Nginx越界读取缓存漏洞（CVE-2017-7529）

前言

Vulhub是一个基于docker和docker-compose的漏洞环境集合，进入对应目录并执行一条语句即可启动一个全新的漏洞环境，让漏洞复现变得更加简单，让安全研究者更加专注于漏洞原理本身

Voulhub靶机平台环境搭建和使用：

https://blog.csdn.net/qq_41832837/article/details/103948358

目录：

• 漏洞原理
• 漏洞详情
• 漏洞复现

漏洞原理

Nginx在反向代理站点的时候，通常会将一些文件进行缓存，特别是静态文件。缓存的部分存储在文件中，每个缓存文件包括“文件头”+“HTTP返回包头”+“HTTP返回包体”。如果二次请求命中了该缓存文件，则Nginx会直接将该文件中的“HTTP返回包体”返回给用户。
如果我的请求中包含Range头，Nginx将会根据我指定的start和end位置，返回指定长度的内容。而如果我构造了两个负的位置，如(-600, -9223372036854774591)，将可能读取到负位置的数据。如果这次请求又命中了缓存文件，则可能就可以读取到缓存文件中位于“HTTP返回包体”前的“文件头”、“HTTP返回包头”等内容。当Nginx服务器使用代理缓存的情况下，攻击者通过利用该漏洞可以拿到服务器的后端真实IP或其他敏感信息。

漏洞详情

影响版本：Nginx version 0.5.6 - 1.13.2
漏洞原因：是由于对http header中range域处理不当造成。主要代码是ngx_http_range_parse函数中的循环：

for(;;) {
   
start = 0;
end = 0;
suffix = 0:
while (*p == '') {
    p++;}
if (*p !='-'){
   
if(*p<'0'||*p>'9'){
   
return NGX_HTTP_RANGE_ NOT_ SATISFIABLE