目录
1 漏洞背景
2015年04月14日,微软发布严重级别的安全公告 MS15-034,编号为 CVE-2015-1635,据称在 Http.sys 中的漏洞可能允许远程执行代码
Http.sys 是一个位于 Windows 操作系统核心组件,能够让任何应用程序通过它提供的接口,以 Http 协议进行信息通讯。
HTTP.sys会错误解析某些特殊构造的HTTP请求,导致远程代码执行漏洞。成功利用此漏洞后,攻击者可在System帐户上下文中执行任意代码。
由于此漏洞存在于内核驱动程序中,攻击者也可以远程导致操作系统蓝屏。远程攻击者可以通过IIS 7(或更高版本)服务将恶意的HTTP请求传递给HTTP.sys驱动。
2 漏洞影响
IIS 7.0以上的Windows 7/8/8.1和Windows Server 2008 R2/Server 2012/Server 2012 R2等操作系统。
3 漏洞利用
3.1 服务器配置与搭建
ip:192.168.52.131
操作系统:win7
中间件:IIS7.0
win7我们如何开启iis服务呢
控制面板>程序和功能>打开或关闭windows功能>Internet信息服务>勾选Web管理工具和万维网服务
我们访问一下
http://127.0.0.1/
如上所示证明开启了iis服务
3.2 测试
我们在攻击机发送如下代码
curl -v 192.168.52.131 -H "Host:irrelevant" -H "Range:bytes=0-18446744073709551615"
返回如下信息证明存在此漏洞
3.2.1 curl命令
详见Linux curl命令最全详解
参数描述-v显示更详细的信息,调试时使用;-H “name:value”(HTTP)添加一个http header(http请求头);
3.2.2 Host字段
一个IP
可以对应
多个域名
,但我们为了
区分不同域名
显示的不同内容,此时引用host概念,所以每个域名对应不同的host,通过host可以区分出访问的是服务器上的哪个站点。(但此处我们直接访问的IP,默认80端口,我试了下,
-H "Host:irrelevant"
不加也是可以的)
没搞明白
3.2.3 Range字段
在原来网络不是很好的时候,下载大型文件很不容易,如果下载中断 ,那么只能重头开始下载,为了解决这个问题 HTTP/1.1引入的范围请求。即请求这个文件x~y的字节,指定范围,在请求报文的首部添加Range字段,此字段
指定资源的byte范围
,告诉服务器,请求资源是哪个范围的内容,让断点续传和并行下载得以实现。
例如:
Range: bytes=5001-10000
并不是所有的服务器都支持此要求
如果不支持服务器会返回
400状态码
,意思是客户端请求异常
这里我们的测试命令给的是
-H "Range:bytes=0-18446744073709551615"
18446744073709551615转为十六进制是 0xFFFFFFFFFFFFFFFF(16个F),是64位无符号整型所能表达的最大整数,
整数溢出
和这个超大整数有关
发送请求包就会返回
416状态码
如果请求中包含了 Range 请求头,并且 Range 中指定的任何数据范围都与当前资源的可用
范围不重合
,同时请求中又没有定义 If-Range 请求头,那么服务器就应当返回416状态码。
这个漏洞是整除溢出型漏洞,服务器端怎么处理这个请求,我也没搞懂,我现在只知道整数溢出报416状态码,证明此处存在此漏洞
3.3 攻击利用
工具用Metasploit(MSF)
安装使用方法自己搞
两个模块
0 ddos攻击
1 读取内存信息
试试第二个模块
不行不知道为什么
我们试试第一个模块ddos攻击
这里有个东西叫
therads
,上面说是并发线程数,我试了一下,如果是
默认
,直接
run
,服务器会
瞬间蓝屏
,然后重启,如果是改成
set therads 10
,服务器会
长时间蓝屏
4 防御措施
1.打补丁
https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2015/ms15-034
2.临时禁用IIS内核缓存
参考
Microsoft安全公告MS15-034 -严重
HTTP.sys远程代码执行(CVE2015-1635,MS15-034)
什么是整数溢出漏洞以及它带来的后果
版权归原作者 徐记荣 所有, 如有侵权,请联系我们删除。