搜索

[7943] 2014-04-10_IIS4IIS5CGI环境块伪造0day漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-04-10_IIS4IIS5CGI环境块伪造0day漏洞 I I S 4 I I S 5   C G I 环 境 块 伪 造 0 d a y 漏 洞 y u a n g e   F r e e B u f   2 0 1 4 - 0 4 - 1 0 大 约 大 约 1 4 年 前 发 现 一 直 到 现 在 的 年 前 发 现 一 直 到 现 在 的 0 d a y 是 I I S 4 I I S 5 的 漏 洞 ， 对 应 操 作 系 统 是 w i n n t 和 w i n 2 0 0 0 系 统 ， 微 软 不 再 支 持 这 些 软 件 ， 他 们 的 策 略 想 淘 汰 这 些 系 统 ， 1 1 年 报 告 后 微 软 决 定 不 再 修 补 。 算 是 很 严 重 的 漏 洞 ， 只 是 影 响 的 软 件 现 在 使 用 率 相 对 比 较 低 ， 但 总 量 也 不 少 。 具 体 漏 洞 详 细 信 息 如 下 ： 具 体 漏 洞 详 细 信 息 如 下 ： I I S 加 载 C G I 环 境 块 伪 造 漏 洞   危 害 等 级 ： 高 危 危 害 类 型 ： 缓 冲 区 溢 出 、 远 程 执 行 代 码 、 信 息 泄 露 影 响 平 台 ： W i n n t w i n 2 0 0 0 影 响 软 件 ： I I S 4 、 I I S 5 基 本 情 况 ： 基 本 情 况 ： I I S 4 、 I I S 5 加 载 C G I ， 处 理 环 境 块 的 时 候 ， 错 误 的 把 “ n ” 字 符 用 “ x 0 0 ” 替 换 ， 导 致 可 以 伪 造 任 意 环 境 块 。 I I S 加 载 C G I 的 时 候 ， 把 自 己 的 请 求 加 上 “ H T T P _ ” 前 缀 加 入 环 境 变 量 和 本 地 环 境 变 量 区 分 ， 通 过 利 用 ” n ” 替 换 成 ” 0 ” 的 漏 洞 就 可 以 把 这 些 前 缀 去 掉 ， 从 而 任 意 伪 造 环 境 块 变 量 。 攻 击 者 可 以 在 h t t p 头 里 提 交 “ a = b n P A T H _ T R A N S L A T E D : v a r ” 使 得 I I S 加 载 C G I 的 时 候 环 境 块 变 量 成 为 ” H T T P _ a = b ” 和 “ P A T H _ T R A N S L A T E D = v a r ” ， 成 功 伪 造 环 境 块 “ P A T H _ T R A N S L A T E D = v a r ” ， 让 p h p . e x e 执 行 脚 本 文 件 “ v a r ” ， 从 而 执 行 任 意 命 令 。 C G I 加 载 有 两 种 方 式 ， 一 种 本 身 就 是 编 译 成 . e x e 的 可 执 行 程 序 ， 这 些 常 见 的 有 一 些 计 数 器 、 一 些 网 站 自 己 开 发 的 应 用 程 序 、 还 有 一 些 应 用 比 较 广 的 W E B 应 用 程 序 等 。 还 有 一 种 是 通 用 脚 本 映 射 到 . E X E 解 释 执 行 （ 映 射 到 . d l l 的 是 i s a p i ， 不 受 影 响 ） ， 这 些 常 见 的 有 P H P P E R L 脚 本 等 。 具 体 危 害 看 具 体 C G I 程 序 对 环 境 块 的 处 理 方 式 ， 可 能 会 导 致 的 部 分 结 果 ： 1 、     C G I 处 理 本 地 环 境 变 量 的 时 候 缓 冲 溢 出 ， 一 些 C G I 处 理 本 地 环 境 变 量 的 时 候 ， 因 为 这 些 变 量 一 般 不 能 设 置 或 者 本 来 是 可 信 的 ， 没 有 考 虑 缓 冲 大 小 检 查 等 。 2 、     有 些 环 境 块 变 量 影 响 一 些 C G I 的 处 理 逻 辑 、 信 任 关 系 等 。 3 、     加 载 d l l 或 者 加 载 进 程 时 因 为 伪 造 的 p a t h 环 境 变 量 加 载 攻 击 者 的 程 序 。 验 证 步 骤 ： 验 证 步 骤 ：
1 、 w i n 2 0 0 0 + i i s 5 配 置 . p h p 映 射 到 p h p . e x e ( 即 c g i 方 式 ， 如 果 影 射 到 . d l l 是 i s a p i 方 式 ， 没 有 此 漏 洞 ) 2 、 请 求 发 送 : “ G E T   / a . p h p   H T T P / 1 . 1 r n a = b n P A T H _ T R A N S L A T E D : c : w i n d o w s w i n . i n i r n H O S T ： 1 9 2 . 1 6 8 . 0 . 1 r n r n ” 3 、 i i s 将 返 回 w i n . i n i 内 容 。 4 、 也 可 以 利 用 i i s 的 日 志 文 件 写 出 p h p 命 令 ， 利 用 此 漏 洞 让 p h p . e x e 调 用 i i s 日 志 文 件 执 行 系 统 命 令 等 。 漏 洞 利 用 程 序 ： 漏 洞 利 用 程 序 ： h t t p : / / h i . b a i d u . c o m / y u a n g e 1 9 7 5 / i t e m / c e f e a 0 c 6 3 1 5 6 0 3 2 f 4 6 d 5 c 0 5 0 4 月 1 号 的 愚 人 节 版 本 ： h t t p : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 2 / A p r / 1 3 u s a g e : i i s e x p 4 1 1   1 2 7 . 0 . 0 . 1     / A p r i l F o o l s ' D a y . p h p     P A T H _ T R A N S L A T E D     c : w i n d o w s w i n . i n i 原 文 地 址 h t t p : / / h i . b a i d u . c o m / y u a n g e 1 9 7 5 / i t e m / b 2 c c 7 1 4 1 c 2 2 1 0 8 e 9 1 e 1 9 b c 2 e 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理