⚠️ 脆弱性について

Easy File Sharing Web Server は、メール通知機能の一部として /sendemail.ghp への HTTP POST リクエストを処理します。このエンドポイントが受け入れる Email パラメータは、長さチェックなしでローカルのスタックバッファにコピーされます。

脆弱なロジックを簡略化したものは次のようになります。

char email_buffer[256];

strcpy(email_buffer, user_input);

宛先バッファが固定サイズであり、入力長が検証されないため、Email フィールドに十分に長い文字列を送信すると、コピーがバッファの末尾を超えて書き込まれます。

より多くのデータが書き込まれるにつれて、スタックレイアウトが破損します。単純なリターンアドレスの上書きとは異なり、オーバーフローはスタックに保存されている Structured Exception Handler (SEH) チェーンに到達します。破損したスタックの結果として例外がトリガーされると、OS は SEH チェーンを辿り、攻撃者が制御可能なハンドラアドレスに制御を移します。

したがって、エクスプロイトの流れは SEH オーバーライト手法に従います。

1. 長い入力がスタックを上書きし、nSEH および SEH ハンドラポインタを含みます。
2. メモリ破損により例外がトリガーされます。
3. OS は上書きされたハンドラアドレスを呼び出します。
4. POP POP RETN ガジェットを使用して nSEH 領域に実行を移します。
5. 前方への短いジャンプで SEH レコードをスキップし、シェルコード領域に実行をリダイレクトします。
6. シェルコードが実行されます。

これにより、この脆弱性は基本的な EIP 上書きよりもエクスプロイトが複雑になりますが、現実のシナリオをよりよく代表するものとなります。

import socket

HOST = '127.0.0.1'
PORT = 80

request = (
	'POST /sendemail.ghp HTTP/1.1\r\n'
	'Email=' + 'A' * 5000 + '&getPassword=Get+Password'
).encode('utf-8')

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()