极安全-JiSec

httpoxy远程代理感染,CGI应用程序的漏洞

影响范围使用php,python,go做CGI服务

漏洞详情及利用方式

http://m.bobao.360.cn/learning/detail/2903.html

http://zone.wooyun.org/content/28533

漏洞公布地址
https://httpoxy.org/

漏洞测试脚本 https://access.redhat.com/security/vulnerabilities/httpoxy

测试方式

在 Apache httpd.conf
寻找其中一行如:
# ScriptAlias /cgi-bin/ "/usr/local/apache2/cgi-bin/"
看是否被注释,如被注释 把这行前面前面的'#'去掉,然后重新启动apache :

在
/usr/local/apache2/cgi-bin/ 创建test.cgi


#!/bin/sh
echo "Content-Type:text/plain"
​echo ""
echo "HTTP_PROXY='$HTTP_PROXY'"


执行curl

curl -H ‘Proxy: AFFECTED’ http://my-server-name/cgi-bin/test.cgi

如果显示如下则不受影响
HTTP_PROXY="

如果显示如下则受影响
HTTP_PROXY='AFFECTED'