搜索

[16956] 2021-06-27_CVE-2021-23017：nginxDNS解析漏洞PoC公开

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-06-27_CVE-2021-23017：nginxDNS解析漏洞PoC公开 C V E - 2 0 2 1 - 2 3 0 1 7 ： n g i n x   D N S 解 析 漏 洞 P o C 公 开 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 6 - 2 7 漏 洞 评 级 漏 洞 评 级 高 危 漏 洞 确 认 受 影 响 版 本 确 认 受 影 响 版 本 0 . 6 . 1 8   -   1 . 2 0 . 0 确 认 修 复 版 本 确 认 修 复 版 本 1 . 2 1 . 0 、 1 . 2 0 . 1 厂 商 厂 商 F 5 ,   I n c 厂 商 官 网 厂 商 官 网 h t t p s : / / n g i n x . o r g / 厂 商 参 考 资 料 厂 商 参 考 资 料 h t t p s : / / m a i l m a n . n g i n x . o r g / p i p e r m a i l / n g i n x - a n n o u n c e / 2 0 2 1 / 0 0 0 3 0 0 . h t m l 漏 洞 漏 洞 C V E C V E - 2 0 2 1 - 2 3 0 1 7
C W E 1 9 3 C V S S 评 分 评 分 8 . 1 漏 洞 概 述 及 影 响 漏 洞 概 述 及 影 响 在 处 理 D N S 响 应 时 ， n g x _ r e s o l v e r _ c o p y ( ) 中 的 一 个 o f f - b y - o n e 错 误 将 允 许 网 络 攻 击 者 在 堆 分 配 的 缓 冲 区 中 写 入 超 出 边 界 的 点 字 符 （ ‘ . ’ ,   0 x 2 E ） 。 配 置 解 析 程 序 原 语 时 ， 响 应 n g i n x 服 务 器 D N S 请 求 的 D N S 响 应 可 能 会 触 发 该 漏 洞 。 精 心 构 造 的 数 据 包 可 以 通 过 使 用 0 x 2 E 覆 盖 下 一 个 堆 块 元 数 据 的 最 低 有 效 字 节 ， 此 时 ， 能 够 向 n g i n x 服 务 器 提 供 D N S 响 应 的 网 络 攻 击 者 可 以 实 现 拒 绝 服 务 攻 击 或 远 程 代 码 执 行 攻 击 。 由 于 n g i n x 中 缺 少 D N S 欺 骗 防 御 措 施 ， 并 且 在 检 查 D N S 事 务 I D 之 前 调 用 了 易 受 攻 击 的 函 数 ， 因 此 远 程 攻 击 者 可 以 通 过 在 可 行 的 时 间 内 向 目 标 服 务 器 发 送 恶 意 D N S 响 应 来 利 用 该 漏 洞 实 施 攻 击 。 漏 洞 成 因 分 析 漏 洞 成 因 分 析 n g i n x 的 D N S 解 析 器 （ c o r e / n g x _ r e s o l v e r . c ） 可 以 在 设 置 解 析 器 原 语 时 ， 通 过 D N S 解 析 多 个 模 块 的 主 机 名 。 n g x _ r e s o l v e r _ c o p y ( ) 会 被 调 用 以 验 证 和 解 压 缩 D N S 响 应 中 包 含 的 每 个 D N S 域 名 ， 接 收 作 为 输 入 的 网 络 包 和 指 向 正 在 处 理 的 域 名 的 指 针 ， 并 在 成 功 时 返 回 指 向 包 含 未 压 缩 域 名 的 新 分 配 缓 冲 区 的 指 针 。 整 个 过 程 分 为 两 步 执 行 ： 计 算 未 压 缩 域 名 的 大 小 l e n 并 验 证 输 入 数 据 包 ， 丢 弃 包 含 1 2 8 个 以 上 指 针 或 超 出 输 入 缓 冲 区 边 界 指 针 的 域 名 。 分 配 一 个 输 出 缓 冲 区 ， 并 将 未 压 缩 的 域 名 复 制 到 其 中 。 第 1 部 分 中 的 大 小 计 算 和 第 2 部 分 中 的 域 名 解 压 之 间 的 不 匹 配 会 导 致 l e n 中 的 o f f - b y - o n e 错 误 ， 从 而 允 许 在 n a m e - > d a t a 数 据 边 界 之 外 写 入 一 个 点 字 符 。 当 压 缩 域 名 的 最 后 一 部 分 包 含 指 向 N U L L 字 节 的 指 针 时 ， 就 会 发 生 计 算 错 误 的 情 况 。 虽 然 计 算 步 骤 只 考 虑 标 签 之 间 的 点 ， 但 每 次 处 理 标 签 并 且 下 一 个 字 符 不 是 N U L L 时 ， 解 压 缩 步 骤 都 会 写 入 一 个 点 字 符 。 当 标 签 后 跟 指 向 N U L L 字 节 的 指 针 时 ， 解 压 缩 过 程 将 如 下 ： / /   1 )   c o p y   t h e   l a b e l   t o   t h e   o u t p u t   b u f f e r ,   n g x _ s t r l o w ( d s t ,   s r c ,   n ) ;                         d s t   + =   n ;                         s r c   + =   n ; / /   2 )   r e a d   n e x t   c h a r a c t e r ,                         n   =   * s r c + + ; / /   3 )   a s   i t s   a   p o i n t e r ,   i t s   n o t   N U L ,                         i f   ( n   ! =   0 )   {
如 果 计 算 出 的 大 小 正 好 与 堆 块 大 小 对 齐 ， 则 写 入 的 点 字 符 超 出 边 界 ， 将 覆 盖 下 一 个 堆 块 大 小 元 数 据 的 最 低 有 效 字 节 。 这 可 能 会 修 改 下 一 个 堆 块 的 大 小 ， 但 也 会 覆 盖 3 个 标 志 ， 从 而 清 除 P R E V _ I N U S E 并 设 置 I S _ M M A P P E D 。 / /   4 )   s o   a   d o t   c h a r a c t e r   t h a t   w a s   n o t   a c c o u n t e d   f o r   i s   w r i t t e n   o u t   o f   b o u n d s                                 * d s t + +   =   ' . ' ;                         } / /   5 )   A f t e r w a r d s ,   t h e   p o i n t e r   i s   f o l l o w e d ,                 i f   ( n   &   0 x c 0 )   {                         n   =   ( ( n   &   0 x 3 f )   < <   8 )   +   * s r c ;                         s r c   =   & b u f [ n ] ;                         n   =   * s r c + + ;                 } / /   6 )   a n d   a   N U L L   b y t e   i s   f o u n d ,   s i g n a l i n g   t h e   e n d   o f   t h e   f u n c t i o n                 i f   ( n   = =   0 )   {                         n a m e - > l e n   =   d s t   -   n a m e - > d a t a ;                         r e t u r n   N G X _ O K ;                 } = = 7 8 6 3 = =   I n v a l i d   w r i t e   o f   s i z e   1 = = 7 8 6 3 = =         a t   0 x 1 3 7 C 2 E :   n g x _ r e s o l v e r _ c o p y   ( n g x _ r e s o l v e r . c : 4 0 1 8 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ a   ( n g x _ r e s o l v e r . c : 2 4 7 0 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ r e s p o n s e   ( n g x _ r e s o l v e r . c : 1 8 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 4 6 A :   n g x _ r e s o l v e r _ u d p _ r e a d   ( n g x _ r e s o l v e r . c : 1 5 7 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 A B 1 9 :   n g x _ e p o l l _ p r o c e s s _ e v e n t s   ( n g x _ e p o l l _ m o d u l e . c : 9 0 1 ) = = 7 8 6 3 = =         b y   0 x 1 4 1 4 D 4 :   n g x _ p r o c e s s _ e v e n t s _ a n d _ t i m e r s   ( n g x _ e v e n t . c : 2 4 7 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 E 5 7 :   n g x _ w o r k e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 7 1 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 7 4 D A :   n g x _ s p a w n _ p r o c e s s   ( n g x _ p r o c e s s . c : 1 9 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 0 A 8 :   n g x _ s t a r t _ w o r k e r _ p r o c e s s e s   ( n g x _ p r o c e s s _ c y c l e . c : 3 4 4 )
考 虑 到 n g i n x 中 与 用 户 控 制 器 数 据 的 丰 富 交 互 机 会 以 及 记 录 在 案 的 先 例 ， 这 个 漏 洞 将 有 可 能 允 许 攻 击 者 在 某 些 操 作 系 统 和 体 系 结 构 上 执 行 远 程 代 码 。 漏 洞 利 用 漏 洞 利 用 P o C 漏 洞 利 用 P o C 下 载 地 址 ： 【 p o c . p y 】 广 大 研 究 人 员 可 以 通 过 v a l g r i n d 并 运 行 n g i n x 来 对 该 漏 洞 进 行 测 试 ： 接 下 来 ， 运 行 D N S 服 务 器 （ 默 认 监 听 端 口 1 0 5 3 ） ： 触 发 请 求 并 发 送 至 目 标 服 务 器 ： 根 据 漏 洞 被 触 发 时 的 堆 内 存 布 局 ， 可 能 会 出 现 几 种 不 同 形 式 的 日 志 ： = = 7 8 6 3 = =         b y   0 x 1 4 9 5 2 D :   n g x _ m a s t e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 1 3 0 ) = = 7 8 6 3 = =         b y   0 x 1 2 2 3 7 F :   m a i n   ( n g i n x . c : 3 8 3 ) = = 7 8 6 3 = =     A d d r e s s   0 x 4 b b c f b 8   i s   0   b y t e s   a f t e r   a   b l o c k   o f   s i z e   2 4   a l l o c ' d = = 7 8 6 3 = =         a t   0 x 4 8 3 E 7 7 F :   m a l l o c   ( v g _ r e p l a c e _ m a l l o c . c : 3 0 7 ) = = 7 8 6 3 = =         b y   0 x 1 4 4 8 C * 4 :   n g x _ a l l o c   ( n g x _ a l l o c . c : 2 2 ) = = 7 8 6 3 = =         b y   0 x 1 3 7 A E 4 :   n g x _ r e s o l v e r _ a l l o c   ( n g x _ r e s o l v e r . c : 4 1 1 9 ) = = 7 8 6 3 = =         b y   0 x 1 3 7 B 2 6 :   n g x _ r e s o l v e r _ c o p y   ( n g x _ r e s o l v e r . c : 3 9 9 4 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ a   ( n g x _ r e s o l v e r . c : 2 4 7 0 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 1 2 B :   n g x _ r e s o l v e r _ p r o c e s s _ r e s p o n s e   ( n g x _ r e s o l v e r . c : 1 8 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 3 D 4 6 A :   n g x _ r e s o l v e r _ u d p _ r e a d   ( n g x _ r e s o l v e r . c : 1 5 7 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 A B 1 9 :   n g x _ e p o l l _ p r o c e s s _ e v e n t s   ( n g x _ e p o l l _ m o d u l e . c : 9 0 1 ) = = 7 8 6 3 = =         b y   0 x 1 4 1 4 D 4 :   n g x _ p r o c e s s _ e v e n t s _ a n d _ t i m e r s   ( n g x _ e v e n t . c : 2 4 7 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 E 5 7 :   n g x _ w o r k e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 7 1 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 7 4 D A :   n g x _ s p a w n _ p r o c e s s   ( n g x _ p r o c e s s . c : 1 9 9 ) = = 7 8 6 3 = =         b y   0 x 1 4 8 0 A 8 :   n g x _ s t a r t _ w o r k e r _ p r o c e s s e s   ( n g x _ p r o c e s s _ c y c l e . c : 3 4 4 ) = = 7 8 6 3 = =         b y   0 x 1 4 9 5 2 D :   n g x _ m a s t e r _ p r o c e s s _ c y c l e   ( n g x _ p r o c e s s _ c y c l e . c : 1 3 0 ) v a l g r i n d   - - t r a c e - c h i l d r e n = y e s   o b j s / n g i n x   - p   . . / r u n t i m e   - c   c o n f / r e v e r s e - p r o x y . c o n f p y t h o n   p o c . p y c u r l   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 /
不 过 ， v a l g r i n d 和 A d r e s s S a n i t i z e r 都 是 能 够 检 测 到 这 种 内 存 崩 溃 事 件 的 。 所 使 用 的 所 使 用 的 n g i n x 配 置 配 置 参 考 资 料 参 考 资 料 h t t p s : / / g o o g l e p r o j e c t z e r o . b l o g s p o t . c o m / 2 0 1 6 / 1 2 / c h r o m e - o s - e x p l o i t - o n e - b y t e - o v e r f l o w - a n d . h t m l h t t p s : / / g o o g l e p r o j e c t z e r o . b l o g s p o t . c o m / 2 0 1 4 / 0 8 / t h e - p o i s o n e d - n u l - b y t e - 2 0 1 4 - e d i t i o n . h t m l h t t p s : / / w w w . s l i d e s h a r e . n e t / c o d e b l u e _ j p / c b 1 6 - m a t s u k u m a - e n - 6 8 4 5 9 6 0 6 c o r r u p t e d   s i z e   v s .   p r e v _ s i z e 2 0 2 1 / 0 4 / 1 6   1 3 : 3 5 : 1 5   [ a l e r t ]   2 5 0 1 # 0 :   w o r k e r   p r o c e s s   2 5 0 2   e x i t e d   o n   s i g n a l   6   ( c o r e   d u m p e d ) m a l l o c ( ) :   i n v a l i d   n e x t   s i z e   ( u n s o r t e d ) 2 0 2 1 / 0 4 / 1 6   1 3 : 3 5 : 3 4   [ a l e r t ]   2 5 2 5 # 0 :   w o r k e r   p r o c e s s   2 5 2 6   e x i t e d   o n   s i g n a l   6   ( c o r e   d u m p e d ) d a e m o n   o f f ; h t t p {         a c c e s s _ l o g   l o g s / a c c e s s . l o g ;         s e r v e r {                 l i s t e n   8 0 8 0 ;                 l o c a t i o n   /   {                         r e s o l v e r   1 2 7 . 0 . 0 . 1 : 1 0 5 3 ;                         s e t   $ d n s   h t t p : / / e x a m p l e . n e t ;                         p r o x y _ p a s s   $ d n s ;                 }         } } e v e n t s   {         w o r k e r _ c o n n e c t i o n s     1 0 2 4 ; }
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理