Serveur d'attaque PoC pour la vulnérabilité CVE-2015-7547 dans le résolveur DNS stub de glibc

Pour tester sur une machine locale avec une version vulnérable de glibc :

user@localhost:/$ echo 'nameserver 127.0.0.127' | sudo tee /etc/resolv.conf
user@localhost:/$ echo 'nameserver 127.0.0.127' | sudo tee -a /etc/resolv.conf
user@localhost:/$ sudo python3 attack-server.py 127.0.0.127
Starting UDP server on 127.0.0.127:53...
Starting TCP server on 127.0.0.127:53...

Ensuite, depuis une autre session de terminal, exécutez les attaques comme indiqué dans les exemples ci-dessous.

Attaque 1 (UDP+TCP)

Nécessite la capacité d'envoyer des réponses > 2048 octets sur UDP et TCP.

Séquence d'attaque :

1. Réponse UDP, > 2048 octets, en-tête/question valide, drapeau TC défini (déclenche une mauvaise gestion du tampon et une nouvelle tentative TCP)
2. Réponse TCP, en-tête/question valide (force la réponse suivante à être stockée dans un tampon alloué sur la pile)
3. Réponse TCP, > 2048 octets (débordement du tampon alloué sur la pile)

Exemple :

user@localhost:/$ curl http://attack1
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Attaque 2 (UDP uniquement)

Nécessite la capacité d'envoyer des réponses > 2048 octets sur UDP.

Séquence d'attaque :

1. Réponse UDP, > 2048 octets, en-tête invalide (déclenche une mauvaise gestion du tampon, non comptée comme réponse valide)
2. Ignorer la requête suivante (déclenche une nouvelle tentative UDP en raison du délai d'attente du sondage)
3. Réponse UDP, en-tête/question valide (force la réponse suivante à être stockée dans un tampon alloué sur la pile)
4. Réponse UDP, > 2048 octets (débordement du tampon alloué sur la pile)

Exemple :

user@localhost:/$ curl http://attack2
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Attaque 3 (UDP+TCP)

Nécessite la capacité d'envoyer des réponses > 1024 octets sur UDP et > 2048 octets sur TCP.

Séquence d'attaque :

1. Réponse UDP, 1024 octets, en-tête/question valide (remplit la moitié du tampon alloué sur la pile)
2. Réponse UDP, > 1024 octets, en-tête/question valide, drapeau TC défini (déclenche une mauvaise gestion du tampon et une nouvelle tentative TCP)
3. Réponse TCP, en-tête/question valide (force la réponse suivante à être stockée dans un tampon alloué sur la pile)
4. Réponse TCP, > 2048 octets (débordement du tampon alloué sur la pile)

Exemple :

user@localhost:/$ curl http://attack3
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Attaque 4 (UDP uniquement)

Nécessite la capacité d'envoyer des réponses > 2048 octets sur UDP.

Séquence d'attaque :

1. Réponse UDP, 2048 octets, en-tête/question valide (remplit le tampon alloué sur la pile)
2. Réponse UDP (déclenche une mauvaise gestion du tampon et une nouvelle tentative UDP due à une réception de socket de 0 octet)
3. Réponse UDP, en-tête/question valide (force la réponse suivante à être stockée dans un tampon alloué sur la pile)
4. Réponse UDP, > 2048 octets (débordement du tampon alloué sur la pile)

Exemple :

user@localhost:/$ curl http://attack4
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Attaque 5 (TCP uniquement)

Nécessite la capacité d'envoyer des réponses > 2048 octets sur TCP et au moins deux entrées de serveur de noms dans /etc/resolv.conf.

Séquence d'attaque :

0. Réponse UDP, en-tête/question valide, drapeau TC défini (optionnel, déclenche une nouvelle tentative TCP si la requête initiale est sur UDP)
1. Réponse TCP, > 2048 octets (déclenche une mauvaise gestion du tampon)
2. Réponse TCP, vide (déclenche une nouvelle tentative TCP due à une réception de socket de 0 octet)
3. Réponse TCP, en-tête/question valide (force la réponse suivante à être stockée dans un tampon alloué sur la pile)
4. Réponse TCP, > 2048 octets (débordement du tampon alloué sur la pile)

Exemple :

user@localhost:/$ curl http://attack5
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Tests de charges utiles

Pour déclencher une réponse de type A/AAAA valide d'une certaine taille depuis le serveur, envoyez une requête pour l'un des éléments suivants :

• payload1 (> 64 octets)
• payload2 (> 128 octets)
• payload3 (> 256 octets)
• payload4 (> 512 octets)
• payload5 (> 1024 octets)
• payload6 (> 2048 octets)
• payload7 (> 4096 octets)
• payload8 (> 8192 octets)

Les requêtes peuvent être émises sur UDP ou TCP, et les réponses contiendront le nombre approprié de réponses A ou AAAA valides pour remplir la réponse à la taille demandée. Lorsque le serveur PoC est configuré comme serveur de noms faisant autorité pour un domaine de test, cela permet d'explorer le comportement des hiérarchies de cache DNS face à des réponses de taille excessive.

Exemple :

user@localhost:/$ curl http://payload1.somedomain.com