搜索

[15167] 2020-03-24_Nginx内存内容泄漏：问题复现与修复方案解析

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2020-03-24_Nginx内存内容泄漏：问题复现与修复方案解析 N g i n x 内 存 内 容 泄 漏 ： 问 题 复 现 与 修 复 方 案 解 析 糖 果 L U A   F r e e B u f   2 0 2 0 - 0 3 - 2 4 0 x 0 1   背 景 背 景 最 近 最 近 H a c k e r O n e 公 布 了 公 布 了 N g i n x 内 存 内 容 泄 漏 的 问 题 ， 如 果 说 内 存 内 容 泄 漏 的 问 题 是 个 内 存 内 容 泄 漏 的 问 题 ， 如 果 说 内 存 内 容 泄 漏 的 问 题 是 个 B u g 的 话 ， 那 这 个 的 话 ， 那 这 个 B u g 是 个 比 较 典 型 的 程 序 没 有 对 输 入 异 常 数 据 做 适 当 的 过 滤 处 理 而 形 成 的 。 是 个 比 较 典 型 的 程 序 没 有 对 输 入 异 常 数 据 做 适 当 的 过 滤 处 理 而 形 成 的 。 现 实 中 程 序 对 有 限 正 常 系 用 例 的 数 据 处 理 是 定 量 的 ， 对 无 线 的 异 常 数 据 会 出 现 处 理 的 盲 点 ， 如 果 什 么 数 据 都 可 以 作 为 一 个 可 接 受 输 入 程 序 的 输 入 数 据 ， 那 一 个 程 序 没 有 处 理 好 异 常 系 的 非 业 务 数 据 ， 就 可 能 造 成 逻 辑 B u g ， 或 是 漏 洞 。 这 篇 文 章 的 重 点 ， 不 局 限 于 B u g 问 题 的 代 码 是 如 何 在 异 常 数 据 之 前 出 现 问 题 ， 如 何 复 现 B u g ， 我 们 还 要 通 过 社 区 给 出 的 防 护 方 案 ， 学 习 如 何 构 建 安 全 的 代 码 ， 去 过 滤 那 些 非 法 的 数 据 输 入 。 0 x 0 2   安 全 测 试 安 全 测 试 安 全 测 试 很 多 时 候 ， 是 构 造 一 个 被 测 程 序 意 料 之 外 的 异 常 输 入 数 据 ， 让 程 序 出 错 ， 或 产 生 超 出 正 常 用 户 预 期 的 结 果 。 一 个 程 序 功 能 是 为 了 实 现 用 户 某 些 用 例 场 景 的 处 理 ， 而 安 全 测 试 很 多 时 候 ， 提 供 给 程 序 输 入 的 数 据 ， 并 不 一 定 是 用 户 正 常 业 务 使 用 的 正 常 数 据 。 安 全 测 试 提 供 的 数 据 ， 目 的 并 不 是 让 程 序 完 成 正 常 用 户 功 能 作 处 理 ， 而 是 让 程 序 暴 露 安 全 问 题 。 测 试 人 员 ： 测 试 的 是 程 序 是 否 能 按 功 能 需 求 实 现 功 能 。 安 全 测 试 人 员 ： 测 试 的 是 程 序 在 收 到 异 常 系 数 据 时 ， 是 否 出 错 ， 是 否 可 以 利 用 程 序 出 错 ， 取 得 系 统 更 大 的 权 限 。 这 次 问 题 的 产 生 ， 一 种 在 有 问 题 的 N g i n x 的 配 置 基 础 ， 构 造 有 问 题 的 访 问 请 求 ， 造 成 N g i n x 的 R e w r i t e 功 能 出 问 题 。 另 一 种 是 ， 安 全 测 试 人 员 在 构 造 一 个 H T T P 请 求 时 ， 在 H e a d e r 部 分 注 入 一 些 非 法 的 字 符 ， 正 常 的 浏 览 器 H T T P 请 求 一 般 不 会 有 这 些 奇 怪 的 数 据 。 N g i n x N g i n x 的 问 题 和 % 0 0 有 关 系 ， 在 请 求 当 中 加 入 % 0 0 ， 造 成 内 存 内 容 泄 漏 。 在 静 态 的 r e w r i t e 配 置 中 加 特 殊 符 号 ， ^ @ 是 空 字 节 。 W j W j 就 是 随 机 的 内 存 数 据 。 O R O R 的 问 题 是 ， L u a 程 序 员 在 写 L u a 相 关 的 U R I 设 置 逻 辑 ， 或 是 有 设 定 头 数 据 动 作 时 ， 不 考 虑 过 滤 用 户 请 求 H e a d e r 中 异 常 数 据 ， 这 个 数 据 的 会 被 传 递 给 低 层 的 N g i n x   C 代 码 ， 最 直 接 相 关 的 代 码 就 是 调 用 的 n g x . r e q . s e t _ u r i ( ) 这 个 函 数 ， 如 果 这 个 函 数 也 不 做 H e a d e r 数 据 的 判 断 ， 继 续 执 行 下 面 的 逻 辑 ， 就 会 出 现 问 题 。 0 x 0 3   复 现 问 题 复 现 问 题 从 朋 友 那 得 到 漏 洞 消 息 后 ， 测 试 了 一 些 低 版 本 的 N g i n x ， 发 现 问 题 的 确 是 可 以 复 现 的 ， 从 漏 洞 公 开 时 间 表 ， 最 后 公 开 这 个 问 题 的 时 间 节 点 是 3 . 1 8 号 ， 发 现 者 已 经 告 知 的 了 N g i n x 和 O R 的 厂 商 相 关 信 息 ， 并 公 布 了 这 个 问 题 。 新 的 版 本 N g i n x 修 复 了 如 果 没 有 问 题 的 话 ， 但 如 果 企 业 单 位 还 在 用 老 版 本 N g i n x 就 会 出 现 问 题 ， 对 于 正 常 的 N g i n x 服 务 中 用 到 R e w i r t e 功 能 的 机 率 还 是 很 高 的 。 如 果 你 的 N g i n x 服 务 中 用 了 有 问 题 的 R e w r i t e 的 配 置 ， 或 是 在 N g i n x 中 对 应 使 用 的 N g i n x   L u a 服 务 代 码 中 调 用 了 n g x . r e q . s e t _ u r i ( ) 这 个 函 数 ， 会 触 发 的 这 个 问 题 逻 辑 代 码 的 执 行 ， 如 果 没 有 相 关 问 题 R e w r i t e 的 配 置 和 A P I 的 调 用 ， 或 是 过 滤 过 异 常 H e a d e r 数 据 ， 不 一 定 能 复 现 问 题 的 。 给 这 个 漏 洞 定 位 是 中 低 危 漏 洞 。 一 般 的 L u a 在 设 置 U R I 时 大 多 数 不 会 还 考 虑 过 滤 H e a d e r 数 据 ， 但 如 果 L u a 程 序 是 一 个   W A F 程 序 ， 其 实 应 该 有 对 非 法 H e a d e r 数 据 的 检 查 。 N g i n x 问 题 问 题 B u g 问 题 原 理 ， 主 要 还 是 对 应 的 函 数 没 有 对 非 法 的 H T T P 数 据 做 过 滤 ,   H a c k e r   O n e 给 出 了 N g i n x 的 问 题 代 码 的 。 看 参 考 连 接 ： h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 5 1 3 2 3 6 漏 洞 B u g 复 现 的 条 件 ： 这 个 B u g 的 被 归 为 中 低 危 漏 洞 ， 原 因 也 是 因 为 想 利 用 漏 洞 需 要 前 提 条 件 成 立 。 A ) . 低 版 本 N g i n x 或 O p e n r e s t y 系 统 服 务 ， 在 n g i n x . c o n f 中 配 置 有 问 题 的 R e w r i t e 的 。 B ) . 低 版 本 N g i n x 或 O p e n r e s t y 系 统 服 务 ， 在 n g i n x . c o n f 中 配 置 的 L u a 代 码 ， 并 且 代 码 调 用 了 n g x . r e q . s e t _ u r i ( ) 函 数 。 0 x 0 4   测 试 漏 洞 测 试 漏 洞 H a c k e r O n e 给 出 复 现 例 子 。 N g i n x   目 录 遍 历 c u r l   l o c a l h o s t : 8 3 3 7   - d   " u r l = % 0 0 a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f "   - v v l o c a t i o n   ~   / m e m l e a k   {         r e w r i t e   ^ . * $   " ^ @ a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d a s d f " ; } c u r l   l o c a l h o s t : 8 3 3 7 / m e m l e a k   - v v . . . L o c a t i o n :   [ h t t p : / / l o c a l h o s t : 8 3 3 7 / W j W j ] ( h t t p : / / l o c a l h o s t : 8 3 3 7 / W j W j ) . . . l o c a t i o n   ~   / m e m l e a k   {   r e w r i t e _ b y _ l u a _ b l o c k   {   n g x . r e q . r e a d _ b o d y ( ) ;   l o c a l   a r g s ,   e r r   =   n g x . r e q . g e t _ p o s t _ a r g s ( ) ;   n g x . r e q . s e t _ u r i (   a r g s [ " u r l " ] ,   t r u e   ) ;   } } l o c a t i o n   /   {   r o o t   h t m l ;   i n d e x   i n d e x . h t m l   i n d e x . h t m ; } l o c a t i o n   ~   / r e w r i t e   {   r e w r i t e   ^ . * $   $ a r g _ x ; } l o c a t i o n   /   {   r o o t   h t m l ;   i n d e x   i n d e x . h t m l   i n d e x . h t m ; }
^ . * $ 匹 配 所 有 的 路 径 映 射 到 入 口 文 件 ， $ a r g _ x 取 变 量 x 的 值 ， 这 种 静 态 的 r e w r i t e 设 定 ， 就 会 出 现 目 录 遍 历 ， 如 果 老 版 本 N g i n x 中 配 置 文 件 中 有 这 种 代 码 就 有 问 题 。 测 试 ： 如 果 可 以 显 示 出 系 统 文 件 / e t c / p a s s w d 中 的 内 容 ， 实 现 目 录 遍 历 达 成 。 测 试 ： W j W j 是 随 机 的 泄 漏 的 内 存 内 容 数 据 ，   / W j W j 这 种 路 由 也 不 是 用 户 提 前 正 常 设 置 的 。 0 x 0 5   修 复 方 案 发 布 修 复 方 案 发 布 O R 社 区 今 天 发 布 新 版 本 ， 修 复 了 这 个 问 题 。 相 对 造 成 这 个 问 题 的 代 码 ， 也 比 较 关 注 这 个 问 题 的 修 复 方 案 。 对 于 安 全 测 试 来 说 的 ， 理 论 和 U R I 相 关 的 函 数 ， 其 实 都 可 以 关 注 一 下 ， 如 果 是 W A F 系 统 ， 这 些 地 方 处 理 的 是 否 全 面 ， 会 决 定 W A F 是 否 可 能 被 绕 过 。 N g i n x   C 级 别 的 这 些 与 U R I 、 H T T P 输 入 数 据 直 接 相 关 的 代 码 ， 最 应 该 被 关 注 ， 因 为 这 些 函 数 和 对 请 求 中 异 常 数 据 的 过 滤 息 息 相 关 ， 一 旦 没 有 过 滤 充 分 就 可 能 会 引 起 问 题 。 W A F 某 些 时 候 是 在 给 ， 被 保 护 的 生 产 业 务 做 过 滤 ， 让 生 产 业 务 专 注 于 自 己 的 功 能 ， 由 W A F 处 理 攻 击 者 的 业 务 数 据 。 一 旦 ， 业 务 和 W A F 都 没 有 对 非 法 数 据 做 检 查 ， 这 些 数 据 就 会 交 给 低 层 的 N g i n x C 来 处 理 ， 如 果 C 也 没 有 检 查 ， 再 向 后 执 行 ， 原 本 期 待 正 常 业 务 数 据 的 C 代 码 ， 面 对 异 常 输 入 时 ， 没 有 过 滤 好 就 会 出 错 。 修 复 方 案 修 复 方 案 之 前 的 漏 洞 解 析 ， 更 多 的 关 注 的 造 成 问 题 的 代 码 ， 而 作 为 一 个 代 码 开 发 人 员 来 说 ， 还 应 该 关 注 ， 如 果 写 出 可 靠 的 安 全 代 码 ， 我 们 学 习 回 顾 一 下 ， 最 新 发 布 的 O R 是 如 何 安 全 过 滤 攻 击 者 注 入 数 据 的 处 理 。 经 老 师 提 醒 ， 代 码 方 案 有 初 期 版 和 终 期 版 ， 经 历 了 最 开 始 没 安 全 检 查 ， 到 有 安 全 检 查 的 过 程 ， 代 码 如 下 ： 被 删 除 的 一 个 版 本 的 安 全 处 理 函 数 ， 在 计 算 头 值 长 度 的 时 候 ， 遇 到 换 行 回 车 就 停 止 长 度 计 数 。 新 发 布 的 代 码 中 加 入 安 全 检 查 函 数 ， 代 码 如 下 。 c u r l   l o c a l h o s t : 8 0 / r e w r i t e ? x = / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d l o c a t i o n   ~   / m e m l e a k   {   r e w r i t e   ^ . * $   " ^ @ a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d f a s d a s d f " ; } l o c a t i o n   /   {   r o o t   h t m l ;   i n d e x   i n d e x . h t m l   i n d e x . h t m ; } c u r l   l o c a l h o s t : 8 3 3 7 / m e m l e a k   - v v . . . L o c a t i o n :   [ h t t p : / / l o c a l h o s t : 8 3 3 7 / W j W j ] ( h t t p : / / l o c a l h o s t : 8 3 3 7 / W j W j ) . . . s t a t i c   n g x _ i n l i n e   s i z e _ t     n g x _ i n t _ t   n g x _ h t t p _ l u a _ c h e c k _ h e a d e r _ s a f e ( n g x _ h t t p _ r e q u e s t _ t   * r ,   u _ c h a r   * s t r , n g x _ h t t p _ l u a _ s a f e _ h e a d e r _ v a l u e _ l e n ( u _ c h a r   * s t r ,   s i z e _ t   l e n )             s i z e _ t   l e n ) ; {             s i z e _ t   i ;         f o r   ( i   =   0 ;   i   <   l e n ;   i + + ,   s t r + + )   {                     i f   ( * s t r   = =   ' r '   | |   * s t r   = =   ' n ' )   {                             r e t u r n   i ;                     }             }         r e t u r n   l e n ;     } n g x _ i n l i n e   n g x _ i n t _ t n g x _ h t t p _ l u a _ c h e c k _ h e a d e r _ s a f e ( n g x _ h t t p _ r e q u e s t _ t   * r ,   u _ c h a r   * s t r ,   s i z e _ t   l e n ) {         s i z e _ t                       i ,   b u f _ l e n ;         u _ c h a r                       c ;         u _ c h a r                     * b u f ,   * s r c   =   s t r ;                                           / *   % 0 0 - % 1 F ,   % 7 F   * /         s t a t i c   u i n t 3 2 _ t     u n s a f e [ ]   =   {                 0 x f f f f f f f f ,   / *   1 1 1 1   1 1 1 1   1 1 1 1   1 1 1 1     1 1 1 1   1 1 1 1   1 1 1 1   1 1 1 1   * /                                         / *   ? > = <   ; : 9 8   7 6 5 4   3 2 1 0     / . - ,   + * ) (   ' & % $   # " !     * /                 0 x 0 0 0 0 0 0 0 0 ,   / *   0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /                                         / *   _ ^ ]   [ Z Y X   W V U T   S R Q P     O N M L   K J I H   G F E D   C B A @   * /                 0 x 0 0 0 0 0 0 0 0 ,   / *   0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /                                         / *     ~ } |   { z y x   w v u t   s r q p     o n m l   k j i h   g f e d   c b a `   * /                 0 x 8 0 0 0 0 0 0 0 ,   / *   1 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /                 0 x 0 0 0 0 0 0 0 0 ,   / *   0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /                 0 x 0 0 0 0 0 0 0 0 ,   / *   0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /                 0 x 0 0 0 0 0 0 0 0 ,   / *   0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /                 0 x 0 0 0 0 0 0 0 0     / *   0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0     0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 0   * /         } ;         f o r   ( i   =   0 ;   i   <   l e n ;   i + + ,   s t r + + )   {                 c   =   * s t r ;                 i f   ( u n s a f e [ c   > >   5 ]   &   ( 1   < <   ( c   &   0 x 1 f ) ) )   {                         b u f _ l e n   =   n g x _ h t t p _ l u a _ e s c a p e _ l o g ( N U L L ,   s r c ,   l e n ) ;                         b u f   =   n g x _ p a l l o c ( r - > p o o l ,   b u f _ l e n ) ;
最 新 的 防 护 方 案 是 ， 当 发 现 请 求 中 有 非 法 数 据 ， 释 放 空 间 然 后 抛 出 错 误 异 常 。 检 查 也 从 过 去 的 没 到 检 查 ， 判 断 回 车 换 行 计 算 头 长 度 ， 变 成 直 接 抛 出 异 常 错 误 。 W A F 系 统 一 个 主 要 的 功 能 就 是 过 滤 用 户 非 法 请 求 数 据 ， 特 别 是 基 于 N g i n x   +   L u a 的 W A F 方 案 更 是 这 样 ， 而 如 果 只 是 单 纯 检 查 过 滤 请 求 H e a d e r 中 的 数 据 ， 其 实 小 语 言 D S L ， 更 简 洁 ， 比 L u a 还 简 洁 。 0 x 0 6   总 结 总 结 在 N g i n x 过 去 历 史 发 展 过 程 ， 不 只 是 这 一 次 出 现 过 类 似 % 0 0 的 问 题 ， 以 后 安 全 测 试 人 员 和 黑 客 ， 还 会 通 过 构 建 类 似 这 种 的 异 常 数 据 输 入 ， 敲 开 系 统 的 门 。 安 全 生 态 中 的 人 和 系 统 ， 也 会 在 不 断 发 生 的 威 胁 事 件 中 ， 演 进 彼 此 的 技 法 ， 在 存 量 和 增 加 的 代 码 中 ， 发 现 安 全 问 题 ， 解 决 安 全 问 题 ， 动 态 的 变 化 。 最 新 O R 版 本 发 行 ， 解 决 了 文 中 提 到 的 问 题 ： h t t p s : / / o p e n r e s t y . o r g / e n / a n n - 1 0 1 5 0 0 8 0 0 3 . h t m l * 本 文 原 创 作 者 ： 糖 果 本 文 原 创 作 者 ： 糖 果 L 5 Q ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐                         i f   ( b u f   = =   N U L L )   {                                 r e t u r n   N G X _ E R R O R ;                         }                         n g x _ h t t p _ l u a _ e s c a p e _ l o g ( b u f ,   s r c ,   l e n ) ;                         n g x _ l o g _ e r r o r ( N G X _ L O G _ E R R ,   r - > c o n n e c t i o n - > l o g ,   0 ,                                                     " u n s a f e   b y t e   " 0 x % u x d "   i n   h e a d e r   " % * s " " ,                                                     ( u n s i g n e d )   c ,   b u f _ l e n ,   b u f ) ;                         n g x _ p f r e e ( r - > p o o l ,   b u f ) ;                         r e t u r n   N G X _ E R R O R ;                 }         }         r e t u r n   N G X _ O K ; } r e q - h e a d e r ( “ C o n t e n t - T y p e ” )   c o n t a i n s   “ m u l t i p a r t / f o r m - d a t a ” , r e q - h e a d e r ( “ C o n t e n t - T y p e ” )   ! c o n t a i n s   r x { ^ m u l t i p a r t / f o r m - d a t a [ s S ] + }   = >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理