💡 Pourquoi cette vulnérabilité est intéressante

Cette vulnérabilité affecte Savant 3.1, un serveur HTTP Windows freeware de 2002. Ce qui la rend digne d'étude en 2025, ce n'est pas l'âge mais la combinaison de contraintes qu'elle introduit et les techniques nécessaires pour les contourner :

• Pas d'espace après EIP. Le tampon utilisable fait environ 267 octets avant l'adresse de retour. Tout ce qui dépasse n'atteint pas le tampon vulnérable, donc le shellcode ne peut pas être placé à l'emplacement habituel après EIP.
• Le champ de la méthode HTTP est exécutable. Savant copie la méthode en mémoire et l'exécute. Les octets qui épellent normalement GET sont traités comme du code, ce qui signifie qu'un attaquant peut y placer des opcodes, mais seulement ceux qui survivent à un filtre strict de caractères interdits.
• Deux listes de caractères interdits distinctes. L'URI et le champ de la méthode ont une logique de filtrage différente dans Savant. Les deux doivent être analysés indépendamment. La zone de la méthode bloque un ensemble d'octets beaucoup plus large que l'URI.
• Le JMP inconditionnel est un caractère interdit. \xeb ne passe pas le filtre de la zone de la méthode. Un saut conditionnel qui se déclenche toujours doit être construit manuellement avec trois opcodes : charger une valeur dans un registre, la comparer à une valeur plus petite, et sauter si le résultat n'est pas inférieur ou égal.
• Le shellcode ne tient pas. Même avec le saut qui fonctionne et l'exécution qui atterrit dans le tampon de l'URI, environ 264 octets ne suffisent pas pour un reverse shell. La charge utile réelle doit aller ailleurs, dans le corps HTTP, que Savant stocke dans une région de tas séparée de la pile, et un egghunter est nécessaire pour la localiser à l'exécution.

Chacune de ces contraintes est une leçon en soi.

char uri_buffer[270];

strcpy(uri_buffer, uri_path);

import socket

HOST = '127.0.0.1'
PORT = 80

payload = b"A" * 271

request = (
	b"GET /" + payload + b" HTTP/1.1\r\n"
	b"Host: 127.0.0.1\r\n"
	b"Connection: close\r\n"
	b"\r\n"
)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()

💣 Exploitation

Le but de ce dépôt n'est pas seulement de démontrer le plantage, mais de parcourir le processus d'exploitation complet étape par étape, y compris chaque contrainte qui rend ce cas plus difficile qu'un écrasement standard d'EIP et chaque décision prise pour les contourner.

Pour garder le README principal propre, les notes d'exploitation détaillées, les scripts et les étapes du débogueur sont placés dans le dossier Vulnerability 📂 de ce dépôt.

Vous y trouverez le flux de travail complet utilisé pour exploiter ce CVE, notamment :

• Fuzzing de l'URI GET pour identifier la fenêtre de plantage.
• Découverte manuelle du décalage (les motifs cycliques ne peuvent pas être utilisés ici).
• Analyse des caractères interdits pour la zone URI et le champ de la méthode HTTP séparément.
• Recherche d'un gadget POP / RET dans Savant.exe pour l'écrasement d'EIP.
• Confirmation que l'exécution atterrit dans le champ de la méthode après le déclenchement du gadget.
• Fabrication d'un saut conditionnel JNLE pour atteindre le tampon URI depuis le champ de la méthode.
• Localisation du corps HTTP dans le tas et mesure de l'espace disponible.
• Placement d'un egghunter dans le tampon URI et du shellcode marqué avec l'œuf dans le corps HTTP.