CVE-2017-7529 Nginx整数溢出漏洞分析

本文讲的是 CVE-2017-7529 Nginx整数溢出漏洞分析，

1、漏洞描述

在Nginx的range filter中存在整数溢出漏洞，可以通过带有特殊构造的range的HTTP头的恶意请求引发这个整数溢出漏洞，并导致信息泄露。

2、影响程度

攻击成本	低
危害程度	低
影响范围	Nginx 0.5.6 – 1.13.2

3 、漏洞原理

3.1   HTTP断点续传：Range

HTTP的Range允许客户端分批次请求资源的一部分，如果服务端资源较大，可以通过Range来并发下载；如果访问资源时网络中断，可以断点续传。

Range设置在HTTP请求头中，它是多个byte-range-spec(或suffix-byte-range-spec)的集合；

byte-range-set  = ( byte-range-spec | suffix-byte-range-spec )*N
byte-range-spec = first-byte-pos "-" [last-byte-pos]
suffix-byte-range-spec = "-" suffix-length

其中，first-bytes-pos指定了访问的第一个字节，last-byte-pos指定了最后一个字节，suffix-length则表示要访问资源的最后suffix-length个字节的内容；例如：

Range:bytes=0-1024 表示访问第0到第1024字节；

Range:bytes=500-600,601-999，-300 表示分三块访问，分别是500到600字节，601到600字节，最后的300字节；

在Response头中设置:

Accept-Ranges:bytes 表示接受部分资源的请求；

Content-Range: bytes START-END/SIZE 表示返回的资源位置；其中SIZE等于Content-Length;如：Content-Range: bytes 500-600/1000

3.2   Nginx Range Multipart

如果一次请求有多个range，返回的数据需要multipart来组织；格式如下：

HTTP/1.1 206 Partial Content
Date: Wed, 15 Nov 1995 06:25:24 GMT
Last-Modified: Wed, 15 Nov 1995 04:58:08 GMT
Content-type: multipart/byteranges; boundary=THIS_STRING_SEPARATES
 
--THIS_STRING_SEPARATES
Content-type: application/pdf
Content-range: bytes 500-999/8000
 
...the first range...
--THIS_STRING_SEPARATES
Content-type: application/pdf
Content-range: bytes 7000-7999/8000

...the second range
--THIS_STRING_SEPARATES--

Nginx对Range的支持包括header处理和body处理，分别用来解析客户端发送过