搜索

[28967] 2021-05-26_nginxDNS解析器不按一堆写入漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-05-26_nginxDNS解析器不按一堆写入漏洞 n g i n x   D N S 解 析 器 不 按 一 堆 写 入 漏 洞 O t s 安 全   2 0 2 1 - 0 5 - 2 6 点 击 上 方 「 蓝 色 微 信 名 」 可 快 速 关 注 M 1 s s i n g 寄 存 器 访 问 控 制 泄 漏 E L 0 状 态 严 重 等 级 ： 严 重 等 级 ： 高 的 确 认 的 受 影 响 版 本 ： 确 认 的 受 影 响 版 本 ： 0 . 6 . 1 8 - 1 . 2 0 . 0 确 认 的 补 丁 版 本 ： 确 认 的 补 丁 版 本 ： 1 . 2 1 . 0 、 1 . 2 0 . 1 小 贩 ： 小 贩 ： F 5 ， I n c . 供 应 商 网 址 ： 供 应 商 网 址 ： h t t p s : / / n g i n x . o r g / 摘 要 和 影 响 摘 要 和 影 响 在 n g x _ r e s o l v e r _ c o p y ( ) 处 理 D N S 响 应 时 出 现 一 个 一 字 不 漏 的 错 误 ， 网 络 攻 击 者 可 以 在 堆 分 配 的 缓 冲 区 中 写 一 个 点 字 符 （ ' 。 ' ， 0 x 2 E ） 。 配 置 了 解 析 器 原 语 时 ， 可 以 通 过 D N S 响 应 （ 响 应 来 自 n g i n x 的 D N S 请 求 ） 来 触 发 此 漏 洞 。 特 制 数 据 包 允 许 使 用 0 x 2 E 覆 盖 下 一 个 堆 块 元 数 据 的 最 低 有 效 字 节 。 能 够 向 N g i n x 服 务 器 提 供 D N S 响 应 的 网 络 攻 击 者 可 以 实 现 “ 拒 绝 服 务 ” 并 可 能 实 现 远 程 代 码 执 行 。 由 于 n g i n x 中 缺 少 D N S 欺 骗 缓 解 措 施 ， 并 且 在 检 查 D N S 事 务 I D 之 前 调 用 了 易 受 攻 击 的 功 能 ， 因 此 远 程 攻 击 者 可 能 能 够 通 过 在 可 行 的 时 间 内 向 中 毒 服 务 器 注 入 中 毒 的 D N S 响 应 来 利 用 此 漏 洞 。 。 根 本 原 因 分 析 根 本 原 因 分 析 当 设 置 了 解 析 器 原 语 时 ， n g i n x   D N S 解 析 器 （ c o r e   /   n g x _ r e s o l v e r . c ） 用 于 通 过 D N S 解 析 多 个 模 块 的 主 机 名 。 n g x _ r e s o l v e r _ c o p y ( ) 调 用 来 验 证 和 解 压 缩 D N S 响 应 中 包 含 的 每 个 D N S 域 名 ， 接 收 网 络 包 作 为 输 入 和 指 向 正 在 处 理 的 名 称 的 指 针 ， 并 在 成 功 后 返 回 指 向 包 含 未 压 缩 名 称 的 新 分 配 缓 冲 区 的 指 针 。 这 是 分 两 步 完 成 的 ，
1 ） 计 算 未 压 缩 的 域 名 大 小 l e n ， 并 验 证 输 入 数 据 包 ， 丢 弃 包 含 多 于 1 2 8 个 指 针 或 包 含 超 出 输 入 缓 冲 区 边 界 的 指 针 的 名 称 。 2 ） 分 配 输 出 缓 冲 区 ， 并 将 未 压 缩 的 名 称 复 制 到 其 中 。 第 1 部 分 中 的 大 小 计 算 与 第 2 部 分 中 的 名 称 解 压 缩 之 间 的 不 匹 配 会 导 致 中 的 一 对 一 错 误 l e n ， 从 而 允 许 将 点 字 符 写 到 n a m e - > d a t a 边 界 一 字 节 之 外 。 当 压 缩 名 称 的 最 后 一 部 分 包 含 一 个 指 向 N U L 字 节 的 指 针 时 ， 就 会 发 生 计 算 错 误 。 尽 管 计 算 步 骤 仅 考 虑 标 签 之 间 的 点 ， 但 每 次 处 理 标 签 并 且 下 一 个 字 符 不 是 N U L 时 ， 解 压 缩 步 骤 都 会 写 入 一 个 点 字 符 。 当 标 签 后 跟 指 向 N U L 字 节 的 指 针 时 ， 解 压 缩 过 程 将 ： 如 果 计 算 的 大 小 恰 好 与 堆 块 大 小 对 齐 ， 则 超 出 范 围 的 点 字 符 将 覆 盖 下 一 个 堆 块 大 小 元 数 据 的 最 低 有 效 字 节 。 这 可 能 会 修 改 下 一 个 堆 块 的 大 小 ， 但 还 会 覆 盖 3 个 标 志 ， 导 致 P R E V _ I N U S E 被 清 除 和 I S _ M M A P P E D 设 置 。 / /   1 )   c o p y   t h e   l a b e l   t o   t h e   o u t p u t   b u f f e r ,   n g x _ s t r l o w ( d s t ,   s r c ,   n ) ;                         d s t   + =   n ;                         s r c   + =   n ; / /   2 )   r e a d   n e x t   c h a r a c t e r ,                         n   =   * s r c + + ; / /   3 )   a s   i t s   a   p o i n t e r ,   i t s   n o t   N U L ,                         i f   ( n   ! =   0 )   { / /   4 )   s o   a   d o t   c h a r a c t e r   t h a t   w a s   n o t   a c c o u n t e d   f o r   i s   w r i t t e n   o u t   o f   b o u n d s                                 * d s t + +   =   ' . ' ;                         } / /   5 )   A f t e r w a r d s ,   t h e   p o i n t e r   i s   f o l l o w e d ,                 i f   ( n   &   0 x c 0 )   {                         n   =   ( ( n   &   0 x 3 f )   < <   8 )   +   * s r c ;                         s r c   =   & b u f [ n ] ;                         n   =   * s r c + + ;                 } / /   6 )   a n d   a   N U L L   b y t e   i s   f o u n d ,   s i g n a l i n g   t h e   e n d   o f   t h e   f u n c t i o n                 i f   ( n   = =   0 )   {                         n a m e - > l e n   =   d s t   -   n a m e - > d a t a ;                         r e t u r n   N G X _ O K ;                 } = = 7 8 6 3 = =   I n v a l i d   w r i t e   o f   s i z e   1 = = 7 8 6 3 = =         a t   0 x 1 3 7 C 2 E :   n g x _ r e s o l v e r _ c o p y   ( n g x _ r e s o l v e r . c : 4 0 1 8 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ a   ( n g x _ r e s o l v e r . c : 2 4 7 0 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ r e s p o n s e   ( n g x _ r e s o l v e r . c : 1 8 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 4 6 A :   n g x _ r e s o l v e r _ u d p _ r e a d   ( n g x _ r e s o l v e r . c : 1 5 7 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 A B 1 9 :   n g x _ e p o l l _ p r o c e s s _ e v e n t s   ( n g x _ e p o l l _ m o d u l e . c : 9 0 1 ) = = 7 8 6 3 = =         b y   0 x 1 4 1 4 D 4 :   n g x _ p r o c e s s _ e v e n t s _ a n d _ t i m e r s   ( n g x _ e v e n t . c : 2 4 7 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 E 5 7 :   n g x _ w o r k e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 7 1 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 7 4 D A :   n g x _ s p a w n _ p r o c e s s   ( n g x _ p r o c e s s . c : 1 9 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 0 A 8 :   n g x _ s t a r t _ w o r k e r _ p r o c e s s e s   ( n g x _ p r o c e s s _ c y c l e . c : 3 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 9 5 2 D :   n g x _ m a s t e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 1 3 0 ) = = 7 8 6 3 = =         b y   0 x 1 2 2 3 7 F :   m a i n   ( n g i n x . c : 3 8 3 ) = = 7 8 6 3 = =     A d d r e s s   0 x 4 b b c f b 8   i s   0   b y t e s   a f t e r   a   b l o c k   o f   s i z e   2 4   a l l o c ' d = = 7 8 6 3 = =         a t   0 x 4 8 3 E 7 7 F :   m a l l o c   ( v g _ r e p l a c e _ m a l l o c . c : 3 0 7 ) = = 7 8 6 3 = =         b y   0 x 1 4 4 8 C 4 :   n g x _ a l l o c   ( n g x _ a l l o c . c : 2 2 ) = = 7 8 6 3 = =         b y   0 x 1 3 7 A E 4 :   n g x _ r e s o l v e r _ a l l o c   ( n g x _ r e s o l v e r . c : 4 1 1 9 ) = = 7 8 6 3 = =         b y   0 x 1 3 7 B 2 6 :   n g x _ r e s o l v e r _ c o p y   ( n g x _ r e s o l v e r . c : 3 9 9 4 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ a   ( n g x _ r e s o l v e r . c : 2 4 7 0 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ r e s p o n s e   ( n g x _ r e s o l v e r . c : 1 8 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 4 6 A :   n g x _ r e s o l v e r _ u d p _ r e a d   ( n g x _ r e s o l v e r . c : 1 5 7 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 A B 1 9 :   n g x _ e p o l l _ p r o c e s s _ e v e n t s   ( n g x _ e p o l l _ m o d u l e . c : 9 0 1 ) = = 7 8 6 3 = =         b y   0 x 1 4 1 4 D 4 :   n g x _ p r o c e s s _ e v e n t s _ a n d _ t i m e r s   ( n g x _ e v e n t . c : 2 4 7 )
有 关 类 似 漏 洞 类 的 一 般 可 利 用 性 的 更 多 信 息 ， 请 参 见 > C h r o m e 操 作 系 统 漏 洞 利 用 ： 一 个 字 节 溢 出 和 符 号 链 接 h t t p s : / / g o o g l e p r o j e c t z e r o . b l o g s p o t . c o m / 2 0 1 6 / 1 2 / c h r o m e - o s - e x p l o i t - o n e - b y t e - o v e r f l o w - a n d . h t m l > P r o j e c t   Z e r o 的 中 毒 N U L L 字 节 h t t p s : / / g o o g l e p r o j e c t z e r o . b l o g s p o t . c o m / 2 0 1 4 / 0 8 / t h e - p o i s o n e d - n u l - b y t e - 2 0 1 4 - e d i t i o n . h t m l > 松 冈 裕 树 （ H i r o k i   M a t s u k a m a ） 的 E i n h e r j a r 之 家 h t t p s : / / w w w . s l i d e s h a r e . n e t / c o d e b l u e _ j p / c b 1 6 - m a t s u k u m a - z h - 6 8 4 5 9 6 0 6 h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = t q 3 m P j s l - H 0 鉴 于 n g i n x 中 与 用 户 控 制 器 数 据 以 及 已 记 录 的 先 例 具 有 丰 富 的 交 互 机 会 ， 因 此 该 漏 洞 被 认 为 可 在 某 些 操 作 系 统 和 体 系 结 构 上 用 于 远 程 代 码 执 行 。 攻 击 向 量 分 析 攻 击 向 量 分 析 D N S 响 应 可 以 通 过 多 种 方 式 触 发 漏 洞 。 首 先 ， n g i n x 必 须 已 发 送 D N S 请 求 ， 并 且 必 须 等 待 响 应 。 然 后 ， 可 以 在 D N S 响 应 的 多 个 部 分 中 注 入 毒 名 ： D N S 问 题 Q N A M E ， D N S 回 答 名 称 ， D N S 会 回 答 R D A T A 以 获 得 C N A M E 和 S R V 响 应 ， 请 记 住 ， 通 过 使 用 多 个 中 毒 的 Q N A M E ， N A M E 或 R D A T A 值 制 作 响 应 ， 可 以 在 处 理 响 应 时 多 次 击 中 易 受 攻 击 的 函 数 ， 从 而 有 效 地 执 行 多 次 脱 机 写 入 。 此 外 ， 当 攻 击 者 提 供 中 毒 的 C N A M E 时 ， 它 将 被 递 归 解 决 ， 从 而 在 n g x _ r e s o l v e _ n a m e _ l o c k e d ( ) 调 用 n g x _ s t r l o w ( ) （ n g x _ r e s o l v e r . c ： 5 9 4 ） 期 间 触 发 额 外 的 O O B 写 操 作 ， 并 在 n g x _ r e s o l v e r _ d u p ( ) （ n g x _ r e s o l v e r . c ： 7 9 0 ） 和 n g x _ c r c 3 2 _ s h o r t ( ) （ n g x _ r e s o l v e r . c ： 5 9 6   ） 期 间 进 行 额 外 的 O O B 读 取 操 作 。 ） 。 用 于 “   e x a m p l e . n e t ” 请 求 的 D N S 响 应 示 例 负 载 ， 其 中 包 含 被 污 染 的 C N A M E ： 稍 微 不 同 的 有 效 负 载 （ p o c . p y 中 的 有 效 负 载 ） 填 充 了 足 够 的 字 节 ， 以 n e x t _ c h u n k . m c h u n k _ s i z e 用 点 覆 盖 最 低 有 效 字 节 ： 2 4 字 节 的 标 签 导 致 分 配 了 2 4 字 节 的 缓 冲 区 ， 该 缓 冲 区 填 充 有 2 4 字 节 + 一 个 超 出 范 围 的 点 字 符 。 修 复 修 复 / 解 决 方 法 解 决 方 法 为 中 毒 域 名 末 尾 写 入 的 伪 造 的 点 字 符 分 配 一 个 额 外 的 字 节 可 以 缓 解 此 问 题 。 = = 7 8 6 3 = =         b y   0 x 1 4 1 4 D 4 :   n g x _ p r o c e s s _ e v e n t s _ a n d _ t i m e r s   ( n g x _ e v e n t . c : 2 4 7 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 E 5 7 :   n g x _ w o r k e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 7 1 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 7 4 D A :   n g x _ s p a w n _ p r o c e s s   ( n g x _ p r o c e s s . c : 1 9 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 0 A 8 :   n g x _ s t a r t _ w o r k e r _ p r o c e s s e s   ( n g x _ p r o c e s s _ c y c l e . c : 3 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 9 5 2 D :   n g x _ m a s t e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 1 3 0 ) b c b 8 8 1 8 0 0 0 0 1 0 0 0 1 0 0 0 0 0 0 0 0 0 7 6 5 7 8 6 1 6 d 7 0 6 c 6 5 0 3 6 e 6 5 7 4 0 0 0 0 1 c 0 0 0 1 c 0 0 c 0 0 0 5 0 0 0 1 0 0 0 0 0 e 1 0 0 0 0 b 0 1 4 1 c 0 0 4                   ^                                                                                                                                                 |       ^   p o i n t e r   t o   p o s i t i o n   0 x 0 4   - |                   N U L L   b y t e   < - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - |                                                                                                                                                                     |                                                                                                                                                                                             ^   1   b y t e   l a b e l b c b 8 8 1 8 0 0 0 0 1 0 0 0 1 0 0 0 0 0 0 0 0 0 7 6 5 7 8 6 1 6 d 7 0 6 c 6 5 0 3 6 e 6 5 7 4 0 0 0 0 1 c 0 0 0 1 c 0 0 c 0 0 0 5 0 0 0 1 0 0 0 0 0 e 1 0 0 0 0 b 1 8 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1 c 0 0 4                                                                                                                                                                     ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^                                                                                                                                                                         |                                                                                                                                                                         2 4   b y t e s   l a b e l
概 念 验 证 概 念 验 证 可 以 从 h t t p s : / / g i t h u b . c o m / x 4 1 s e c / a d v i s o r i e s / b l o b / m a s t e r / X 4 1 - 2 0 2 1 - 0 0 2 / p o c . p y 下 载 提 供 了 可 触 发 此 漏 洞 的 带 毒 有 效 载 荷 的 虚 拟 D N S 服 务 器 。 可 以 通 过 在 v a l g r i n d 下 使 用 提 供 的 配 置 运 行 n g i n x 来 测 试 所 描 述 的 漏 洞 ： 然 后 运 行 D N S 服 务 器 （ 默 认 情 况 下 将 侦 听 端 口 1 0 5 3 ） ： 并 触 发 对 服 务 器 的 请 求 ： 根 据 b u g 触 发 时 堆 的 布 局 ， m a l l o c 缓 解 措 施 可 能 会 检 测 到 效 果 ， 也 可 能 无 法 检 测 到 效 果 。 出 现 在 日 志 中 的 几 种 方 法 ： 但 是 ， v a l g r i n d 和 A d r e s s S a n i t i z e r 将 始 终 检 测 到 内 存 损 坏 。 使 用 的 n g i n x 配 置 时 间 线 时 间 线 2 0 2 1 - 0 4 - 3 0 向 维 护 者 报 告 的 问 题 - - -   n g x _ r e s o l v e r . c     2 0 2 1 - 0 4 - 0 6   1 5 : 5 9 : 5 0 . 2 9 3 7 3 4 0 7 0   + 0 2 0 0 + + +   s r c / n g i n x - 1 . 1 9 . 8 / s r c / c o r e / n g x _ r e s o l v e r . c     2 0 2 1 - 0 4 - 0 6   1 5 : 5 4 : 1 0 . 2 3 2 9 7 5 2 3 5   + 0 2 0 0 @ @   - 3 9 4 3 , 7   + 3 9 2 8 , 7   @ @           n g x _ u i n t _ t       i ,   n ;           p   =   s r c ; -         l e n   =   - 1 ; +         l e n   =   0 ;           / *             *   c o m p r e s s i o n   p o i n t e r s   a l l o w   t o   c r e a t e   e n d l e s s   l o o p ,   s o   w e   s e t   l i m i t ; @ @   - 3 9 8 6 , 7   + 3 9 7 1 , 7   @ @                   r e t u r n   N G X _ O K ;           } -         i f   ( l e n   = =   - 1 )   { +         i f   ( l e n   = =   0 )   {                   n g x _ s t r _ n u l l ( n a m e ) ;                   r e t u r n   N G X _ O K ;           } v a l g r i n d   - - t r a c e - c h i l d r e n = y e s   o b j s / n g i n x   - p   . . / r u n t i m e   - c   c o n f / r e v e r s e - p r o x y . c o n f p y t h o n   p o c . p y c u r l   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / c o r r u p t e d   s i z e   v s .   p r e v _ s i z e 2 0 2 1 / 0 4 / 1 6   1 3 : 3 5 : 1 5   [ a l e r t ]   2 5 0 1 # 0 :   w o r k e r   p r o c e s s   2 5 0 2   e x i t e d   o n   s i g n a l   6   ( c o r e   d u m p e d ) m a l l o c ( ) :   i n v a l i d   n e x t   s i z e   ( u n s o r t e d ) 2 0 2 1 / 0 4 / 1 6   1 3 : 3 5 : 3 4   [ a l e r t ]   2 5 2 5 # 0 :   w o r k e r   p r o c e s s   2 5 2 6   e x i t e d   o n   s i g n a l   6   ( c o r e   d u m p e d ) d a e m o n   o f f ; h t t p {         a c c e s s _ l o g   l o g s / a c c e s s . l o g ;         s e r v e r {                 l i s t e n   8 0 8 0 ;                 l o c a t i o n   /   {                         r e s o l v e r   1 2 7 . 0 . 0 . 1 : 1 0 5 3 ;                         s e t   $ d n s   h t t p : / / e x a m p l e . n e t ;                         p r o x y _ p a s s   $ d n s ;                 }         } } e v e n t s   {         w o r k e r _ c o n n e c t i o n s     1 0 2 4 ; }
2 0 2 1 - 0 5 - 1 7 向 发 行 版 邮 件 列 表 报 告 的 问 题 2 0 2 1 - 0 5 - 1 8 已 分 配 C V E 2 0 2 1 - 0 5 - 2 5 公 开 披 露 作 者 ： 路 易 斯 · 梅 里 诺 （ L u i s   M e r i n o ） ， 马 库 斯 · 维 维 （ M a r k u s   V e r v i e r ） ， 埃 里 克 · 塞 斯 特 恩 （ E r i c   S e s t e r h e n n ） 日 期 ： 2 0 2 1 年 5 月 2 5 日 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理