CVE-2015-1635-HTTP远程代码执行漏洞复现

于 2024-09-17 20:36:10 发布
阅读量280 收藏 6
点赞数 5
分类专栏： 旺仔_学习笔记 # 网络安全 文章标签： 网络 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_50377269/article/details/142318336
版权

CVE-2015-1635-HTTP远程代码执行

CVE-2015-1635 是一个严重的安全漏洞，涉及 HTTP 远程代码执行。以下是关于这个漏洞的介绍：

文章目录


一、漏洞影响

这个漏洞主要影响微软的 Internet Information Services（IIS）6.0 服务器。当存在该漏洞时，攻击者可以通过发送精心构造的 HTTP 请求，在目标服务器上远程执行代码。这意味着攻击者可以获取对服务器的完全控制，窃取敏感信息、安装恶意软件、篡改网页内容等，对服务器的安全造成极大的威胁。

二、漏洞原理

  1. 漏洞存在于 IIS 6.0 处理 HTTP 请求的方式中。IIS 6.0 在处理某些特定的 HTTP 请求时，未能正确地验证和过滤用户输入的数据。
  2. 攻击者可以利用这一缺陷，构造包含恶意代码的 HTTP 请求，并发送给目标服务器。
  3. 服务器在处理这些请求时，可能会将恶意代码作为合法的指令执行，从而导致远程代码执行。

三、危害程度

  1. 数据泄露：攻击者可以获取服务器上存储的敏感信息，如用户密码、数据库内容等。
  2. 服务中断：攻击者可以通过执行恶意代码破坏服务器的正常运行，导致服务中断，影响业务的正常进行。
  3. 恶意软件传播：攻击者可以在服务器上安装恶意软件，进一步传播到其他系统，扩大攻击范围。

四、修复措施

  1. 微软针对这个漏洞发布了安全补丁，用户应及时下载并安装这些补丁，以修复漏洞。
  2. 同时，建议采取以下安全措施来增强服务器的安全性：
    • 加强访问控制：限制对服务器的访问，只允许授权用户访问。
    • 定期更新软件：确保服务器上的软件始终保持最新版本，以减少漏洞的风险。
    • 监控服务器活动：定期检查服务器的日志，及时发现异常活动。
    • 加强网络安全防护：使用防火墙、入侵检测系统等网络安全设备，增强服务器的防护能力。

CVE-2015-1635-HTTP远程代码执行漏洞复现

靶机IP地址
Windows 2008172.16.1.200

验证服务器中的IIS网站是否工作正常，使用靶机Windows 2008中的IE浏览器访问http://127.0.0.1，访问成功
在这里插入图片描述
测试目标靶机是否存在该漏洞，首先在客户端Windows 10使用命令ping -t检测靶机服务器的运行状态
在这里插入图片描述
然后打开桌面上的PentestBox渗透测试工具集，使用curl工具进行测试，测试命令：curl http://172.16.1.200 -H "Host: 172.16.1.200" -H "Range: bytes=0-18446744073709551615"，测试结果如下：

curl http://172.16.1.200 -H "Host: 172.16.1.200" -H "Range: bytes=0-18446744073709551615"

在这里插入图片描述
根据返回的结果可知：HTTP 416 错误 – 所请求的范围无法满足，此时Web 服务器认为，客户端送的 HTTP 数据流包含一个“范围”请求，规定了一个无法满足的字节范围 - 因为被访问的资源不覆盖这个字节范围。若返回“Requested Range Not Satisfiable”证明此处存在“整数溢出”漏洞。
然后通过Burp Suite来发送测试代码，方便我们观察回包的数据，打开桌面上的burpsuite，并开启浏览器代理，再次访问目标的默认站点页面，右键点击空白处选择Send to Repeater
在这里插入图片描述
然后我们切换到Repeater选项卡中，在GET请求的下面增加一行Range: bytes=0-18446744073709551615,然后点击Go进行转发
在这里插入图片描述
回包数据如下
在这里插入图片描述
结果与上面的步骤验证的结果一致，说明服务器存在MS15_034漏洞。

切换至渗透机Kali Linux，对靶机进行检测。使用命令msfconsole打开metasploit渗透测试平台，使用search命令搜索相关可利用的模块
在这里插入图片描述
根据结果，我们发现有两个可以使用的模块，分别为dos拒绝服务模块、HTTP.SYS扫描模块。
接下来我们先测试扫描模块。使用命令use auxiliary/scanner/http/ms15_034_http_sys_memory_dump来调用扫描模块，使用命令show options查看需要配置的选项

use auxiliary/scanner/http/ms15_034_http_sys_memory_dump

在这里插入图片描述
下面我们来对RHOSTS目标靶机地址进行设置，使用命令set RHOSTS 172.16.1.200，设置完成后使用命令exploit执行扫描模块

set RHOSTS 172.16.1.200

在这里插入图片描述
根据扫描结果可知，目标靶机的IIS服务存在MS15_034漏洞。下面我们直接使用拒绝服务模块，来进行测试，验证漏洞在Windows Server 2008上的可用性。使用命令use auxiliary/dos/http/ms15_034_ulonglongadd来调用HTTP.SYS拒绝服务模块，然后设置RHOSTS目标靶机参数，并进行利用

use auxiliary/dos/http/ms15_034_ulonglongadd

在这里插入图片描述
根据回显信息说明已经发送了DOS请求，下面我们来到靶机上观察现象
在这里插入图片描述
目标靶机已经重启，说明MS15_034漏洞已经成功复现。

漏洞修复

下面我们来针对该漏洞进行临时修复（可能降低IIS性能），回到靶机服务器上，打开Internet信息服务（IIS）管理器，找到Default Web Site主页内容，选择输出缓存，点击打开功能
在这里插入图片描述
在的窗口中选择编辑功能设置，编辑输出缓存设置，取消启用内核缓存以实现暂时的加固
在这里插入图片描述
点击确定按钮
在这里插入图片描述
完成配置之后将IIS服务重启
在这里插入图片描述
再次进入kali渗透测试机器中，再次使用DOS拒绝服务模块进行测试
在这里插入图片描述
回到靶机中，发现攻击模块已经失效，无法造成蓝屏重启现象
经过上面的漏洞检测步骤后，如果存在http.sys漏洞，那么就需要尽快制定并启动加固方案，这些加固从漏洞补丁开始，到产品防护，到整体防护，逐步推进，以下为MS15_034补丁修复的链接：MS15_034补丁修复
在这里插入图片描述
使用IIS的用户，也可以通过Windows Update的方式获得对应的KB3042553补丁，建议用户开启自动更新服务以及时安装最新补丁。如果您觉得这篇文章对您有帮助的话，点赞关注评论三连支持一下吧！

旺仔Sec
关注
专栏目录
ElasticSearch 远程代码执行漏洞分析（CVE-2015-1427）&高级利用方法1
08-08
ElasticSearch 远程代码执行漏洞分析（CVE-2015-1427）&高级利用方法1 ElasticSearch 是一个基于 Lucene 的搜索引擎，提供了强大的搜索功能。然而，在 2015 年，一种远程代码执行漏洞（CVE-2015-1427）被发现，影响...
cpx_proftpd:漏洞利用工具 CVE-2015-3306
06-11
Daniel Aldana 针对漏洞利用的 PoC。 Vadim Melihow 报告的错误。 ###方法1： 用法： python cpx_proftp.py <IP> <REMOTE> 前任： python cpx_proftp.py 127.0.0.1 /etc/passwd /var/www/pass.txt 然后尝试...
Microsoft IIS远程代码执行漏洞（CVE-2015-1635）复现
qll71的博客
08-12 450
内网渗漏 漏洞复现提示：以下是本篇文章正文内容，下面案例可供参考。
CVE-2015-1635（MS15-034 ）远程代码执行漏洞复现
热门推荐
m0_37638874的博客
06-10 2万+
  1 漏洞背景   2 漏洞影响   3 漏洞利用     3.1 服务器配置与搭建     3.2 测试       3.2.1 curl命令       3.2.2 Host字段       3.2.3 Range字段     3.3 攻击利用   4 防御措施1 漏洞背景2 漏洞影响3 漏洞利用3.1 服务器配置与搭建win7我们如何开启iis服务呢控制面板>程序和功能>打开或关闭windows功能>Internet信息服务>勾选Web管理工具和万维网服务 我们访问一下 如上所示证明开启了iis服
CVE-2015-1635(MS15-034)-HTTP.sys远程代码执行复现
1stPeak's Blog
04-12 3047
一、漏洞描述 HTTP协议栈(HTTP.sys)存在远程代码执行漏洞，是由于HTTP.sys不正确的解析HTTP请求引起的，成功利用此漏洞的攻击者可以执行系统账户上任意代码。 攻击者必须发送一个HTTP请求到受影响的系统去触发这个漏洞，通过修改Windows HTTP栈处理请求更新漏洞地址。 主要存在Windows+IIS的环境下，任何安装了微软IIS 6.0以上的Windows Server 2008 R2/Server 2012/Server 2012 R2以及Windows 7/8/8.1操作系统都受
漏洞复现MS15-034/CVE-2015-1635 HTTP远程代码执行漏洞
qq_51950323的博客
11-09 1144
利用HTTP.sys的安全漏洞，攻击者只需要发送恶意的http请求数据包，就可能远程读取IIS服务器的内存数据，或使服务器系统蓝屏崩溃。根据公告显示，该漏洞对服务器系统造成了不小的影响.
CVE-2015-1635/MS15-034远程代码执行漏洞
dgjkkhcf的博客
09-20 4267
在4月的补丁日，微软通过标记为“高危”的MS15-034补丁，修复了HTTP.SYS中一处远程代码漏洞CVE-2015-1635。据微软公告（https://technet.microsoft.com/en-us/library/security/MS15-034）所称，当存在该漏洞的HTTP服务器接收到精心构造的HTTP请求时，可能触发远程代码在目标系统以系统权限执行。
漏洞复现之CVE-2015-1635-HTTP.SYS远程执行代码漏洞（ms15-034）
白帽子九一
04-19 3706
1.1.1 漏洞描述 在2015年4月安全补丁日，微软发布的众多安全更新中，修复了HTTP.sys中一处允许远程执行代码漏洞，编号为：CVE-2015-1635（MS15-034 ）。利用HTTP.sys的安全漏洞，攻击者只需要发送恶意的http请求数据包，就可能远程读取IIS服务器的内存数据，或使服务器系统蓝屏崩溃。根据公告显示，该漏洞对服务器系统造成了不小的影响，主要影响了包括Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、
MS15-034/CVE-2015-1635 HTTP远程代码执行漏洞 （漏洞验证）
LiBai'S BLOG
08-18 8800
以下内容并非在靶场，是在真实环境进行漏洞验证。 1️⃣漏洞测试 使用curl工具进行测试，测试命令： curl http://1.1.1.1 -H "Host: 1.1.1.1" -H "Range: bytes=0-18446744073709551615" 2️⃣漏洞验证 ????利用ms15-034漏洞读取服务器内存数据 借助metasploit平台： use auxiliary/scanner/http/ms15_034_http_sys_memory_dump set rhosts 1.
CVE-2015-1635-HTTP.SYS远程执行代码漏洞复现
W小哥
04-20 7924
一、漏洞描述 远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。 成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。 攻击者只需要发送恶意的http请求数据包，就可能远程读取IIS服务器的内存数据，或使服务器系统蓝屏崩溃。 微软官方说明:https://docs.microsoft.com/z...
IIS Http.sys远程代码执行漏洞(CVE-2015-1635)复现
qq_40640917的博客
01-21 7164
漏洞详情： 远程执行代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中，当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。 成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。 若要利用此漏洞，攻击者必须将经特殊设计的 HTTP 请求发送到受影响的系统。 通过修改 Windows HTTP 堆栈处理请求的方式，安装更新可以修复此漏洞。
MS15-034/CVE-2015-1635 HTTP远程代码执行漏洞复现
EC_Carrot的博客
03-08 4006
漏洞背景 在4月的补丁日，微软通过标记为“高危”的MS15-034补丁，修复了HTTP.SYS中一处远程代码漏洞CVE-2015-1635。据微软公告（https://technet.microsoft.com/en-us/library/security/MS15-034）所称，当存在该漏洞的HTTP服务器接收到精心构造的HTTP请求时，可能触发远程代码在目标系统以系统权限执行。 影响范围 任何安装了微软IIS 6.0以上的的Windows Server 2008 R2/Server 2012/Serve
4.网络编程
最新发布
weixin_45476535的博客
09-14 485
程序注册端口：1024-49151。单个协议下，端口号不能冲突。公有端口0-1023。
Java-网络
2301_81543552的博客
09-14 693
Java中的网络编程主要涉及使用Socket类进行网络通信，以及理解各种网络协议。以下是一些关键概念和示例代码，帮助您入门。
使用堡垒机登录ftp服务报网络不可达错误
ajax_beijing_java的博客
09-14 201
解决方法：由于不想安装额外的服务在服务器上，于是想到使用sftp服务代替ftp服务，发现是可以使用的。22端口默认就是启动的，在堡垒机上加了sftp服务，再次连接服务器并使用filezila传输文件 ，文件可以正常传输。至此，问题得到解决。场景：开发同事想使用ftp传输服务，连接服务器时报网络不可达错误。排查发现，如果想使用ftp服务，需要在服务器上部署ftp服务，21端口才会存在，才可以访问该服务。
WireShark分析localhost包
ngczx的博客
09-11 708
WireShark分析localhost包
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
09-11 951
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
cve-2015-1635漏洞复现
07-28
你好！对于CVE-2015-1635漏洞的复现，首先需要明确这是一个远程代码执行漏洞，也被称为HTTP.sys远程代码执行漏洞。该漏洞存在于Microsoft Windows系统的HTTP协议堆栈中。 复现该漏洞的一种方法是发送特制的HTTP请求来触发漏洞，并执行恶意代码。以下是一个简单的Python示例代码，用于发送恶意请求： ```python import requests url = "http://目标IP地址/" headers = { 'User-Agent': 'Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv:11.0) like Gecko', 'Accept-Language': 'en-US,en;q=0.5', 'Connection': 'close', 'Content-Length': '18446744073709551615', 'Host': '目标IP地址' } response = requests.get(url, headers=headers) print(response.text) ``` 在代码中，将`目标IP地址`替换为目标服务器的IP地址。这个请求会发送一个特殊长度的`Content-Length`头部字段，触发远程执行漏洞。 请注意，这个示例只是为了说明漏洞的原理，实际应用中需要谨慎操作并确保遵守法律法规。建议在合法授权和测试环境中进行漏洞测试，以维护网络安全。 如果你需要更详细的复现步骤或其他安全问题，请提供更多细节，我将尽力帮助你。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

旺仔Sec

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值