

限制服务器的访问IP，仅允许合法IP段访问后台和敏感目录；

开启服务器访问日志和错误日志，实时审计访问行为，及时发现异常攻击请求。

掌握三大服务器解析漏洞的原理，从根源理解攻击路径；

根据漏洞成因修改服务器配置，实现精准防护；

业务层严格做文件上传过滤，从入口封堵攻击；

遵守通用安全原则，版本升级、最小权限、日志审计多维度发力。

你在Web服务器运维中遇到过哪些解析漏洞攻击？是如何防护的？

除了解析漏洞，Apache/Nginx/IIS还有哪些常见的高危漏洞？

对于高并发Nginx场景，还有哪些额外的安全防护技巧？