クイックスタート

脆弱な 32 ビット nginx ラボをビルドして起動します:

制御された OOB 書き込みをトリガーします:

決定的な Docker のみの RCE バリデータを実行します:

内部情報を使用しないブルートフォースドライバを実行します:

host.docker.internal はコールバックホストとして使用され、nginx worker に埋め込まれたコマンドが id の出力をエクスプロイトスクリプトによって起動されたリスナーに POST できるようにします。Compose ファイルは、Linux Docker エンジンのためにこの名前をマップします。

エクスプロイトのウォークスルー

1. ラボをビルドして起動する

Compose ターゲットは nginx 1.30.0 を 32 ビットのリリーススタイルバイナリとしてビルドし、127.0.0.1:19331 で起動します。素の GET / は ok を返し、エクスプロイト開始前にターゲットに到達可能であることを示します。

2. OOB 書き込みをトリガーする

トリガーは、+ バイトで構成されたキャプチャ済み URI セグメントを、脆弱な rewrite に続く set $myvar $1 パスを通じて送信します。+ は NGX_ESCAPE_ARGS によってエスケープされるため、コピーパスは 1 バイトの入力ごとに 3 バイトを書き込みます。スクリプトは、リクエストを送信する前に予想されるオーバーフローサイズを出力します。

3. ラボ支援で RCE を検証する

既知アドレスバリデータは意図的に支援型です。Docker コンテナから稼働中の worker のヒープと libc マッピングを読み取り、偽の cleanup ハンドラアドレスを計算し、同じワイヤーレベルのエクスプロイトシーケンスを送信して、コールバックを待ちます。uid=65534(nobody) という出力は、nginx worker が id を実行した結果です。このスクリーンショットはネイティブの x86 Docker 実行からのものです。非 x86 の Docker Desktop セットアップでは、スクリプトは代わりに qemu-i386 ネイティブホスト要件で停止する場合があります。

4. リモート限定ブルートフォース経路を実行する

リモートブルートフォーススクリプトは、ラボ限定のアドレス読み取りを排除します。SAFE ヒープページ候補と libc ページ候補を列挙し、成功のオラクルとしてコールバックのみを使用します。コールバックなしでパスを使い果たしても、プリミティブが否定されるわけではありません。通常は、現在の nginx master レイアウトがこのペイロードのアルファベットにとって有利ではないか、ASLR を振り直すために master の再起動/リロードが必要であることを意味します。

RCE シーケンスの仕組み

エクスプロイトは 3 つの並行リクエストロールを使用します:

1. /spray はリクエストボディの割り当てを存続させ、偽の ngx_pool_cleanup_t レコードとコールバックコマンドを nginx worker のヒープメモリに配置します。
2. /api/<payload> は脆弱なリライトスクリプトに到達し、被害者リクエストが配置されるまで最終リクエストターミネータを遅延させます。
3. / は隣接するリクエストプールを作成し、その cleanup ポインタが制御された OOB 書き込みのターゲットになります。

破損したリクエストプールが破棄されると、nginx は上書きされた cleanup ポインタをたどります。ラボ RCE パスでは、偽の cleanup ハンドラが system() を指し、そのデータポインタが次を指します:

エクスプロイトリスナーは、その POST を唯一の RCE 成功シグナルとして扱います。

クリーンアップ

安全上の注意

このラボは、許可されたセキュリティ検証と教育を目的としています。ラボを隔離したままにし、ラボのポートを信頼できないネットワークに公開せず、所有していない、または明示的なテスト許可がないシステムに対してエクスプロイトを実行しないでください。