HTTP.sys 远程代码漏洞详解
大家好，又见面了，我是你们的朋友全栈君。IIS系列Http.sys处理Range整数溢出漏洞导致远程代码执行1.漏洞概要2015年04月14日，微软发布严重级别的安全公告MS15-034，编号为CVE-2015-1635，据称在Http.sys中的漏洞可能允许远程执行代码。2.漏洞描述CWE：CWE-119CVE：CVE-2015-1635Http.sys是一个位于Windows操作系统核心组件，能够让任何应用程序通过它提供的接口，以Http协议进行信
大家好，又见面了，我是你们的朋友全栈君。
IIS 系列 Http.sys处理 Range 整数溢出漏洞导致远程代码执行
1.漏洞概要2015 年 04 月 14 日，微软发布严重级别的安全公告 MS15-034，编号为 CVE-2015-1635，据称在 Http.sys 中的漏洞可能允许远程执行代码。
2. 漏洞描述CWE： CWE-119
CVE： CVE-2015-1635
Http.sys 是一个位于 Windows 操作系统核心组件，能够让任何应用程序通过它提供的接口，以 Http 协议进行信息通讯。微软在 Windows 2003 Server 里引进了新的 HTTP API 和内核模式驱动 Http.sys，目的是使基于 Http 服务的程序更有效率。其实在 Windows XP 安装 SP2 后，Http.sys 已经出现在系统里了，但事实上操作系统并没有真的使用这个内核级驱动，而 XP 上自带的 IIS 5.1 也没有使用 HTTP API。从曝出的 poc 来看，此漏洞是一个整数溢出类型的漏洞，微软安全公告称最大安全影响是远程执行代码。
3.受影响版本这是对于服务器系统影响不小的安全漏洞，任何安装了微软IIS 6.0以上的的Windows Server 2008 R2/Server 2012/Server 2012 R2以及Windows 7/8/8.1操作系统都受到这个漏洞的影响。
4.漏洞原理（from seebug）
根据补丁比较发现，POC 中提到的代码出现在 UlpParseRange 函数中修改的部分。
在未打补丁的 Http.sys 文件的 UlpParseRange 函数中，代码如下。
可以看到，在计算 64 位整数时直接进行了运算，没有进行必要的整数溢出检查。
而在打补丁的 Http.sys 文件的 UlpParseRange 函数中，修改代码如下。
用 RtlULongLongAdd 函数来计算 Range 范围长度 v18，这个函数中是做了整数溢出检查的。
再看一下对 RtlULongLongAdd 函数的调用情况。
在未打补丁的 Http.sys 文件中只有 1 处调用了 RtlULongLongAdd 函数。
而在打补丁的 Http.sys 文件中总共有 13 处调用了 RtlULongLongAdd 函数进行整数溢出检查，说明有漏洞的系统中可能有多个处理流程会涉及到整数溢出造成的安全问题。
通过补丁比较确定了修改过的函数如下。
经过分析发现，UlAdjustRangesToContentSize 函数中的整数溢出点，才是导致漏洞能发挥作用的关键流程。
这段代码还是采用了直接运算 64 位整数的方式，没有检查是否溢出，在补丁文件中替换为调用 RtlULongLongAdd 函数。
这部分代码的功能是判断获取文件偏移量的范围，是否会超过请求缓存文件的数据长度，如果超出就把读取长度 修改为合适的大小，防止越界访问数据。但是由于发生了整数溢出，使得判断越界的代码失效，这样就不会修改读取长度，造成用可控的长度值越界访问数据。
5.漏洞检测
curl：
代码语言：javascript代码运行次数：0运行复制curl -i http://xxx.com/ -H "Host: irrelevant" -H "Range: bytes=0-18446744073709551615"wget:
代码语言：javascript代码运行次数：0运行复制wget 127.0.0.1 –debug –header=”Range: bytes=0-18446744073709551615″PHP代码：
代码语言：javascript代码运行次数：0运行复制无法连接到 '; . $host . '; 测试漏洞。HTTP.sys 堆栈漏洞测试
输入一个URL或主机名来测试服务器的 MS15-034 / CVE-2015-1635.
在HTTP协议栈（HTTP.sys）造成当HTTP协议堆栈不正确地分析特制的HTTP请求的远程代码执行漏洞。成功利用此漏洞谁的攻击者可以在系统帐户的上下文中执行任意代码。
要利用此漏洞，攻击者必须发送一个特制的HTTP请求发送到受影响的系统。此更新通过修改Windows HTTP协议栈处理请求解决该漏洞。
Python POC (pocsuite)
https://www.seebug.org/vuldb/ssvid-89233
6.漏洞修复通过 Windows 更新机制，选择 KB3042553 安全更新进行系统升级。
referrer:
http://blogs.360.cn/blog/cve_2015_6135_http_rce_analysis/
https://www.seebug.org/vuldb/ssvid-89233
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/161439.html原文链接：https://javaforall.cn
赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
