PoC-сервер атаки для уязвимости CVE-2015-7547 в DNS-резолвере glibc

Для тестирования на локальной машине с уязвимой версией glibc:

user@localhost:/# echo 'nameserver 127.0.0.127' | sudo tee /etc/resolv.conf
user@localhost:/# echo 'nameserver 127.0.0.127' | sudo tee -a /etc/resolv.conf
user@localhost:/# sudo python3 attack-server.py 127.0.0.127
Starting UDP server on 127.0.0.127:53...
Starting TCP server on 127.0.0.127:53...

Затем из другого терминала выполните атаки, как показано в примерах ниже.

Атака 1 (UDP+TCP)

Требуется возможность отправлять ответы размером более 2048 байт через UDP и TCP.

Последовательность атаки:

1. UDP-ответ размером более 2048 байт, корректный заголовок/запрос, установлен флаг TC (вызывает некорректное управление буфером и повтор TCP)

2. TCP-ответ, корректный заголовок/запрос (заставляет следующий ответ быть сохранённым в буфере, выделенном в стеке)

3. TCP-ответ размером более 2048 байт (переполняет буфер, выделенный в стеке)

Пример:

user@localhost:/# curl http://attack1
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Атака 2 (только UDP)

Требуется возможность отправлять ответы размером более 2048 байт через UDP.

Последовательность атаки:

1. UDP-ответ размером более 2048 байт, некорректный заголовок (вызывает некорректное управление буфером, не учитывается как допустимый ответ)

2. Игнорирование следующего запроса (вызывает повтор UDP из-за тайм-аута опроса)

3. UDP-ответ, корректный заголовок/запрос (заставляет следующий ответ быть сохранённым в буфере, выделенном в стеке)

4. UDP-ответ размером более 2048 байт (переполняет буфер, выделенный в стеке)

Пример:

user@localhost:/# curl http://attack2
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Атака 3 (UDP+TCP)

Требуется возможность отправлять ответы размером более 1024 байт через UDP и более 2048 байт через TCP.

Последовательность атаки:

1. UDP-ответ размером 1024 байт, корректный заголовок/запрос (заполняет половину буфера, выделенного в стеке)

2. UDP-ответ размером более 1024 байт, корректный заголовок/запрос, установлен флаг TC (вызывает некорректное управление буфером и повтор TCP)

3. TCP-ответ, корректный заголовок/запрос (заставляет следующий ответ быть сохранённым в буфере, выделенном в стеке)

4. TCP-ответ размером более 2048 байт (переполняет буфер, выделенный в стеке)

Пример:

user@localhost:/# curl http://attack3
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Атака 4 (только UDP)

Требуется возможность отправлять ответы размером более 2048 байт через UDP.

Последовательность атаки:

1. UDP-ответ размером 2048 байт, корректный заголовок/запрос (заполняет буфер, выделенный в стеке)

2. UDP-ответ (вызывает некорректное управление буфером и повтор UDP из-за получения 0 байт из сокета)

3. UDP-ответ, корректный заголовок/запрос (заставляет следующий ответ быть сохранённым в буфере, выделенном в стеке)

4. UDP-ответ размером более 2048 байт (переполняет буфер, выделенный в стеке)

Пример:

user@localhost:/# curl http://attack4
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)

Атака 5 (только TCP)

Требуется возможность отправлять ответы размером более 2048 байт через TCP и как минимум две записи nameserver в /etc/resolv.conf.

Последовательность атаки:

0. UDP-ответ, корректный заголовок/запрос, установлен флаг TC (опционально, вызывает повтор TCP, если начальный запрос был через UDP)

1. TCP-ответ размером более 2048 байт (вызывает некорректное управление буфером)

2. TCP-ответ, пустой (вызывает повтор TCP из-за получения 0 байт из сокета)

3. TCP-ответ, корректный заголовок/запрос (заставляет следующий ответ быть сохранённым в буфере, выделенном в стеке)

4. TCP-ответ размером более 2048 байт (переполняет буфер, выделенный в стеке)

Пример:

user@localhost:/# curl http://attack5
*** stack smashing detected ***: curl terminated
Segmentation fault (core dumped)