搜索

[15613] 2020-07-16_WindowsDNS服务器曝“蠕虫级”漏洞，已存在长达17年

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2020-07-16_WindowsDNS服务器曝“蠕虫级”漏洞，已存在长达17年 W i n d o w s   D N S 服 务 器 曝 “ 蠕 虫 级 ” 漏 洞 ， 已 存 在 长 达 1 7 年 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 7 - 1 6 研 究 人 员 新 发 现 一 个 高 度 严 重 的 可 蠕 虫 漏 洞   S i g R e d   ， C V S S   评 分 为 满 分 1 0 分 。 该 漏 洞 影 响 2 0 0 3 年 - 2 0 1 9 年 的 W i n d o w s   S e r v e r 版 本 。 漏 洞 介 绍 漏 洞 介 绍 S i g R e d 漏 洞 的 高 危 害 性 在 于 其 是 可 蠕 虫 的 ， 也 就 是 可 以 自 传 播 的 ， 无 需 用 户 交 互 就 能 传 播 到 易 受 攻 击 的 设 备 上 ， 允 许 未 经 身 份 验 证 的 远 程 攻 击 者 获 得 针 对 目 标 服 务 器 的 域 管 理 员 特 权 ， 并 完 全 控 制 组 织 的 I T 基 础 架 构 。 漏 洞 运 行 机 制 漏 洞 运 行 机 制 攻 击 者 可 以 通 过 将 恶 意 D N S 查 询 发 送 到 W i n d o w s   D N S 服 务 器 并 实 现 任 意 代 码 执 行 来 利 用 S i g R e d 漏 洞 ， 从 而 使 黑 客 能 够 拦 截 和 操 纵 用 户 的 电 子 邮 件 和 网 络 流 量 ， 使 服 务 不 可 用 ， 收 获 用 户 的 电 子 邮 件 。 当 D N S 服 务 器 无 法 解 析 给 定 域 名 （ 例 如 w w w . g o o g l e . c o m ） 的 I P 地 址 时 ， 查 询 会 被 转 发 到 权 威 D N S 服 务 器 （ N S ） ， 也 就 是 转 发 查 询 。 为 了 利 用 这 个 查 询 逻 辑 ， S i g R e d 首 先 需 要 配 置 一 个 域 的 （ “   d e a d b e e f . f u n ” ） N S 资 源 记 录 ， 用 来 指 向 恶 意 名 称 服 务 器 （ “ n s 1 . 4 1 4 1 4 1 4 1 . c l u b ” ） ， 然 后 查 询 目 标 D N S 服 务 器 的 域 ， 以 便 从 名 称 服 务 器 获 得 与 域 或 其 子 域 相 关 的 所 有 后 续 查 询 的 解 析 响 应 。 这 些 设 置 完 成 后 ， 攻 击 者 只 要 发 送 一 个 大 小 超 过 6 4 K B 的 S I G 记 录 ， 就 能 导 致 在 分 配 的 小 缓 冲 区 上 引 发 大 约 6 4 K B 的 受 控 堆 缓 冲 区 溢 出 ， 触 发 恶 意   D N S   查 询 ， 然 后 在 分 析 转 发 查 询 的 传 入 响 应 的 函 数 中 触 发 整 数 溢 出 漏 洞 （ “ d n s . e x e ! s i g w i r e l e a d ” ） 。 换 句 话 说 ， 该 漏 洞 针 对 的 是 负 责 为 资 源 记 录 分 配 内 存 的 函 数 ， 一 旦 生 成 大 于 6 5 5 3 5 的 字 节 数 ， 就 会 导 致 整 数 溢 出 ， 分 配 变 小 。 不 过 ， 一 条 D N S 消 息 的 U D P 限 制 为 5 1 2 字 节 （ 如 果 服 务 器 支 持 扩 展 机 制 ， 则 限 制 为 4 0 9 6 字 节 ） ， 而 T C P   限 制 为
6 5 5 3 5 字 节 ， 因 此 ， 仅 带 有 长 签 名 的 S I G 响 应 不 足 以 触 发 此 漏 洞 。 但 攻 击 者 可 以 巧 妙 地 利 用 D N S 响 应 中 的 D N S 名 称 压 缩 功 能 ， 从 而 利 用 上 述 操 作 将 缓 冲 区 大 小 增 加 ， 进 而 依 旧 达 到 缓 冲 区 溢 出 的 目 的 。 此 外 ， S i g R e d 还 能 在 特 定 的 一 些 情 况 下 通 过 浏 览 器 远 程 触 发 ， 例 如 基 于 I n t e r n e t   E x p l o r e r 和 非 C h r o m i u m 的 M i c r o s o f t E d g e 浏 览 器 ， 攻 击 者 可 以 利 用 W i n d o w s   D N S 服 务 器 对 连 接 重 用 和 查 询 管 道 功 能 的 支 持 ， 在 访 问 其 控 制 下 的 网 站 时 ， 将 H T T P 请 求 负 载 内 的 D N S 查 询 “ 偷 偷 转 发 ” 到 目 标 D N S 服 务 器 。 甚 至 ， 还 可 以 实 现 w r i t e   W h a t   w h e r e 功 能 ， 进 一 步 利 用 漏 洞 泄 漏 内 存 地 址 ， 从 而 让 对 手 劫 持 执 行 流 并 使 其 执 行 意 外 的 指 令 。 令 人 惊 讶 的 是 ， D N S 客 户 端 （ d n s a p i . d l l ） 不 易 受 同 一 个 b u g 的 影 响 ， 这 使 得 研 究 人 员 怀 疑 “ 微 软 为 D N S 服 务 器 和 D N S 客 户 端 设 置 了 两 个 完 全 不 同 的 代 码 基 ， 并 且 没 有 在 它 们 之 间 同 步 漏 洞 补 丁 。 ” 缓 解 措 施 缓 解 措 施 W i n d o w s   D N S 服 务 器 作 为 核 心 网 络 组 件 ， 一 旦 D N S 服 务 器 泄 露 是 非 常 严 重 的 安 全 问 题 ， 而 在 大 多 数 情 况 下 ， 它 使 攻 击 者 离 破 坏 整 个 组 织 仅 一 寸 之 遥 ， 企 业 势 必 要 引 起 重 视 。 虽 然 微 软 表 示 目 前 还 没 有 证 据 表 明 该 漏 洞 已 经 被 利 用 ， 但 建 议 用 户 立 即 安 装 安 全 补 丁 ： h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 2 0 - 1 3 5 0 此 外 ， 用 户 也 可 以 D N S 消 息 的 最 大 长 度 （ 通 过 T C P ） 设 置 为 “   0 x F F 0 0 ” ， 以 消 除 缓 冲 区 溢 出 的 可 能 。 参 考 来 源 参 考 来 源 h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 2 0 / 0 7 / w i n d o w s - d n s - s e r v e r - h a c k i n g . h t m l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理