CVE-2015-1635（MS15-034 ）远程代码执行漏洞复现

最新推荐文章于 2024-09-17 20:36:10 发布
最新推荐文章于 2024-09-17 20:36:10 发布
阅读量2.8w 收藏 54
点赞数 10
分类专栏： 漏洞复现 文章标签： 安全 web安全 linux 服务器 系统安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_37638874/article/details/125207486
版权

目录

  1 漏洞背景
  2 漏洞影响
  3 漏洞利用
    3.1 服务器配置与搭建
    3.2 测试
      3.2.1 curl命令
      3.2.2 Host字段
      3.2.3 Range字段
    3.3 攻击利用
  4 防御措施

1 漏洞背景

2015年04月14日，微软发布严重级别的安全公告 MS15-034，编号为 CVE-2015-1635，据称在 Http.sys 中的漏洞可能允许远程执行代码
Http.sys 是一个位于 Windows 操作系统核心组件，能够让任何应用程序通过它提供的接口，以 Http 协议进行信息通讯。
HTTP.sys会错误解析某些特殊构造的HTTP请求，导致远程代码执行漏洞。成功利用此漏洞后，攻击者可在System帐户上下文中执行任意代码。
由于此漏洞存在于内核驱动程序中，攻击者也可以远程导致操作系统蓝屏。远程攻击者可以通过IIS 7（或更高版本）服务将恶意的HTTP请求传递给HTTP.sys驱动。

2 漏洞影响

IIS 7.0以上的Windows 7/8/8.1和Windows Server 2008 R2/Server 2012/Server 2012 R2等操作系统。

3 漏洞利用

3.1 服务器配置与搭建

ip:192.168.52.131
操作系统：win7
中间件：IIS7.0

win7我们如何开启iis服务呢

控制面板>程序和功能>打开或关闭windows功能>Internet信息服务>勾选Web管理工具和万维网服务

在这里插入图片描述
我们访问一下

http://127.0.0.1/

在这里插入图片描述
如上所示证明开启了iis服务

3.2 测试

我们在攻击机发送如下代码

curl -v 192.168.52.131 -H "Host:irrelevant" -H "Range:bytes=0-18446744073709551615"

在这里插入图片描述
返回如下信息证明存在此漏洞

3.2.1 curl命令
详见Linux curl命令最全详解

参数描述
-v显示更详细的信息，调试时使用；
-H “name:value”（HTTP）添加一个http header（http请求头）；

3.2.2 Host字段

一个IP可以对应多个域名，但我们为了区分不同域名显示的不同内容，此时引用host概念，所以每个域名对应不同的host，通过host可以区分出访问的是服务器上的哪个站点。（但此处我们直接访问的IP，默认80端口，我试了下，-H "Host:irrelevant"不加也是可以的）

没搞明白

3.2.3 Range字段

在原来网络不是很好的时候，下载大型文件很不容易，如果下载中断 ，那么只能重头开始下载，为了解决这个问题 HTTP/1.1引入的范围请求。即请求这个文件x~y的字节，指定范围，在请求报文的首部添加Range字段，此字段指定资源的byte范围，告诉服务器，请求资源是哪个范围的内容，让断点续传和并行下载得以实现。

例如：

Range: bytes=5001-10000

并不是所有的服务器都支持此要求

如果不支持服务器会返回400状态码，意思是客户端请求异常

这里我们的测试命令给的是

-H "Range:bytes=0-18446744073709551615"

18446744073709551615转为十六进制是 0xFFFFFFFFFFFFFFFF(16个F），是64位无符号整型所能表达的最大整数，整数溢出和这个超大整数有关

发送请求包就会返回416状态码

如果请求中包含了 Range 请求头，并且 Range 中指定的任何数据范围都与当前资源的可用范围不重合，同时请求中又没有定义 If-Range 请求头，那么服务器就应当返回416状态码。

这个漏洞是整除溢出型漏洞，服务器端怎么处理这个请求，我也没搞懂，我现在只知道整数溢出报416状态码，证明此处存在此漏洞

3.3 攻击利用

工具用Metasploit(MSF)
安装使用方法自己搞

在这里插入图片描述
两个模块

0 ddos攻击
1 读取内存信息

试试第二个模块

在这里插入图片描述
在这里插入图片描述
不行不知道为什么

我们试试第一个模块ddos攻击
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这里有个东西叫therads，上面说是并发线程数，我试了一下，如果是默认，直接run，服务器会瞬间蓝屏，然后重启，如果是改成set therads 10，服务器会长时间蓝屏
在这里插入图片描述

4 防御措施

1.打补丁
https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2015/ms15-034
2.临时禁用IIS内核缓存
在这里插入图片描述
在这里插入图片描述

参考
Microsoft安全公告MS15-034 -严重
HTTP.sys远程代码执行(CVE2015-1635，MS15-034)
什么是整数溢出漏洞以及它带来的后果

徐记荣
关注
专栏目录
HTTP.sys远程执行代码漏洞验证及复现——CVE-2015-1635、MS15-034
7Riven's blog
12-07 2万+
目录 漏洞概述 漏洞环境部署 漏洞验证 漏洞利用：ms15_034 漏洞防御 漏洞概述 HTTP.sys简介 HTTP.sys是Microsoft Windows处理HTTP请求的内核驱动程序，为了优化IIS服务器性能，从IIS6.0引入，IIS服务进程依赖HTTP.sys。HTTP.sys远程代码执行漏洞实质是HTTP.sys的整数溢出漏洞 漏洞成因 远程执行代码漏洞存在于 ...
Windows Server 2012 R2 Microsoft Windows HTTP.sys远程代码执行漏洞 (MS15-034)(CVE-2015-1635)
友人A的博客
06-17 1366
一、漏洞情况 二、整改记录
HTTP.sys远程代码执行漏洞(MS15-034)(CVE-2015-1635) 漏洞修复
08-21
Microsoft Windows HTTP.sys远程代码执行漏洞 (MS15-034)(CVE-2015-1635)
CVE-2015-1635、MS15-034（Http.sys的利用工具）
11-10
利用 Http.sys 驱动对urlacl进行操作，由于Http.sys是IIS服务器的基础，其优先级高于IIS，不会造成端口bind冲突，达到端口服用效果，由于与受害机对外服务端口相同，可做到极高的隐蔽性。由于其生效后效果很类似于LOL的小丑，故起名为Joker。 此工具的使用前提是 管理员权限 IIS环境
CVE-2015-1635-HTTP远程代码执行漏洞复现
最新发布
旺仔Sec&blog
09-17 1341
CVE-2015-1635 是一个严重的安全漏洞，涉及 HTTP 远程代码执行
MS15-034 HTTP.sys 远程执行代码（CVE-2015-1635)POC
03-19
远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。 成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。
CVE-2015-1635
龙卷风摧毁停车场
02-21 2691
Microsoft Windows是美国微软（Microsoft）公司发布的一系列操作系统。Microsoft Internet Information Services（IIS）是一套运行于Microsoft Windows中的互联网基本服务。使用Microsoft IIS 6.0以上版本的Microsoft Windows的HTTP协议堆栈(HTTP.sys)中存在远程执行代码漏洞，该漏洞源于HTTP.sys文件没有正确分析经特殊设计的HTTP请求。
【复现】CVE-2015-1635-HTTP.SYS远程执行代码漏洞（ms15-034）
weixin_44110913的博客
08-04 1445
1.1.1  漏洞描述 在2015年4月安全补丁日，微软发布的众多安全更新中，修复了HTTP.sys中一处允许远程执行代码漏洞，编号为：CVE-2015-1635（MS15-034 ）。利用HTTP.sys的安全漏洞，攻击者只需要发送恶意的http请求数据包，就可能远程读取IIS服务器的内存数据，或使服务器系统蓝屏崩溃。根据公告显示，该漏洞对服务器系统造成了不小的影响，主要影响了包括Windows 7、Windows Server 2008 R2、Windows 8、Windows Se...
Microsoft IIS远程代码执行漏洞（CVE-2015-1635）复现
qll71的博客
08-12 700
内网渗漏 漏洞复现提示：以下是本篇文章正文内容，下面案例可供参考。
漏洞复现（二）：HTTP.SYS远程代码执行漏洞(MS15-034)
weixin_47306547的博客
11-20 9421
漏洞介绍 漏洞编号：CVE-2015-1635（MS15-034 ） 远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。 成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。 影响范围 Windows 7 Windows Server 2008 R2 Windows 8 Windows Server 2012 Windows 8.1 Windows Server 2012 R2 漏
web服务器软件漏洞（MS15-034&CVE-2017-12615）
kid的博客
07-24 1335
web服务器软件漏洞（MS15-034&CVE-2017-12615） 想找找有没有能利用web服务器软件漏洞拿shell的，主要尝试了两个，但实际情况感人…（主要最近去了看雪安全开发者峰会，有大佬讲了最近很火的rdp那个洞，也提到了经典的永恒之蓝，确实这样的的洞很厉害啊，利用溢出直接攻陷主机，但二进制方面确实没有什么学习啊，所以突发奇想，想看看有没有什么利用iis，Apache之类的软件...
Http.sys远程代码执行漏洞复现
weixin_51387754的博客
04-23 858
Http.sys是Microsoft Windows处理HTTP请求的内核驱动程序。HTTP.sys会错误解析某些特殊构造的HTTP请求，导致远程代码执行漏洞。成功利用此漏洞后，攻击者可在System帐户上下文中执行任意代码。
cve-2015-1635
weixin_43268670的博客
12-30 1730
转载：https://blog.csdn.net/qq_38656841/article/details/98740127 今天在一家银行里面护网看到一个cve-2015-1635的告警，打击面挺广的虽然是2015年的漏洞但是打击的面积是server 2008到server2012R2的版本对于现在来说server2012的服务器仍是不少的，今天做个试验记录下这个cve的漏洞。 实验开始： Server2018iis 服务器搭建 看一下iis的ip 搭建成功确认没问题（配...
CVE-2015-1635:IIS远程代码执行漏洞/HTTP.sys 远程执行代码漏洞(MS15-034)
weixin_38896449的博客
06-01 1231
1、漏洞介绍 远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。 成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。 影响版本： 安装了IIS6.0以上的Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows 8.1 和 Windows Server 2012 R2版本 2、漏洞检测 执行curl http://11.
CVE-2015-1635(MS15-034)-HTTP.sys远程代码执行复现
1stPeak's Blog
04-12 3126
一、漏洞描述 HTTP协议栈(HTTP.sys)存在远程代码执行漏洞，是由于HTTP.sys不正确的解析HTTP请求引起的，成功利用此漏洞的攻击者可以执行系统账户上任意代码。 攻击者必须发送一个HTTP请求到受影响的系统去触发这个漏洞，通过修改Windows HTTP栈处理请求更新漏洞地址。 主要存在Windows+IIS的环境下，任何安装了微软IIS 6.0以上的Windows Server 2008 R2/Server 2012/Server 2012 R2以及Windows 7/8/8.1操作系统都受
MS15-034/CVE-2015-1635 HTTP远程代码执行漏洞 （漏洞验证）
LiBai'S BLOG
08-18 8871
以下内容并非在靶场，是在真实环境进行漏洞验证。 1️⃣漏洞测试 使用curl工具进行测试，测试命令： curl http://1.1.1.1 -H "Host: 1.1.1.1" -H "Range: bytes=0-18446744073709551615" 2️⃣漏洞验证 ????利用ms15-034漏洞读取服务器内存数据 借助metasploit平台： use auxiliary/scanner/http/ms15_034_http_sys_memory_dump set rhosts 1.
iis cve-2015-1635复现
qq_53086690的博客
04-19 231
先测试一波 发现有cve-2015-1635漏洞。然后直接用kali工具msfconsole 利用ms15_034_ulonglongadd漏洞进行攻击 use auxiliary/scanner/http/ms15_034_http_sys_memory_dump set rhosts XXX run 再搜索一波 然后直接攻击（被授予攻击的权限，如果没授予务必不能攻击） use auxiliary/dos/http/ms15_034_ulonglongadd set rhosts XXX set t
cve-2015-1635漏洞复现
07-28
你好！对于CVE-2015-1635漏洞的复现，首先需要明确这是一个远程代码执行漏洞，也被称为HTTP.sys远程代码执行漏洞。该漏洞存在于Microsoft Windows系统的HTTP协议堆栈中。 复现该漏洞的一种方法是发送特制的HTTP请求来触发漏洞，并执行恶意代码。以下是一个简单的Python示例代码，用于发送恶意请求： ```python import requests url = "http://目标IP地址/" headers = { 'User-Agent': 'Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv:11.0) like Gecko', 'Accept-Language': 'en-US,en;q=0.5', 'Connection': 'close', 'Content-Length': '18446744073709551615', 'Host': '目标IP地址' } response = requests.get(url, headers=headers) print(response.text) ``` 在代码中，将`目标IP地址`替换为目标服务器的IP地址。这个请求会发送一个特殊长度的`Content-Length`头部字段，触发远程执行漏洞。 请注意，这个示例只是为了说明漏洞的原理，实际应用中需要谨慎操作并确保遵守法律法规。建议在合法授权和测试环境中进行漏洞测试，以维护网络安全。 如果你需要更详细的复现步骤或其他安全问题，请提供更多细节，我将尽力帮助你。
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值