Http.sys远程代码执行漏洞复现

---

一．漏洞描述

Http.sys是Microsoft Windows处理HTTP请求的内核驱动程序。HTTP.sys会错误解析某些特殊构造的HTTP请求，导致远程代码执行漏洞。成功利用此漏洞后，攻击者可在System帐户上下文中执行任意代码。由于此漏洞存在于内核驱动程序中，攻击者也可以远程导致操作系统蓝屏。此次受影响的系统中，Windows 7、Windows 8、Windows Server 2008 R2 和 Windows Server 2012所带的HTTP.sys驱动均存在一个远程代码执行漏洞，远程攻击者可以通过IIS 7（或更高版本）服务将恶意的HTTP请求传递给HTTP.sys驱动，通过发送恶意的HTTP请求导致远程代码执行或操作系统蓝屏。

二．检测条件

1、被测网站采用了windows平台中的IIS中间件架构。
2、被检测的网站关闭了主机防火墙，且没有安装补丁

三．检测方法

1、通过curl命令实现
curl IP -H “Host: irrelevant” -H “Range: bytes=0-18446744073709551615”
2、通过执行POC脚本的方式进行检测（CVE-2015-1635的POC）
3、通过MSF

四．漏洞验证
实验主机：

角色 IP 操作系统
攻击机 Kali linux
靶机 Win7
Win7
搭建IIS环境
①安装IIS。控制面板—程序—打开或关闭windows功能，勾选Internet信息服务
②查看IIS是否安装成功，访问查看IIS版本。控制面板—系统