这几天要连续培训5天，下午的时候在会场快闷死了。还好看到mod_proxy的漏洞公告，就下载apache的代码看了看，度过了漫长的听人废话的时间。大致的过程如下：
首先看漏洞公告说的，漏洞出现在ap_proxy_date_canon函数里面，公告这这里，http://secunia.com/advisories/26636/。直接搜索函数名，定位到如下地址：modules/proxy/proxy_util.c的第293行，代码比较长： PROXY_DECLARE(const char *)
ap_proxy_date_canon(apr_pool_t *p, const char *x1)
{
char *x = apr_pstrdup(p, x1);
int wk, mday, year, hour, min, sec, mon;
char *q, month[4], zone[4], week[4];
q = strchr(x, ',');
/* check for RFC 850 date */
if (q != NULL && q - x > 3 && q[1] == ' ') {
*q = ' \ 0 ';
for (wk = 0; wk < 7; wk++)
if (strcmp(x, lwday[wk]) == 0)
break;
*q = ',';
if (wk == 7)
return x; /* not a valid date */
if (q[4] != '-' || q[8] != '-' || q[11] != ' ' || q[14] != ':' ||
q[17] != ':' || strcmp(&q[20], " GMT") != 0)
return x;
if (sscanf(q + 2, "%u-%3s-%u %u:%u:%u %3s", &mday, month, &year,
&hour, &min, &sec, zone) != 7)
return x;
if (year < 70)
year += 2000;
else
year += 1900;
}
else {
/* check for acstime() date */
if (x[3] != ' ' || x[7] != ' ' || x[10] != ' ' || x[13] != ':' ||
x[16] != ':' || x[19] != ' ' || x[24] != ' \ 0 ')
return x;
if (sscanf(x, "%3s %3s %u %u:%u:%u %u", week, month, &mday, &hour,
&min, &sec, &year) != 7)
return x;
for (wk = 0; wk < 7; wk++)
if (strcmp(week, apr_day_snames[wk]) == 0)
break;
if (wk == 7)
return x;
}
/* check date */
for (mon = 0; mon < 12; mon++)
if (strcmp(month, apr_month_snames[mon]) == 0)
break;
if (mon == 12)
return x;
q = apr_palloc(p, 30);
apr_snprintf(q, 30, "%s, %.2d %s %d %.2d:%.2d:%.2d GMT", apr_day_snames[wk],
mday, apr_month_snames[mon], year, hour, min, sec);
return q;
}
粗略的看一遍，没发现啥大的问题。决定先看看apr_pstrdup函数，因为从这上面的代码来看，apr_pstrdup应该是在分配内存。这里有一个小的tips，怎么样搜索到函数的定义。 grep -r apr_pstrdup * | grep -v "=" | grep -v "return" | grep -v "Binary" | grep -v "(apr_pstrdup" | grep -v ", apr_pstrdup" | grep -v ";"
首先在当前目录和子目录中查找所有包含这个字符串的行，然后去掉有=的，去掉有return的，去掉二进制文件，去掉前面有（的，去掉前面有，空格的，去掉有；的，剩下的就是函数的定义了。这个查找根据不同的代码风格，灵活的去写。
apr_pstrdup函数是在srclib/apr/strings/apr_strings.c中的第69行定义的，代码很简单，就是拷贝了一下字符串，而且注意了长度，没什么还利用的。只是其中又调用了另外一个函数apr_palloc，利用上面同样的办法，定位到 srclib/apr/memory/unix/apr_pools.c的594行，这个代码比较复杂，我没有仔细去看就判断它没问题。因为这个是很底层的内存池的函数，调用很频繁，如果有安全问题就不会仅仅是ap_proxy_date_canon出现问题了，而是整个apache都会有问题。
这样看来，想在ap_proxy_date_canon中找个可利用的溢出是不可能的了，唯一可能的地方是apr_palloc(p, 30)这里，但是下面用apr_snprintf做了限制，于是就开始看别的方面。
最终发现函数中有这样的片段： char *q, month[4], zone[4], week[4];
q = strchr(x, ',');
/* check for RFC 850 date */
if (q != NULL && q - x > 3 && q[1] == ' ') {
*q = ' \ 0 ';
for (wk = 0; wk < 7; wk++)
if (strcmp(x, lwday[wk]) == 0)
break;
*q = ',';
if (wk == 7)
return x; /* not a valid date */
if (q[4] != '-' || q[8] != '-' || q[11] != ' ' || q[14] != ':' ||
q[17] != ':' || strcmp(&q[20], " GMT") != 0)
return x;
.................
这里取出了时间之后，通过确定，的位置来判断时间的格式，但是后面没有计算q的长度就直接读取q[8]，q[11]等等，类似Last-Modified字段出现Wed, 05 Sep这样的字符串，会导致数组读取越界。这个是从代码推测的，我并没有去测试。
现在看看这个函数是如何调用的，先从如何写apache的mod入手。首先申明结构体module AP_MODULE_DECLARE_DATA，这个结构体的最后一个成员指针，指向了该module的注册函数。在注册函数里面关联需要处理的时间，触发功能函数。mod_proxy结构如下： static void ap_proxy_http_register_hook(apr_pool_t *p)
{
proxy_hook_scheme_handler(proxy_http_handler, NULL, NULL, APR_HOOK_FIRST);
proxy_hook_canon_handler(proxy_http_canon, NULL, NULL, APR_HOOK_FIRST);
}
module AP_MODULE_DECLARE_DATA proxy_http_module = {
STANDARD20_MODULE_STUFF,
NULL, /* create per-directory config structure */
NULL, /* merge per-directory config structures */
NULL, /* create per-server config structure */
NULL, /* merge per-server config structures */
NULL, /* command apr_table_t */
ap_proxy_http_register_hook/* register hooks */
};
注册了proxy_http_handler函数和proxy_http_canon函数来处理一些请求。最终有问题函数的调用流程如下：
proxy_http_handler---->ap_proxy_http_process_response---->ap_proxy_read_headers---->process_proxy_header---->ap_proxy_date_canon
这样看来，只是在apache作为正向代理或者反向代理，处理real server返回的数据，在解析http头中的"Date", "Expires", "Last-Modified"等三个字段的时候，遇到畸形的时间结构，mod_proxy模块发生数组访问越界。就攻击而言，反向代理无法攻击，除非能控制到real server。如果是正向代理，到是可以自己伪造一个web服务器，然后设置apache为代理去访问伪造的web server，返回畸形的时间头给apache代理尝试攻击。
总的来说，这个漏洞没多大意义，不过也许是我看错了，呵呵。 |
发表于 2007-9-8 06:51:40