文章目录
一.漏洞描述
Http.sys是Microsoft Windows处理HTTP请求的内核驱动程序。HTTP.sys会错误解析某些特殊构造的HTTP请求,导致远程代码执行漏洞。成功利用此漏洞后,攻击者可在System帐户上下文中执行任意代码。由于此漏洞存在于内核驱动程序中,攻击者也可以远程导致操作系统蓝屏。此次受影响的系统中,Windows 7、Windows 8、Windows Server 2008 R2 和 Windows Server 2012所带的HTTP.sys驱动均存在一个远程代码执行漏洞,远程攻击者可以通过IIS 7(或更高版本)服务将恶意的HTTP请求传递给HTTP.sys驱动,通过发送恶意的HTTP请求导致远程代码执行或操作系统蓝屏。
二.检测条件
1、被测网站采用了windows平台中的IIS中间件架构。
2、被检测的网站关闭了主机防火墙,且没有安装补丁
三.检测方法
1、通过curl命令实现
curl IP -H “Host: irrelevant” -H “Range: bytes=0-18446744073709551615”
2、通过执行POC脚本的方式进行检测(CVE-2015-1635的POC)
3、通过MSF
四.漏洞验证
实验主机:
角色 IP 操作系统
攻击机 Kali linux
靶机 Win7
Win7
搭建IIS环境
①安装IIS。控制面板—程序—打开或关闭windows功能,勾选Internet信息服务
②查看IIS是否安装成功,访问查看IIS版本。控制面板—系统