常见的间件中间件漏洞

中间件是Web应用的地基，地基裂了，漏洞上面盖什么都白搭。间件很多团队花大价钱买WAF、漏洞做代码审计，间件却忘了检查IIS、漏洞Apache、间件Nginx、漏洞Tomcat这些老伙计的间件默认配置——结果被攻击者用最土的办法打穿，连喊冤的漏洞力气都没有。

先说IIS，间件微软家这货在Windows服务器上横行十几年。漏洞最经典的间件坑是短文件名漏洞，攻击者用“~”符号加通配符，漏洞就能猜出服务器上任意文件的间件真实名称。比如你藏了个`backup_2024_final.zip`，人家直接访问`/b*~1.*/.aspx`，IIS就把目录结构给吐出来了。更别提那些年爆过的`PUT`方法写权限漏洞——只要WebDAV服务开着，黑客用`curl -T shell.asp http://target`就能把一句话木马传上去，跟往自己家冰箱里放菜一样随意。

Apache这边也不省心。老版本对`/cgi-bin/`目录的处理有毛病，你传个`test.pl%00.png`，服务器愣是把它当CGI脚本执行——空字节截断，这招在2010年前后简直是漏洞界的“全民偶像”。还有个更隐蔽的：多后缀解析漏洞。Apache从右往左认后缀，`shell.php.jpg`会被当成jpg，但`shell.php.jpg/xxx`在某些配置下就会触发PHP解析。很多图片上传功能就是这么被绕过的，攻击者传个带PHP代码的图片，然后访问时加个斜杠，直接getshell。

Nginx的坑主要在配置不当。最常见的是`alias`路径穿越——你写`location /files { alias /home/user/; }`，结果访问`/files../secret.txt`，Nginx一不留神就跳出去了。还有那个经典的`CRLF注入`，在`return`指令里没过滤`\r\n`，攻击者往响应头里塞`Set-Cookie`或者`Location`，把正常用户导去钓鱼站。Nginx本身挺安全，但运维手一抖，配置就成筛子。

Tomcat作为Java系扛把子，漏洞更是层出不穷。老生常谈的弱口令+后台部署——默认端口8080，管理页面`/manager/html`，密码admin/admin的服务器，我扫一遍全网能找出好几千台。上去之后传个WAR包，里面藏个JSP马，重启即生效。另外还有`Ghostcat`（CVE-2020-1938），这漏洞利用AJP协议端口8009，不碰HTTP就能读Web应用源码，甚至执行命令。很多程序员压根不知道Tomcat还开着个AJP口，结果被打了还问“我防火墙只开了80啊”。

这些漏洞有个共同点：都不是什么高深的内存破坏或0day，全是配置疏忽和设计遗留问题。攻击者不需要多聪明，拿扫描器一梭子，配上公开的exploit脚本，半小时就能打穿一批站。我见过某金融公司，服务器上跑着Apache 2.2.15（2010年的版本），还开着`Options Indexes`，整个目录列表裸奔在公网上——银行风控部门看了估计得心梗。

修法其实不复杂。IIS就禁用WebDAV、升级到最新补丁；Apache把`AllowEncodedSlashes`关了、检查`cgi`目录权限；Nginx留意`alias`结尾斜杠、对`$uri`做规范化；Tomcat改强口令、关AJP端口、别把管理页面暴露到公网。但现实是，很多公司连资产清单都不全，压根不知道自个儿跑了哪些中间件——这比漏洞本身更让人绝望。

最后说句掏心窝的：中间件漏洞不是“修一次就完事”，你得把它当慢性病管理。每季度扫一遍配置基线，每次升级前查CVE库，新上线的服务先做安全加固再谈业务。攻击者天天在研究这些老漏洞的新变种，你要是只想着“出了问题再补”，那跟把家门钥匙藏在门口地垫下没啥区别。