خادم هجوم إثبات المفهوم لثغرة CVE-2015-7547 في محلل DNS المؤقت في glibc

للاختبار على جهاز محلي بإصدار glibc ضعيف:

user@localhost:/$ echo 'nameserver 127.0.0.127' | sudo tee /etc/resolv.conf
user@localhost:/$ echo 'nameserver 127.0.0.127' | sudo tee -a /etc/resolv.conf
user@localhost:/$ sudo python3 attack-server.py 127.0.0.127
Starting UDP server on 127.0.0.127:53...
Starting TCP server on 127.0.0.127:53...

ثم، من جلسة طرفية أخرى، قم بتنفيذ الهجمات كما هو موضح في الأمثلة أدناه.

الهجوم 1 (UDP+TCP)

يتطلب القدرة على إرسال ردود > 2048 بايت عبر UDP و TCP.

تسلسل الهجوم:

1. رد UDP، > 2048 بايت، رأس/سؤال صالح، تعيين علامة TC (يؤدي إلى سوء إدارة المخزن المؤقت وإعادة محاولة TCP)
2. رد TCP، رأس/سؤال صالح (يجبر الرد التالي على التخزين في مخزن مؤقت مخصص في المكدس)
3. رد TCP، > 2048 بايت (يتجاوز سعة المخزن المؤقت المخصص في المكدس)

مثال:

user@localhost:/$ curl http://attack1
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

الهجوم 2 (UDP فقط)

يتطلب القدرة على إرسال ردود > 2048 بايت عبر UDP.

تسلسل الهجوم:

1. رد UDP، > 2048 بايت، رأس غير صالح (يؤدي إلى سوء إدارة المخزن المؤقت، لا يُحتسب كاستجابة صالحة)
2. تجاهل الطلب التالي (يؤدي إلى إعادة محاولة UDP بسبب انتهاء مهلة الاستقصاء)
3. رد UDP، رأس/سؤال صالح (يجبر الرد التالي على التخزين في مخزن مؤقت مخصص في المكدس)
4. رد UDP، > 2048 بايت (يتجاوز سعة المخزن المؤقت المخصص في المكدس)

مثال:

user@localhost:/$ curl http://attack2
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

الهجوم 3 (UDP+TCP)

يتطلب القدرة على إرسال ردود > 1024 بايت عبر UDP و > 2048 بايت عبر TCP.

تسلسل الهجوم:

1. رد UDP، 1024 بايت، رأس/سؤال صالح (يملأ نصف المخزن المؤقت المخصص في المكدس)
2. رد UDP، > 1024 بايت، رأس/سؤال صالح، تعيين علامة TC (يؤدي إلى سوء إدارة المخزن المؤقت وإعادة محاولة TCP)
3. رد TCP، رأس/سؤال صالح (يجبر الرد التالي على التخزين في مخزن مؤقت مخصص في المكدس)
4. رد TCP، > 2048 بايت (يتجاوز سعة المخزن المؤقت المخصص في المكدس)

مثال:

user@localhost:/$ curl http://attack3
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

الهجوم 4 (UDP فقط)

يتطلب القدرة على إرسال ردود > 2048 بايت عبر UDP.

تسلسل الهجوم:

1. رد UDP، 2048 بايت، رأس/سؤال صالح (يملأ المخزن المؤقت المخصص في المكدس)
2. رد UDP (يؤدي إلى سوء إدارة المخزن المؤقت وإعادة محاولة UDP بسبب استقبال مقبس بحجم 0 بايت)
3. رد UDP، رأس/سؤال صالح (يجبر الرد التالي على التخزين في مخزن مؤقت مخصص في المكدس)
4. رد UDP، > 2048 بايت (يتجاوز سعة المخزن المؤقت المخصص في المكدس)

مثال:

user@localhost:/$ curl http://attack4
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

الهجوم 5 (TCP فقط)

يتطلب القدرة على إرسال ردود > 2048 بايت عبر TCP وإدخالين على الأقل لخادم الأسماء في /etc/resolv.conf.

تسلسل الهجوم:

0. رد UDP، رأس/سؤال صالح، تعيين علامة TC (اختياري، يؤدي إلى إعادة محاولة TCP إذا كان الاستعلام الأولي عبر UDP)
1. رد TCP، > 2048 بايت (يؤدي إلى سوء إدارة المخزن المؤقت)
2. رد TCP، فارغ (يؤدي إلى إعادة محاولة TCP بسبب استقبال مقبس بحجم 0 بايت)
3. رد TCP، رأس/سؤال صالح (يجبر الرد التالي على التخزين في مخزن مؤقت مخصص في المكدس)
4. رد TCP، > 2048 بايت (يتجاوز سعة المخزن المؤقت المخصص في المكدس)

مثال:

user@localhost:/$ curl http://attack5
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

اختبارات الحمولة

لتشغيل رد نوع A/AAAA صالح بحجم معين من الخادم، أرسل طلبًا لأحد ما يلي:

• payload1 (> 64 بايت)
• payload2 (> 128 بايت)
• payload3 (> 256 بايت)
• payload4 (> 512 بايت)
• payload5 (> 1024 بايت)
• payload6 (> 2048 بايت)
• payload7 (> 4096 بايت)
• payload8 (> 8192 بايت)

يمكن إصدار الطلبات عبر UDP أو TCP، وستحتوي الردود على العدد المناسب من إجابات A أو AAAA الصالحة لتمهيد الرد إلى الحجم المطلوب. عندما يتم إعداد خادم PoC كخادم أسماء موثوق لمجال اختبار، فإن هذا يسمح باستكشاف سلوك التسلسلات الهرمية لذاكرة التخزين المؤقت لـ DNS عند مواجهة ردود كبيرة الحجم.

مثال:

user@localhost:/$ curl http://payload1.somedomain.com