正文

揭秘http.sys漏洞：实战验证与防护攻略

/0 浏览量
0227

引言

HTTP.sys是微软Windows操作系统中处理HTTP请求的内核驱动程序，自IIS 6.0以来被引入，用于优化IIS服务器的性能。然而，由于设计缺陷，HTTP.sys存在远程代码执行漏洞，攻击者可以利用该漏洞远程读取IIS服务器的内存数据，甚至使服务器系统蓝屏崩溃。本文将深入解析http.sys漏洞，包括其成因、危害、影响版本、实战验证方法以及防护攻略。

漏洞概述

HTTP.sys介绍

HTTP.sys是微软Windows操作系统中处理HTTP请求的内核驱动程序。自IIS 6.0以来，HTTP.sys被引入以优化IIS服务器的性能。IIS服务进程依赖于HTTP.sys来处理HTTP请求。

漏洞成因

远程执行代码漏洞存在于HTTP协议堆栈（HTTP.sys）中。当HTTP.sys未正确分析经特殊设计的HTTP请求时，会导致此漏洞。具体来说，当HTTP.sys处理某些特殊的HTTP请求时，会触发整数溢出，从而允许攻击者执行任意代码。

漏洞危害

攻击者只需要发送恶意的HTTP请求数据包，就可能远程读取IIS服务器的内存数据，或使服务器系统蓝屏崩溃。

影响版本

任何安装了微软IIS 6.0以上的Windows 7、Windows Server 2008 R2、Windows Server 2012 R2、Windows Server 2012、Windows 8、Windows 8.1系统都可能受到影响。

实战验证

漏洞验证POC

以下是一个简单的Python脚本，用于验证HTTP.sys漏洞：

#!/usr/bin/env python
author 'jastra'
class bgcolors:
    VULN = '\033[92m'
    NONVULN = '\033[95m'
    EXPLOIT = '\033[91m'

try:
    import requests
    import re
except ImportError as ierr:
    print(bgcolors.EXPLOIT "Error, looks like you don't have %s installed", ierr)

def identify_iis(domain):
    req = requests.get(str(domain))
    remote_server = req.headers['Server']
    if "Microsoft-IIS" in remote_server:
        print(bgcolors.VULN "VULN: The server is running IIS.")
    else:
        print(bgcolors.NONVULN "NONVULN: The server is not running IIS.")

if __name__ == "__main__":
    domain = input("Enter the domain to test: ")
    identify_iis(domain)

漏洞验证步骤

  1. 将上述脚本保存为identify_iis.py。
  2. 在命令行中运行python identify_iis.py。
  3. 输入要测试的域名。

如果服务器返回“VULN: The server is running IIS.”，则表明服务器可能存在HTTP.sys漏洞。

防护攻略

漏洞加固

  1. 安装针对http.sys漏洞的补丁（KB3042553）。
  2. 按照实践指南加固IIS环境。

产品防护

  1. 部署应用防火墙实施多层次安全机制。
  2. 与云端进行积极协作。

业务安全加固

  1. 邀请漏洞相关厂商及安全厂商，共同制定快速、安全、有效的行动方案。
  2. 避免业务系统在获得安全加固之前遭受攻击。

总结

HTTP.sys漏洞是一个严重的安全漏洞，攻击者可以利用该漏洞远程读取IIS服务器的内存数据，甚至使服务器系统蓝屏崩溃。本文介绍了http.sys漏洞的成因、危害、影响版本、实战验证方法以及防护攻略，希望对读者有所帮助。

-- 展开阅读全文 --