WindowsDNS服务器远程栈溢出漏洞的应用研究

信息安全与通信保密・２００８．１０

学术研究

Ａｃａｄｅｍｉｃ　Ｒｅｓｅａｒｃｈ

75

收稿日期：２００８－０３－１７

作者简介：汤蕾，１９８３年生，上海交通大学电子工程系研究生，研究方向：通信与信息系统。

汤蕾，薛质

（上海交通大学电子信息与电气工程学院电子工程系，上海　２００２４０）

【摘 要】文章介绍了系统安全漏洞和针对系统安全漏洞攻击的基本实现原理，通过对具体漏洞的分析，提出了Ｗｉｎｄｏｗｓ系统中基于ＤＮＳ服务远程栈缓冲区溢出攻击的具体实现方法，同时也给出了针对系统安全漏洞的一些防御和避免措施。

【关键词】ＤＮＳ服务；寄存器；堆栈；缓冲区溢出

【中图分类号】ＴＰ３９３．０８ 【文献标识码】Ａ 【文章编号】１００９－８０５４（２００８）　１０－００７５－０２

Analysis of Stack Overflows on Windows DNS Server

Tang Lei, Xue Zhi

(Department of Electronic and Information Engineering, Shanghai Jiao Tong University, Shanghai 200240, China)【Abstract 】The paper describes the development of the current system security leak and provides the fundamental concepts. Through the analysis of a specific leak, the paper provides an implement of an attack on Windows system, exploit-ing the stack overflow, at the same time, it also provides some means to avoid such attacks based on system security leaks.【Keywords 】DNS service; Register; Stack; Buffer Overflow

Windows DNS 服务器

远程栈溢出漏洞的应用研究

０ 引言

系统安全漏洞是在系统软件、协议的具体实现或是系统安全策略上存在缺陷，没有考虑一些特殊的异常处理，导致攻击者能够在未经授权的情况下以特定的权限访问甚至是破坏系统资源，包括操作系统及支撑软件、路由器、防火墙等。但是漏洞的存在具有实效性，系统漏洞会随时间的推移逐渐暴露出来，相应的补丁软件也会不断地更新推出。在原有漏洞得到纠正的同时，一些新的漏洞和错误也会被引入。因此，漏洞问题将会长期存在，对漏洞问题的研究必须跟踪最新的系统漏洞，分析其安全问题的最新发展动态。

缓冲区溢出漏洞是系统安全中一个比较常见的漏洞，攻击者所使用的攻击方法虽然针对特定的漏洞有所不同，但是攻击的原理都是一样的，即利用堆栈和系统调用的特性，构造特定的、超过正常长度的数据包，造成缓冲区溢出，破坏程序正

常的堆栈，使程序转而执行其他的指令，达到攻击的目的。因

此，对堆栈和系统调用的特性的掌握，对于攻击者来说至关重要，目前比较常用的两种攻击方法的比较如表１所示［１］。

１ 缓冲区溢出漏洞实例分析

缓冲区溢出漏洞有很多，漏洞原理基本一致，ＭＳ０７０２９是其中比较典型的一个，下面就这个具体漏洞的成因和利用方法加以介绍。

Ｗｉｎｄｏｗｓ　ＤＮＳ服务器的ＲＰＣ接口在处理畸形请求时存在栈溢出漏洞。该漏洞出现在ＲＰＣ监听端口代码段，该端口是为ＤＮＳ服务器管理所用，在ＤＮＳ服务主线程监听端口５３的编码上没有出现问题。Ｎａｍｅ＿ＣｏｎｖｅｒｔＦｉｌｅＮａｍｅ　ＴｏＣｏｕｎｔＮａｍｅ

（）函数使用固定的本地缓冲区转换Ｌｏｏｋｕｐ＿ＺｏｎｅＴｒｅｅＮｏｄｅＦｒｏｍＤｏｔｔｅｄＮａｍｅ（）字符串，尽管在写入缓冲区时进行了一些边界检查，但对于Ｎａｍｅ＿ＣｏｎｖｅｒｔＦｉｌｅＮａｍｅＴｏＣｏｕｎｔＮａｍｅ（）

表１ Ｕｎｉｘ方式和系统指令方式的比较

Ａｃａｄｅｍｉｃ　Ｒｅｓｅａｒｃｈ

学术研究

76

函数中的局部变量ｐｒｅｓｕｌｔ却未加限制，导致了栈溢出。攻击者向有漏洞的系统发送特制的ＲＰＣ报文可以触发这个溢出，导致以权限Ｌｏｃａｌ　ＳＹＳＴＥＭ执行任意指令。

在ＭＳ０７０２９漏洞利用工具代码中，探测目标系统版本是通过调用ｉｎｔ　ｆｉｎｇｅｒｐｒｉｎｔ（ｃｈａｒ　＊ｈｏｓｔ）这个函数来实现的，ｉｎｔ　ｆｉｎｇｅｒｐｒｉｎｔ（ｃｈａｒ　＊ｈｏｓｔ）函数通过向目标ＩＰ发送特定的报文，根据目标主机的响应来判断系统类型。在掌握版本信息后，攻击者就可以采用“利用系统指令方式”的方法构造返回地址了。

之后，攻击者需要知道目标系统ＲＰＣ端口信息。在代码中，通过对函数ｃｈａｒ　＊ＤｉｓｃｏｖｅｒＰｏｒｔ（ｃｈａｒ　＊ｈｏｓｔ，ｃｈａｒ　＊ｕｉｄ）的调用，攻击者可以知道哪个ＲＰＣ端口是可以被攻击的。

在完成前两步后，攻击者就需要精心构造溢出字符串了。漏洞利用工具采用的是“利用系统指令方式”构造溢出字符串。在函数ＤｎｓｓｒｖＱｕｅｒｙ（ｐａｒａｍａ、ｐａｒａｍｂ、ｐａｒａｍｃ、ｐａｒａｍｄ、ｐａｒａｍｅ）中，通过构造特定的参数ｐａｒａｍｂ达到溢出的目的。ｐａｒａｍｂ的形式如图１所示。

当函数ＤｎｓｓｒｖＱｕｅｒｙ接收到参数ｐａｒａｍｂ后，返回地址被覆盖成系统ｊｍｐ　ｅｓｐ指令地址，执行完ｊｍｐ　ｅｓｐ后，程序跳转到ｓｈｅｌｌｃｏｄｅ处执行，达到溢出攻击的目的。Ｓｈｅｌｌｃｏｄｅ可以设计成打开系统一个端口提供远程登陆，也可以设计成自动从特定地址下载执行文件。本工具中的ｓｈｅｌｌｃｏｄｅ采用打开系统一个端口提供远程登陆的设计方法，具体代码如下：

ｕｎｓｉｇｎｅｄ　ｃｈａｒ　ｓｈｅｌｌｃｏｄｅ２ｋ［］　＝

＂＼ｘ２９＼ｘｃ９＼ｘ８３＼ｘｅ９＼ｘｂ０＼ｘｅ８＼ｘｆｆ＼ｘｆｆ＼ｘｆｆ＼ｘｆｆ＼ｘｃ０＼ｘ５ｅ＼ｘ８１＼ｘ７６＼ｘ０ｅ＼ｘ１８＼ｘｃ３＼ｘ９９＼ｘ１０＼ｘ８３＼ｘｅｅ＼ｘｆｃ＼ｘｅ２＼ｘｆ４＼ｘｅ４＼ｘａ９＼ｘ７２＼ｘ５ｄ＼ｘｆ０＼ｘ３ａ＼ｘ６６＼ｘｅｆ＼ｘｅ７＼ｘａ３＼ｘ１２＼ｘ７ｃ＼ｘ３ｃ＼ｘｅ７＼ｘ１２＼ｘ５５＼ｘ２４＼ｘ４８＼ｘｅ５＼ｘ１５＼ｘ６０＼ｘｃ２＼ｘ７６＼ｘ９ｂ＼ｘ５７＼ｘｄｂ＼ｘ１２＼ｘ４ｆ＼ｘ３８＼ｘｃ２＼ｘ７２＼ｘ５９＼ｘ９３＼ｘｆ７＼ｘ１２＼ｘ１１＼ｘｆ６＼ｘｆ２＼ｘ５９＼ｘ８９＼ｘｂ４＼ｘ４７＼ｘ５９＼ｘ６４＼ｘ１ｆ＼ｘ０２＼ｘ５３＼ｘ１ｄ＼ｘ１９＼ｘ０１＼ｘ７２＼ｘｅ４＼ｘ２３＼ｘ９７＼ｘｂｄ＼ｘ３８＼ｘ６ｄ＼ｘ２６＼ｘ１２＼ｘ４ｆ＼ｘ３ｃ＼ｘｃ２＼ｘ７２＼ｘ７６＼ｘ９３＼ｘｃｆ＼ｘｄ２＼ｘ９ｂ＼ｘ４７＼ｘｄｆ＼ｘ９８＼ｘｆｂ＼ｘ１ｂ＼ｘｅｆ＼ｘ１２＼ｘ９９＼ｘ７４＼ｘｅ７＼ｘ８５＼ｘ７１＼ｘｄｂ＼ｘｆ２＼ｘ４２＼ｘ７４＼ｘ９３＼ｘ８０＼ｘａ９＼ｘ９ｂ＼ｘ５８＼ｘｃｆ＼ｘ１２＼ｘ６０＼ｘ０４＼ｘ６ｅ＼ｘ１２＼ｘ５０＼ｘ１０＼ｘ９ｄ＼ｘｆ１＼ｘ９ｅ＼ｘ５６＼ｘｃｄ＼ｘ７５＼ｘ４０＼ｘｅ７＼ｘ１５＼ｘｆｆ＼ｘ４３＼ｘ７ｅ＼ｘａｂ＼ｘａａ＼ｘ２２＼ｘ７０＼ｘｂ４＼ｘｅａ

＼ｘ２２＼ｘ４７＼ｘ９７＼ｘ６６＼ｘｃ０＼ｘ７０＼ｘ０８＼ｘ７４＼ｘｅｃ＼ｘ２３＼ｘ９３＼ｘ６６＼ｘｃ６＼ｘ４７＼ｘ４ａ＼ｘ７ｃ＼ｘ７６＼ｘ９９＼ｘ２ｅ＼ｘ９１＼ｘ１２＼ｘ４ｄ＼ｘａ９＼ｘ９ｂ＼ｘｅｆ＼ｘｃ８＼ｘａｂ＼ｘ４０＼ｘ１９＼ｘｅｄ＼ｘ６ｅ＼ｘｃｅ＼ｘｅｆ＼ｘｃｅ＼ｘ９０＼ｘｃａ＼ｘ４３＼ｘ４ｂ＼ｘ９０＼ｘｄａ＼ｘ４３＼ｘ５ｂ＼ｘ９０＼ｘ６６＼ｘｃ０＼ｘ７ｅ＼ｘａｂ＼ｘ８８＼ｘ４ｃ＼ｘ７ｅ＼ｘ９０＼ｘ１０＼ｘｆ１＼ｘ８ｄ＼ｘａｂ＼ｘ３ｄ＼ｘ０ａ＼ｘ６８＼ｘ０４＼ｘｃｅ＼ｘｅｆ＼ｘｃｅ＼ｘａ９＼ｘ８９＼ｘ４１＼ｘ４ｄ＼ｘ３ｃ＼ｘ４９＼ｘ７８＼ｘｂｃ＼ｘ６ｅ＼ｘｂ７＼ｘｆ９＼ｘ４ｆ＼ｘ３ｃ＼ｘ４ｆ＼ｘ４３＼ｘ４ｄ＼ｘ３ｃ＼ｘ４９＼ｘ７８＼ｘｆｄ＼ｘ８ａ＼ｘ１ｆ＼ｘ５９＼ｘ４ｆ＼ｘ３ｃ＼ｘ４ｆ＼ｘ４０＼ｘ４ｃ＼ｘ９７＼ｘｃｃ＼ｘｅｆ＼ｘｃ８＼ｘ５０＼ｘｆ１＼ｘｆ７＼ｘ６１＼ｘ０５＼ｘｅ０＼ｘ４７＼ｘｅ７＼ｘ１５＼ｘｃｃ＼ｘｅｆ＼ｘｃ８＼ｘａ５＼ｘｆ３＼ｘ７４＼ｘ７ｅ＼ｘａｂ＼ｘｆａ＼ｘ７ｄ＼ｘ９１＼ｘ２６＼ｘｆ３＼ｘ４０＼ｘ４１＼ｘｅａ＼ｘ５５＼ｘ９９＼ｘｆｆ＼ｘａ９＼ｘｄｄ＼ｘ９９＼ｘｆａ＼ｘｆ２＼ｘ５９＼ｘｅ３＼ｘｂ２＼ｘ３ｄ＼ｘｄｂ＼ｘ３ｄ＼ｘｅ６＼ｘ８１＼ｘｂ５＼ｘ８３＼ｘ９５＼ｘｂ９＼ｘａ１＼ｘｂｂ＼ｘｂ３＼ｘ６８＼ｘｆ１＼ｘ６２＼ｘｅ６＼ｘ７０＼ｘ８ｆ＼ｘｅｆ＼ｘ６ｄ＼ｘ８７＼ｘ６６＼ｘｃ６＼ｘ４３＼ｘ９４＼ｘｃｂ＼ｘ４１＼ｘ４９＼ｘ９２＼ｘｆ３＼ｘ１１＼ｘ４９＼ｘ９２＼ｘｃｃ＼ｘ４１＼ｘｅ７＼ｘ１３＼ｘｆ１＼ｘｂｄ＼ｘｃ１＼ｘｃ６＼ｘ５７＼ｘ４３＼ｘｅ７＼ｘ１５＼ｘｆ３＼ｘｅｆ＼ｘｅ７＼ｘｆ４＼ｘ６６＼ｘｃ０＼ｘ９３＼ｘ９４＼ｘ６５＼ｘ９３＼ｘｄｃ＼ｘａ７＼ｘ６６＼ｘｃ６＼ｘ４ａ＼ｘ３ｃ＼ｘ４９＼ｘ７８＼ｘｅ８＼ｘ４９＼ｘ９ｄ＼ｘ４ｆ＼ｘ４ｂ＼ｘ３ｃ＼ｘ４ｆ＼ｘｅｆ＼ｘｃ８＼ｘｃ３＼ｘ９９＼ｘ１０＂

目前，针对这一漏洞的系统补丁可以从微软官方网站上下载，微软对该漏洞的评级为“严重级”，所以任何使用Ｍｉｃｒｏｓｏｆｔ　Ｗｉｎｄｏｗｓ　Ｓｅｒｖｅｒ　２００３　ＳＰ２、Ｍｉｃｒｏｓｏｆｔ　ＷｉｎｄｏｗｓＳｅｒｖｅｒ　２００３　ＳＰ１、Ｍｉｃｒｏｓｏｆｔ　Ｗｉｎｄｏｗｓ　Ｓｅｒｖｅｒ　２０００　ＳＰ４系统的服务器都需尽快安装补丁，以免受到针对该漏洞的攻击。

２ 缓冲区溢出漏洞的防御

目前防止出现缓冲区溢出漏洞的解决办法，基本上有以下几：严格对代码进行强类型和长度检查；使缓冲区不可执行；使堆栈向高地址方向增长；使静态数据段中的函数地址指针存放地址和其他数据的存放地址分离。对于一般的系统使用者而言，常升级系统和使用补丁程序是一个非常好的防范缓冲区溢出攻击和其他攻击的有效途径。

３ 结语

缓冲区溢出攻击是系统安全漏洞当中比较显著地一种利用方式，攻击者利用它可以完全操作一个系统，比其他任何攻击方式更具有危险性。但是如果能够注意本文提出地一些防御和避免措施，就可以很大程度上减少被攻击地可能性了。

参考文献

［１］　朱明，尹大成，陈亿霖．　缓冲区溢出攻击及检测方法研

究［Ｊ］．　计算机工程，２００２，２８（７）：１５１－１５３．

［２］　阙喜戎，赵耀，王纯．　Ｗｉｎｄｏｗｓ系统中基于缓冲区溢出

攻击的分析［Ｊ］．　计算机应用，２００４，２２（１）：３２－３４．　

图１ 构造ｐａｒａｍｂ参数