微软CVE-2015-1635漏洞补丁：一个被遗忘的微软“HTTP.sys死神”

2015年4月14日，微软发布了一个看似普通的洞补丁月度安全更新，但其中藏着MS15-034——CVE-2015-1635。微软这个漏洞不在Office里，洞补丁不在浏览器里，微软而在Windows的洞补丁HTTP.sys驱动中。它能让一个远程攻击者，微软仅仅发送一个精心构造的洞补丁HTTP请求，就完全控制你的微软服务器。不是洞补丁窃取数据，不是微软弹个窗，是洞补丁直接拿下整个系统权限。

HTTP.sys是微软Windows内核级HTTP协议栈，IIS和很多ASP.NET应用都跑在它上面。洞补丁漏洞出在Range头处理上——就是微软下载文件时用来指定“我要哪一段”的那个字段。攻击者把Range头写成畸形格式，比如“Range: bytes=0-18446744073709551615”，整数溢出就触发了，内核直接蓝屏，或者更糟——执行任意代码。

我记得当时测试这个漏洞，在本地搭了一台Windows Server 2012 R2，用curl发一个超长Range头，服务器瞬间重启。那种感觉挺震撼的，一个HTTP头就能让一台物理服务器倒下，像对着一个人喊了一嗓子，他心脏就停了。

补丁的修复方式很直接：在HTTP.sys里加了整数溢出检查，确保Range值不会超出合法范围。安装补丁后，同样的请求只会返回“416 Requested Range Not Satisfiable”，服务器安然无恙。补丁编号是KB3042553，支持Windows 7 SP1到Server 2012 R2全系版本。

但有个坑很多人踩了——补丁和某些第三方软件不兼容。当时有报道说，装了KB3042553后，某些基于HTTP.sys的防火墙或负载均衡软件会报错，甚至导致IIS无法启动。微软后来发布了额外的兼容性修复，但很多管理员在维护窗口里匆匆打上补丁，第二天早上发现生产环境挂了，又急急忙忙回滚。那种凌晨三点被电话吵醒的滋味，打过补丁的人都懂。

这个漏洞还有个有趣的地方：它影响的是HTTP.sys，但微软官方公告却把它放在“Windows内核”分类下。很多安全团队只盯着IIS和.NET的补丁，忽略了内核更新，导致漏洞存活了相当长一段时间。根据Shodan的扫描数据，漏洞公开后数周内，互联网上仍有大量Windows服务器未修复，尤其是中小企业的老旧Server 2008 R2机器。

补丁本身并不复杂，但它的意义在于提醒你：内核级漏洞不像Web应用漏洞那样有清晰的攻击面，它藏在底层协议栈里，一个普通的网络请求就能触发。安全运维人员习惯把注意力放在应用层，但HTTP.sys这种组件是“隐形边界”，平时没人看，一旦出事就是大事。

现在回头看，CVE-2015-1635在当年算是个“低调用途广泛”的漏洞——没像Heartbleed那样被媒体疯狂炒作，但在暗网和渗透测试圈子里，它一直是打Windows服务器的利器。直到今天，我在做内网渗透时，还会先探测目标是否打了MS15-034补丁。没打？那这台机器基本就是你的了。

补丁是死的，但漏洞是活的。你装上补丁，堵住了这一个口子，但HTTP.sys这么多年下来，后续又出现过CVE-2016-3225、CVE-2021-31166等类似问题。每次都是老套路：整数溢出、Range头、内核崩溃。微软修了又修，但攻击者也在不断找新的变种。所以别以为打了这个补丁就万事大吉，HTTP.sys这条线，永远值得你多看一眼。