搜索

[11540] 2017-07-07_ApacheCVE-2017-7659漏洞重现及利用分析

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2017-07-07_ApacheCVE-2017-7659漏洞重现及利用分析 A p a c h e   C V E - 2 0 1 7 - 7 6 5 9 漏 洞 重 现 及 利 用 分 析 华 为 未 然 实 验 室   F r e e B u f   2 0 1 7 - 0 7 - 0 7 近 日 ， 近 日 ， a p a c h e 在 其 网 站 发 布 了 最 新 的 安 全 公 告 ， 其 中 涉 及 多 个 漏 洞 。 针 对 在 其 网 站 发 布 了 最 新 的 安 全 公 告 ， 其 中 涉 及 多 个 漏 洞 。 针 对 C V E - 2 0 1 7 - 7 6 5 9 漏 洞 的 介 绍 是 这 样 漏 洞 的 介 绍 是 这 样 的 ： 的 ： A   m a l i c i o u s l y   c o n s t r u c t e d   H T T P / 2   r e q u e s t   c o u l d   c a u s e   m o d _ h t t p 2   t o   d e r e f e r e n c e   a   N U L L   p o i n t e r   a n d c r a s h t h e   s e r v e r   p r o c e s s . 可 以 看 到 这 是 a p a c h e   W E B 服 务 器 （ h t t p d ） 中 的 一 个 H T T P   2 . 0 协 议 处 理 的 漏 洞 。 未 然 实 验 室 安 全 研 究 人 员 针 对 此 漏 洞 的 技 术 细 节 和 利 用 方 法 进 行 了 深 入 的 研 究 ， 欢 迎 安 全 爱 好 者 们 一 起 分 享 和 讨 论 。 0 x 0 1 补 丁 分 析 补 丁 分 析 在 r e d h a t 的 b u g z i l l a 上 可 以 找 到 该 漏 洞 ： h t t p s : / / b u g z i l l a . r e d h a t . c o m / s h o w _ b u g . c g i ? i d = 1 4 6 3 1 9 9 在 g i t h u b 上 有 对 该 漏 洞 的 修 复 提 交 ： h t t p s : / / g i t h u b . c o m / a p a c h e / h t t p d / c o m m i t / 6 7 2 1 8 7 c 1 6 8 b 9 4 b 5 6 2 d 8 0 6 5 e 0 8 e 2 c a d 5 b 0 0 c d d 0 e 3 修 改 前 后 的 代 码 差 异 比 较 如 下 ： 可 以 看 到 ， 修 复 内 容 很 简 单 ， 就 是 增 加 了 对 h 2 _ r e q u e s t _ r c r e a t e 函 数 返 回 值 的 判 断 。 官 方 推 荐 升 级 到 2 . 4 . 2 6 修 复 漏 洞 。 0 x 0 2 漏 洞 成 因 漏 洞 成 因 从 h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / h t t p d / h t t p d - 2 . 4 . 2 5 . t a r . g z   下 载 到 有 漏 洞 的 服 务 器 代 码 后 ， 通 过 补 丁 的 修 改 进 行 漏 洞 成 因 的 逆 向 分 析 。 首 先 查 看 漏 洞 函 数   h 2 _ s t r e a m _ s e t _ r e q u e s t _ r e c ， 发 现 是 调 用 h 2 _ r e q u e s t _ r c r e a t 创 建 h t t p   2 . 0 请 求 的 数 据 结 构 r e q ， h 2 _ r e q u e s t _ r c r e a t 执 行 失 败 时 r e q 为 空 ， 此 时 在 日 志 函 数 a p _ l o g _ r e r r o r 中 直 接 解 引 用 r e q 导 致 进 程 崩 溃 ：
继 续 查 看 函 数 h 2 _ r e q u e s t _ r c r e a t e ， 看 到 首 先 会 把 r e q 置 为 0 ， 然 后 判 断 4 个 变 量 r - > m e t h o d * * ， s c h e m e ， ， r - > h o s t n a m e ， p a t h * * ， 任 何 一 个 为 空 则 返 回 失 败 ， 而 此 时 r e q 还 是 0 ， 就 会 导 致 进 程 崩 溃 ： 那 么 这 4 个 变 量 是 哪 一 个 为 空 导 致 的 漏 洞 呢 ？ s c h e m e 是 先 判 断 了 是 否 为 空 再 赋 值 的 ， 首 先 排 除 ； p a t h 是 从 r - > p a r s e d _ u r i 中 解 析 出 来 ， 解 析 函 数 a p r _ u r i _ u n p a r s e 在 其 它 地 方 有 多 次 使 用 ， 直 觉 p a t h 也 不 会 为 空 ； r - > m e t h o d 保 存 请 求 的 方 法 字 段 ， 在 H T T P 请 求 中 必 须 存 在 ， 因 此 也 不 应 该 为 空 ； 因 此 只 有 r - > h o s t n a m e ， 保 存 请 求 的 主 机 名 ， 也 就 是 域 名 ， 可 能 为 空 。 我 们 知 道 ， H T T P 请 求 中 ， 有 2 个 地 方 可 以 表 示 主 机 名 ： 1 )   请 求 的 路 径 以 完 整 U R L 方 式 表 示 ， U R L 中 包 含 主 机 名 ， 例 如 G E T   h t t p : / / w w w . e x a m p l e . c o m /   H T T P / 1 . 1 ， 这 里 主 机 名 就 是   w w w . e x a m p l e . c o m 。 服 务 器 中 是 在 a p _ p a r s e _ u r i 函 数 中 解 析 这 种 主 机 名 的 2 )   在 H o s t 请 求 头 中 包 含 主 机 名 ， 例 如 ： G E T   /   H T T P / 1 . 1 H o s t :   w w w . e x a m p l e . c o m 服 务 器 中 是 在 f i x _ h o s t n a m e 函 数 中 解 析 这 种 主 机 名 的 分 别 审 计   a p _ p a r s e _ u r i   和   f i x _ h o s t n a m e   函 数 ， 发 现 如 果 请 求 中 没 有 H o s t 头 ， 那 么 r - > h o s t n a m e 确 实 是 空 。 但 是 服 务 器 也 考 虑 到 了 这 种 情 况 ， 在   a p _ r e a d _ r e q u e s t   函 数 中 做 了 判 断 ： 这 里 的 判 断 逻 辑 ， 如 果 满 足 下 面 2 个 条 件 之 一
1 )   r - > h o s t n a m e 为 空 ， 且 请 求 的 H T T P 版 本 大 于 等 于 1 . 1 2 )   没 有 H o s t 头 ， 且 请 求 的 H T T P 版 本 等 于 1 . 1 就 会 立 刻 回 复 4 0 0 状 态 码 的 错 误 页 面 ， 并 不 会 触 发 后 面 的 漏 洞 。 在 注 释 里 也 说 明 了 ， H T T P / 1 . 1 的 R F C 2 6 1 6 的 1 4 . 2 3 节 中 明 确 指 明 ， H T T P / 1 . 1 请 求 必 须 包 含 H o s t 头 。 但 是 ， 开 发 者 是 不 是 忘 了 什 么 ， H T T P 还 有 1 . 0 版 本 啊 ， 且 H T T P / 1 . 0 和 H T T P / 1 . 1 的 处 理 流 程 一 样 ， 虽 然 H T T P / 1 . 0 确 实 没 有 规 定 请 求 必 须 包 含 H o s t 头 。 因 此 因 此 * * H T T P / 1 . 0 请 求 是 可 以 没 有 请 求 是 可 以 没 有 H o s t 头 的 ， 程 序 会 一 直 按 照 流 程 执 行 ， 最 终 执 行 到 h 2 _ s t r e a m _ s e t _ r e q u e s t _ r e c 函 数 ， 此 时 函 数 ， 此 时 r - > h o s t n a m e 为 空 ， 从 而 触 发 漏 洞 。 * * 0 x 0 3 漏 洞 验 证 及 漏 洞 利 用 漏 洞 验 证 及 漏 洞 利 用 综 合 上 面 的 分 析 ， 该 漏 洞 利 用 成 功 需 要 如 下 条 件 ： 1 )   服 务 器 支 持 H T T P / 2 2 )   请 求 是 H T T P / 1 . 0 版 本 3 )   请 求 中 没 有 H o s t 头 服 务 器 配 置 服 务 器 配 置 在 s e r v e r 上 要 配 置 开 启 H T T P / 2 功 能 ， 使 用 a p a c h e 默 认 的 站 点 配 置 ， 在 配 置 文 件 中 首 先 加 载 m o d _ h t t p 2 . s o : 然 后 加 入 下 面 配 置 ， 重 新 启 动 a p a c h e   h t t p d 就 可 以 了 : 验 证 验 证 P O C 验 证 时 ， 我 们 首 先 起 一 个 单 一 进 程 的 a p a c h e   h t t p d 服 务 ， 方 便 验 证 进 程 崩 溃 后 的 效 果 ： 正 常 访 问 ， 返 回 欢 迎 页 面 ： 将 构 造 的 P O C 通 过 b u r p s u i t e 发 送 ：
果 然 超 时 没 有 响 应 ， 同 时 在 服 务 器 上 发 现 h t t p d 进 程 已 经 崩 溃 ： 再 次 访 问 服 务 器 时 ， 页 面 已 经 无 法 访 问 了 ： 漏 洞 利 用 漏 洞 利 用 在 上 一 节 ， 我 们 已 经 验 证 了 在 单 一 进 程 模 式 下 ， 如 何 通 过 该 漏 洞 导 致 a p a c h e 服 务 器 异 常 终 止 。 但 是 通 常 情 况 下 a p a c h e 服 务 器 在 启 动 时 ， 会 同 时 启 动 多 个 工 作 进 程 ： 而 且 当 w o r k e r 进 程 崩 溃 时 ， a p a c h e 会 自 动 启 动 新 的 w o r k e r 进 程 。 那 么 在 真 实 的 网 络 环 境 中 ， 黑 客 会 如 何 利 用 此 漏 洞 对 服 务 器 进 行 攻 击 呢 ？ 我 们 尝 试 编 写 了 一 个 多 线 程 ( 并 发 1 0 0 个 线 程 ) 的 程 序 ， 同 时 发 起 多 个 畸 形 请 求 ， 以 不 断 触 发 后 台 w o r k e r 崩 溃 ， 并 让 a p a c h e 服 务 器 不 断 陷 入 重 新 分 配 w o r k e r 的 处 理 之 中 ：
执 行 脚 本 时 ， 发 起 的 请 求 ： 请 求 发 起 后 ， 我 们 发 现 ， 并 不 需 要 特 别 的 并 发 连 接 ， 便 可 以 让 服 务 器 进 入 拒 绝 服 务 状 态 ：
0 x 0 4   漏 洞 影 响 漏 洞 影 响 在 a p a c h e 的 漏 洞 公 告 中 ， 只 有 2 . 4 . 2 5 版 本 的 h t t p d 服 务 器 受 此 漏 洞 影 响 。 但 是 根 据 未 然 实 验 室 的 测 试 ， 从 2 . 4 . 1 7 开 始 的 所 有 版 本 的 h t t p d 服 务 器 ， 受 到 这 段 P O C 攻 击 时 都 会 崩 溃 ， 而 h t t p d 也 是 从 2 . 4 . 1 7 版 本 开 始 支 持 H T T P   2 . 0 协 议 的 。 因 此 可 以 说 这 个 漏 洞 会 影 响 h t t p d 的 所 有 支 持 H T T P   2 . 0 的 版 本 ， 未 然 实 验 室 强 烈 建 议 用 户 更 新 到 最 新 的 2 . 4 . 2 6 版 本 。 2 . 4 . 2 5 之 前 的 版 本 代 码 与 2 . 4 . 2 5 版 本 不 尽 相 同 ， 以 2 . 4 . 1 7 为 例 ， 在 h 2 _ r e q u e s t _ r w r i t e 函 数 中 ： 收 到 攻 击 P O C 后 ， r - > h o s t n a m e 为 空 ， 因 此 r e q - > a u t h o r i t y 也 为 空 ， 而 a p _ s t r c h r _ c 其 实 通 过 下 面 的 宏 进 行 定 义 的 ： 因 此 在 上 面 的 函 数 中 ， 调 用 s t r c h r 的 第 一 个 参 数 为 空 ， 此 时 会 导 致 进 程 崩 溃 。 0 x 0 5 总 结 总 结 a p a c h e 在 其 H T T P   S e r v e r   2 . 4 . 2 6 版 本 修 复 了 多 个 漏 洞 ， 业 界 普 遍 认 为 这 些 漏 洞 比 较 鸡 肋 ， 难 以 利 用 。 未 然 实 验 室 挑 选 其 中 个 别 漏 洞 进 行 了 深 入 的 分 析 和 利 用 尝 试 ， 发 现 其 中 有 些 漏 洞 其 实 影 响 还 是 很 大 ， 尤 其 是 对 于 一 些 高 价 值 站 点 。 本 文 讨 论 的 部 分 方 法 可 能 会 造 成 目 标 网 站 拒 绝 服 务 ， 影 响 目 标 网 站 的 业 务 正 常 运 行 ， 所 以 请 勿 对 真 实 目 标 进 行 尝 试 ， 否 则 由 此 引 起 的 一 切 后 果 未 然 实 验 室 概 不 负 责 。 水 平 所 限 ， 文 章 内 容 难 免 有 不 足 之 处 ， 欢 迎 大 家 指 正 。 您 可 通 过 未 然 实 验 室 公 共 邮 箱 w e i r a n . l a b s @ h u a w e i . c o m 或 关 注 我 们 的 微 信 公 众 号 “ W e i R a n L a b s ” 与 我 们 联 系 ， 期 待 与 各 位 专 家 交 流 。 * 本 文 作 者 ： 华 为 未 然 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理