Quantcast
Channel: CodeSection,代码区,网络安全 - CodeSec
Viewing all articles
Browse latest Browse all 12749

一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

0
0

绝大部分 DoS 攻击,一般来说都是目标系统收到大量服务请求,最终导致拒绝服务状态。实际上,随着技术的发展,如果要让现在的系统“拒绝服务”,是需要海量请求配合的――也就是所谓的泛洪攻击才能做到的,这就需要用到分布式拒绝服务,也就是 DDoS 攻击了。但在前不久结束的 DEF CON 大会上,安全研究人员在 windows SMB 服务中发现一个漏洞,利用该漏洞,即便是一台普通性能的计算机,也能对拥有海量运算资源的服务器发动 DoS 攻击。

近日,RiskSense的安全研究人员找到了一个20年之久的Windows SMB漏洞,他们称之为SMBloris,在最近的DEF CON黑客会议上,介绍了他们的发现。

这个漏洞可以让攻击者轻松地通过20行python代码和树莓派远程使windows服务器崩溃。


一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

但微软表示不会修复这个漏洞,因为你要做的仅仅是屏蔽掉连接到互联网的一个端口。

只有那些通过SMBv1端口连接到互联网的机器才会被攻击者使用SMBloris 攻击到,那也就是为什么微软认为这只是一个配置上的问题。

这个漏洞影响了SMB协议的每一个版本和从windows 2000开始的每一个windows版本。RiskSense高级安全研究员Sean Dillon说,它可能要比操作系统的出现还要早。与同事Zach Harding共同研究的Dillon还称这次攻击为SMBloris,因为它与在2009年Robert Hansen开发的Slowloris相当。这两种攻击都可以使一个功能强大的服务器崩溃或冻结,但对于Slowloris来说,它的攻击目标不像SMBloris那样是web服务器。


一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

“与Slowloris类似,它需要建立多个连接到服务器,但这些连接的成本对于攻击者来说很低,所以一台机器就就能够执行攻击,”Dillon说。

Dillon是第一批分析永恒之蓝的研究人员, WannaCry的传播和 ExPetr wiper这样的恶意软件都是利用了NSA SMB的漏洞 ,而正是在分析永恒之蓝的过程中,Dillon发现了这个SMBv1漏洞。


一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

DIllon解释道“在研究永恒之蓝的时候,我们就观察到了在windows内核上使用的是非分页池的内存分配模式,非分页池必须保存在物理RAM中,不能被换出来,这是系统中最宝贵的内存池,但我们还是想出了如何耗尽这个内存池的办法,即使带有128GB的强大内存的服务器,我们也可以用树莓派把它拿下。“

Dillon说,“这个问题是在6月初向微软报告的,因为EternalBlue分析已经完成。微软告诉研究人员,两个内部安全小组认定这个漏洞是一个中等的问题,不会被移入安全部门,可能永远不会被修复。 在星期六的DEF CON谈话的60天前,我们就向微软提交了报告,在这次谈话的45天前,我们收到了微软的回应。”

微软公司的一位发言人表示,“这种情况并没有给安全带来严重的影响,我们也不打算用安全更新解决这个问题,企业用户如果担心的话,建议他们不要从SMBv1端口访问互联网。”

“他们说这是一个中等的问题,因为虽然它需要建立许多与服务器的连接,但是这些操作完全可以用一台机器完成,而树莓派就可以使最强大的服务器瘫痪,”Dillon说。

该漏洞是利用了SMB数据包的处理方式和内存分配的方式。 Dillon和Harding表示,他们发现了一种利用该系统分配方式来破坏服务器的方法。

这种攻击就能对类似DDoS这样的攻击进行放大了。Dillon解释说,如果一台机器就可以完成DoS攻击使windows服务器瘫痪的话,为什么还要用DDoS呢,你也不再需要使用肉鸡了。


一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

Dillon说,该攻击可以分配服务器所有的可用内存,甚至不会蓝屏,操作系统通过很长的内存列表来寻找未分配的内存,而这样会使操作系统崩溃,CPU占用率也会达到峰值。

“服务器崩溃的很严重时你可以完全冻结系统,”Dillon说,“但当所有的非分页池内存都分配完了的时候,还会有很多完整性的问题,比如某些磁盘的权限问题,甚至会出现因为内存耗尽而无法进行日志记录的问题。我们遇到的一个问题是:我们已经完全消耗尽了系统的内存并导致系统被冻结;而不显示蓝屏也是因为需要显示蓝屏的资源不够,系统会冻结,并且永远都无法修复。“

Dillon表示,在前不久的black hat大会上,他和Harding分享一些有关这种攻击的更多的技术细节,并演示攻击的内容。

“这样的攻击还是很简单的,我相信大部分人都可以弄明白发生了什么,”Dillon说。

以下是SMBLoris攻击消耗windows RAM演示视频:

NBSS是NetBIOS会话服务协议,每个连接都会分配128 KB的内存,在连接关闭时释放内存。当没有活动执行的时候,连接会在30秒后关闭。

使用65535个TCP端口,攻击者可以填充超过8 GB的数据,在ipv4和ipv6协议下,DDoS攻击可以达到16GB数据,两个ip的话,攻击流量可以翻倍,即达到32GB。

攻击会触发NBSS的内存饱和,需要重新启动服务器才能恢复正常操作。

Dillon认为对于微软来说,修复这个漏洞却并没有那么简单。

“我认为问题就在于这个漏洞并不是很容易修复,微软已经使用这样的SMB内存分配方式20年了。所以,所有的东西都依赖于客户端说”我发送的缓存区有这么大“这样一个事实。对服务器来说,它也保留了同样多的内存,所以,服务器才可以处理客户端发来的数据。“

Dillon表示,可以用联机设备(包括防火墙)来限制单个IP地址到SMB端口的活动连接数来缓解这种情况。

*参考来源: securityaffairs , threatpost , threatpost ,FB小编Liki编译,转载请注明来自CodeSec.Net


Viewing all articles
Browse latest Browse all 12749

Latest Images

Trending Articles





Latest Images