CVE-2021-44790

Beschreibung von CVE-2021-44790

• CVE-2021-44790 beschreibt eine sicherheitsrelevante Schwachstelle auf Systemebene im mod_lua des Apache HTTP Server, insbesondere in Version 2.4.51 und früheren Versionen. Diese Schwachstelle wird ausgelöst, wenn die Funktion r:parsebody() HTTP-Multipart/form-data-Anfragen nicht ordnungsgemäß verarbeitet, häufig aufgrund nicht standardkonformer Formulardaten.
• Dieses Problem erhöht nicht nur die Wahrscheinlichkeit von Denial-of-Service-Vorfällen, sondern eröffnet auch die Möglichkeit zur Remote-Ausführung von Schadcode über sorgfältig konstruierte Anfragen.

Praktischer Versuch CVE-2023-25690

• Verwenden einer Ubuntu-22.04-Maschine als Angreifer
• Verwenden von Windows 10 64bit als Server
  • Installation der Apache-Server-Software VC11 2.4.38

Beschreibung des Versuchsaufbaus

• Angreifer-Maschine: Ubuntu 22.04 - IP: 10.6.10.130
• Opfer-Maschine: Windows 10 64bit -IP: 10.6.10.131

Systemanforderungen

• Angreifer-Maschine:
  • Betriebssystem Ubuntu 22.04
  • Installation von Python und Curl.
• Anforderungen an die Opfer-Maschine:
  • Betriebssystem Windows 10 64bit
  • Installation von Apache 2.4.38
  • Konfiguration der httpd.conf, um das Lua-Modul verwenden zu können (siehe Anhang)

Ausbeutungsziel: Ausnutzung der Buffer-Overflow-Schwachstelle, um ein DoS gegen das Ziel durchzuführen.

Durchführung des Experiments

• B1: Auf der Opfer-Maschine:

  • Apache 2.4.38 auf die Maschine herunterladen.
  • Die httpd.conf konfigurieren (Anhang I).
  • Die Datei test.lua im Verzeichnis htdocs erstellen (Anhang I).
  • Vor der Verwendung der Angreifer-Maschine muss die Firewall der Opfer-Maschine deaktiviert werden.
  • Verwenden Sie cmd, um in das folgende Verzeichnis zu wechseln:
  root@kitploit:~

  **Apache24/bin**  để tiến hành chạy **httpd.exe.**
  

• B2: Auf der Angreifer-Maschine:

  • Versuchen Sie, eine Verbindung zur Website des Opfers herzustellen (Da es sich im Versuch um ein lokales Netzwerk handelt, verbinden Sie sich mit der IP der Opfer-Maschine: 10.6.10.131).

  

  • Sobald eine Verbindung möglich ist, suchen Sie den Speicherort der Lua-Datei (Im Versuch: 10.6.10.131/test.lua).

  

  • Senden Sie eine Exploit-Anfrage an diesen Speicherort und beobachten Sie das Ergebnis:

    1. Anfänglicher Verbindungs-Reset-Fehler:

       • Der erste Teil des Protokolls zeigt ConnectionResetError104

         ist ein Fehler mit einer bestimmten Fehlernummer aufgetreten

         , was „Peer-Reset der Verbindung“ bedeutet. Dies geschieht normalerweise, wenn der entfernte Server („Peer“) Ihre Verbindungsanfrage empfängt, die Verbindung danach jedoch abrupt schließt.

    2. Die Urllib3-Bibliothek und die Anfrage:

       • Das Skript scheint die requestsurllib3

         -Bibliothek zu verwenden und stützt sich daher auf diese

         , um die HTTP-Verbindung herzustellen.

• B3: Auf der Opfer-Maschine:

  • Prüfen des Logs:
  • [Wed Nov 29 15:11:58.320403 2023] [mpm_winnt:notice] [pid 6224:tid 732] AH00428: Parent: child process 7220 exited with status 3221225477 -- Restarting.
  • Der untergeordnete Prozess 7220 wurde mit dem Fehlercode 3221225477 beendet. Dies könnte ein Fehler aufgrund eines ungültigen Speicherzugriffs oder ein ähnlicher Fehler sein. Apache versucht anschließend, den Prozess neu zu starten.

  

  • Überprüfen des Dienstes:
    • Die Fehlerdetails besagen, dass der fehlerhafte Anwendungsname httpd.exe ist, die ausführbare Datei des Apache-HTTP-Servers. Der fehlerhafte Modulname ist **MSVCR110.dll11.0.51106.1**Der Ausnahmecode ist 0xc0000005, was normalerweise auf einen Zugriffsverletzungsfehler hinweist. Dies bedeutet, dass das Programm versucht hat, an einer Speicherstelle zu lesen oder zu schreiben, an der es dies nicht hätte tun dürfen – eine häufige Ursache für Anwendungsabstürze.

  

Anhang I

• Konfiguration der httpd.conf:

  • Anpassen des Pfads

    

  • Lua-Modul starten

    

  • Handler für das Lua-Modul hinzufügen

    

• Inhalt von test.lua und Pfad: