iis7 http.sys远程代码执行漏洞深入分析

《iis7 http.sys远程代码执行漏洞深入分析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IIS7HTTP.sys漏洞深入分析Contenthttp.sys漏洞影响范围3http.sys漏洞危害性分析4漏洞触发4漏洞原理4限制条件7代码执行7与http.sys漏洞攻击赛跑7IIS漏洞情况8结束语9关于绿盟科技9执行摘要此次微软公告MS15-034IIS7http.sys漏洞，引来业界的关注，其震荡性不亚于Windows领域的心脏出血事件。绿盟科技威胁响应中心启动紧急响应机制，在4月15日、4月16日分别发布紧急通告及产品规则升级通告，受如下系统影响的用户还请尽快升级厂商的补丁及绿盟科技产品规则包。MicrosoftWindowsServer2

2、012R2MicrosoftWindowsServer2012MicrosoftWindowsServer2008SP1MicrosoftWindows8.1MicrosoftWindows8MicrosoftWindows7SP1如果您需要了解更多信息，请联系：绿盟科技威胁响应中心微博http://www.weibo.com/u/5384465169绿盟科技微博http://weibo.com/threatresponse绿盟科技微信号搜索公众号绿盟科技http.sys漏洞影响范围随着各方的深入分析，各地域受WindowsHTTP.sys漏洞影响的情况正

3、在逐渐浮出水面。昨天的通告信息中提到Http.sys是MicrosoftWindows处理HTTP请求的内核驱动程序，据绿盟科技互联网广谱平台数据显示，全球部署IIS的系统数量大概有444万余，从目前受影响的IIS各版本分布统计数据来看，其中IIS7.5部署量最大，占比42.3%，也是本次追踪分析的重点。在如下全球IIS7.5分布态势图中，可以看到美洲、欧洲、亚洲等国家受影响比较严重，其中美国、中国、英国及德国为受影响的稠密区域。http.sys漏洞危害性分析很多大型企业或组织在应对http.sys漏洞的时候，往往需要采取谨慎的态度，对于应对措施需要，并且

4、结合自身的业务情况及网络环境，定制行动计划，以避免对业务系统造成损害，这就需要深入了解此次漏洞的原理，才能给出合适的方案。未知攻焉知防！下面对此漏洞的原理进行分析，以便大家更好的理解和防御这一高危安全漏洞。漏洞触发根据Pastebin上披露的PoC（http://pastebin.com/ypURDPc4），很容易构造出能触发BSOD的PoC，比如以下请求：1GET/welcome.pngHTTP/1.12Host:PoC3Range:bytes=12345-18446744073709551615可以使安装有IIS7.5的Windows7SP1系统BSO

5、D。漏洞原理这里以Windows7SP1X64系统上安装的IIS7.5为例进行分析，其内核的版本为6.1.7601.18409，HTTP.sys的版本为6.1.7601.17514。对BSOD崩溃的现场进行分析，发现是各种情况的内存错误，由此推测触发漏洞后可能造成了内存破坏。对HTTP.sys的处理流程进行分析、逐步排查，可以确定内存破坏发生在函数HTTP!UlBuildFastRangeCacheMdlChain中，调用栈如下：函数HTTP!UlBuildFastRangeCacheMdlChain用于生成响应报文的缓存MDL链，来描述HTTP响应的状态

6、行、头部与消息体，链上的各MDL通过调用nt!IoBuildPartialMdl来生成。MSDN中对nt!IoBuildPartialMdl的说明如下：注意这里明确要求了由VirtualAddress与Length确定的区间必须是SourceMdl描述的缓冲区的一个自区间，正是对此要求的违反导致了此漏洞中的内存破坏。第3次调用nt!IoBuildPartialMdl来生成消息体MDL时的参数如下：1SourceMdl=0xfffffa801a38cb601SourceMdl.VirtualAddress=0xfffffa801ac940002SourceM

7、dl.ByteCount=0x2d3153SourceMdl.ByteOffset=0x04TargetMdl=0xfffffa801a2ed5805TargetMdl.VirtualAddress=0xfffffa801ac970006TargetMdl.ByteCount=0xffffcfc77TargetMdl.ByteOffset=0x398VirtualAddress=0xfffffa801ac970399Length=0xffffcfc7这里的Length是根据HTTP请求消息头部中的Range字段计算得到的，过程如下：•首先，在HTTP!Ul

8、pParseRange中对Range字段进行解析，得到RangeB