 远程代码执行漏洞复现报告)
1. 基本信息项目内容漏洞编号MS15-034 / CVE-2015-1635漏洞名称HTTP.sys 远程代码执行漏洞漏洞类型整数溢出影响组件Windows HTTP 协议栈驱动HTTP.sys理论危害拒绝服务、信息泄露、远程代码执行2. 实验环境角色操作系统IP 地址说明攻击机Kali Linux 2023192.168.10.224安装 curl、Nmap、Metasploit靶机Windows Server 2008 R2 SP1192.168.10.142IIS 7.5未打补丁 (KB3042553)3. 漏洞检测发送恶意Range头验证漏洞返回416 Requested Range Not Satisfiable确认漏洞存在。4. 危害复现情况针对于这个漏洞来说理论上是存在信息泄露和远程代码执行的危害的但是可能是我水平不够吧没能成功复现出信息泄露和远程代码执行仅仅成功复现出了拒绝服务蓝屏危害类型复现结果说明拒绝服务蓝屏✅成功使用 Metasploit DoS 模块靶机立即蓝屏错误代码IRQL_NOT_LESS_OR_EQUAL信息泄露❌ 未成功在 Windows Server 2008 R2 上使用 MSF 内存读取模块及手动 curl 均未获得额外数据远程代码执行❌ 未尝试无公开稳定利用代码理论风险极高实际难以利用需要其他漏洞联动4.1 拒绝服务复现步骤查询漏洞MS15-034,返回了两个工具工具1也可以用来检测漏洞的存在返回选择工具0使用工具0设置靶机ip后运行完成了蓝屏攻击。执行后靶机蓝屏截图见附件。复现成功。4.2 信息泄露尝试说明为尝试信息泄露在靶机C:\inetpub\wwwroot下创建 10MB 文件large.txt然后执行bashcurl http://192.168.10.142/large.txt -H Range: bytes0-18446744073709551615 --output dump.bin仅返回 416 错误页面无内存数据。Metasploit 的ms15_034_http_sys_memory_dump模块也只输出漏洞存在提示未返回数据。判断在 Windows Server 2008 R2 上信息泄露难以复现。5. 漏洞原理简述HTTP.sys在处理Range: bytes0-N时计算长度length N - 0 1。当N 2^64-1时length 2^64超出 64 位整数范围溢出为 0。但代码缺陷导致仍使用原始N值去读取内存从而越界访问若访问不可读区域则蓝屏若访问可读区域则信息泄露。攻击者利用了Range头的计算逻辑缺陷发送了一个不可能满足的区间Range: bytes0-18446744073709551615这个结束值18446744073709551615是 64 位无符号整数的最大值2^64 - 1。服务器在处理时需要计算要发送的数据长度长度 结束 - 开始 1 (2^64 - 1) - 0 1 2^64但服务器内部用来存储长度的变量是 64 位无符号整数最大只能表示2^64 - 1。2^64超出了这个范围发生整数溢出实际存储的值变成了0。正常情况下服务器在处理Range请求时会先计算Length End - Start 1然后检查Start Length是否超过文件大小。如果超过则返回 416 Requested Range Not Satisfiable。但在攻击者构造的恶意请求中Length溢出为 0导致Start Length 0这个值小于文件大小因此安全检查被绕过服务器误以为这是一个合法的范围请求。然而在底层执行内存读取时HTTP.sys并没有使用这个溢出后的Length值0而是直接使用了原始的End值0xFFFFFFFFFFFFFFFF来计算结束地址EndAddr CacheBuffer End。系统尝试从StartAddr读取到EndAddr但EndAddr远远超出了文件缓存的实际映射范围。当系统尝试访问这个未映射的内核地址时触发页错误导致蓝屏。也就是说溢出只是骗过了安全检查真正的危害来自底层直接使用原始的 End 值。于是HTTP.sys 从文件缓存的起始地址开始尝试读取2^64字节的数据——这远远超出了实际文件大小。它会一直读到文件缓存后面的内核内存区域。如果那片内存区域是可读的就会把数据返回给攻击者信息泄露如果不可读就会触发页错误导致系统蓝屏拒绝服务。IIS 内核缓存的作用正常功能HTTP.sys将静态文件内容缓存到内核内存中加速后续请求。漏洞中的角色攻击者触发溢出后HTTP.sys错误地使用原始的N值作为读取长度从内核缓存起始地址开始越界读取。若越界区域可读 → 信息泄露若不可读 → 蓝屏因此IIS 内核缓存是信息泄露能够成功的“放大镜”和“通道”。关闭内核缓存可切断该通道但整数溢出缺陷依然存在仍可能蓝屏。四、总结正常Range头用来请求文件的一部分服务器返回 206。恶意攻击者构造一个超大范围让服务器计算溢出利用代码缺陷读取不该访问的内存。你的实验中发送恶意Range后服务器返回 416它检测到了范围无效但没有泄露数据是因为 Windows Server 2008 R2 上的 HTTP.sys 实现可能更早地拦截了这种请求或者内存布局使得越界读取落入了不可读区域只触发了蓝屏。如果你想更直观地理解可以这样类比Range头就像你去餐厅点“只要第 3 口到第 5 口菜”。攻击者点的是“从第 0 口吃到第 100 亿口”餐厅厨师算错账结果从厨房里搬出了别人桌的菜信息泄露或者撞到墙上把厨房砸了蓝屏。6. 修复建议安装微软补丁KB3042553临时缓解IIS 管理器中禁用内核缓存7.漏洞修复临时缓解IIS 管理器中禁用内核缓存 在下图位置关闭内核缓存在关闭之后再次返回kali尝试攻击发现无法触发蓝屏了。但是通过查阅资料发现关闭内核缓存后并不能完全修复漏洞仍有几率触发漏洞并且关闭内核缓存后会导致服务器性能下降所以这个修复方式并不完美。安装微软补丁 KB3042553在微软官网下载补丁后传入win2008靶机中运行补丁程序重启后自动就打上了补丁打补丁的时候忘记截图了反正也没什么好看的重新返回kali中再次尝试攻击发现攻击失败再次运行漏洞查询程序得到结果如第二张图片漏洞不存在了证明漏洞修复成功。8.参考资料标题/描述链接微软安全公告 MS15-034https://technet.microsoft.com/library/security/ms15-034.aspx绿盟科技Windows HTTP.sys远程代码执行漏洞跟踪进展https://www.nsfocus.com.cn/html/2015/21_0416/292.htmlIT168技术分析Windows HTTP.sys将令网站面临安全威胁https://net.it168.com/a2015/0427/1724/000001724000.shtmlCSDN漏洞复现教程https://blog.csdn.net/ec_carrot/article/details/114546019博客园漏洞复现与修复https://www.cnblogs.com/luuxiaoming/p/16590228.html网络系统安全——MS15_034漏洞利用与安全加固https://ncsimple.blog.csdn.net/article/details/131239276腾讯云漏洞修复文章https://cloud.tencent.cn/developer/article/2101233CN-SEC漏洞复现http://cn-sec.com/archives/4173246.htmlKB3042553 补丁下载 (Windows Server 2008 R2)https://www.microsoft.com/zh-cn/download/details.aspx?id46480补丁依赖说明https://blog.csdn.net/y_66666666/article/details/1463982679. 结论本次实验成功复现了 MS15-034 漏洞的拒绝服务危害验证了 Windows Server 2008 R2 系统存在该漏洞且可被远程利用导致蓝屏。信息泄露和远程代码执行因环境和技术限制未成功复现但理论上仍然存在风险在理论上存在信息泄露和远程代码执行。
