home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / lib / nessus / plugins / dcetest.nasl < prev    next >
Text File  |  2005-03-31  |  25KB  |  761 lines
  1. #
  2. # DCEMAP
  3. #
  4. # Does a 'portmap-like' request to the remote host, to
  5. # to determine what DCE/MS RPC services are running.
  6. #
  7. # This code is 100% based on 'dcetest', by Dave Aitel, a free (GPL'ed)
  8. # C program available at http://www.immunitysec.com/tools.html
  9. # (or http://www.atstake.com)
  10. #
  11. # NASL translation by Renaud Deraison
  12. # and Pavel Kankovsky, DCIT s.r.o. <kan@dcit.cz>
  13. #
  14. # License: GPLv2
  15. #
  16. # See also:
  17. # CAE Specification, DCE 1.1: Remote Procedure Call, Doc. No. C706
  18. # http://www.opengroup.org/products/publications/catalog/c706.htm
  19. #
  20.  
  21. if(description)
  22. {
  23.   script_id(10736);
  24.   script_version("$Revision: 1.19 $");
  25.  
  26.   name["english"] = "DCE Services Enumeration";
  27.   script_name(english:name["english"]);
  28.  
  29.   desc["english"] = "
  30. Distributed Computing Environment (DCE) services running on the remote host 
  31. can be enumerated by connecting on port 135 and doing the appropriate queries. 
  32.  
  33. An attacker may use this fact to gain more knowledge
  34. about the remote host.
  35.  
  36. Solution : filter incoming traffic to this port.
  37. Risk factor : Low";
  38.   script_description(english:desc["english"]);
  39.  
  40.   summary["english"] = "Enumerates the remote DCE services";
  41.   script_summary(english:summary["english"]);
  42.  
  43.   script_category(ACT_GATHER_INFO);
  44.   script_copyright(english:"This script is Copyright (C) 2001 Dave Aitel (ported to NASL by rd and Pavel Kankovsky)");
  45.  
  46.   family["english"] = "Windows";
  47.   script_family(english:family["english"]);
  48.  
  49.   script_dependencie("find_service.nes");
  50.   script_require_ports(135);
  51.  
  52.   exit (0);
  53. }
  54.  
  55. include("misc_func.inc");
  56.  
  57.  
  58. # Ref : http://www.hsc.fr/ressources/articles/win_net_srv/index.html.fr by Jean-Baptiste Marchand
  59. rpc_svc_pipes["1ff70682-0a51-30e8-076d-740be8cee98b"] = "atsvc";
  60. rpc_svc_processes["1ff70682-0a51-30e8-076d-740be8cee98b"] = "mstask.exe";
  61. rpc_svc_name["1ff70682-0a51-30e8-076d-740be8cee98b"] = "Scheduler service";
  62. rpc_svc_pipes["3faf4738-3a21-4307-b46c-fdda9bb8c0d5"] = "AudioSrv";
  63. rpc_svc_processes["3faf4738-3a21-4307-b46c-fdda9bb8c0d5"] = "AudioSrv";
  64. rpc_svc_name["3faf4738-3a21-4307-b46c-fdda9bb8c0d5"] = "Windows Audio service";
  65. rpc_svc_pipes["6bffd098-a112-3610-9833-012892020162"] = "ntsvcs";
  66. rpc_svc_processes["6bffd098-a112-3610-9833-012892020162"] = "Browser";
  67. rpc_svc_name["6bffd098-a112-3610-9833-012892020162"] = "Computer Browser";
  68. rpc_svc_pipes["91ae6020-9e3c-11cf-8d7c-00aa00c091be"] = "cert";
  69. rpc_svc_processes["91ae6020-9e3c-11cf-8d7c-00aa00c091be"] = "certsrv.exe";
  70. rpc_svc_name["91ae6020-9e3c-11cf-8d7c-00aa00c091be"] = "Certificate service";
  71. rpc_svc_pipes["5ca4a760-ebb1-11cf-8611-00a0245420ed"] = "Ctx_WinStation_API_service";
  72. rpc_svc_processes["5ca4a760-ebb1-11cf-8611-00a0245420ed"] = "termsrv.exe";
  73. rpc_svc_name["5ca4a760-ebb1-11cf-8611-00a0245420ed"] = "Terminal Services remote management";
  74. rpc_svc_pipes["c8cb7687-e6d3-11d2-a958-00c04f682e16"] = "DAV RPC SERVICE";
  75. rpc_svc_processes["c8cb7687-e6d3-11d2-a958-00c04f682e16"] = "WebClient";
  76. rpc_svc_name["c8cb7687-e6d3-11d2-a958-00c04f682e16"] = "WebDAV client";
  77. rpc_svc_pipes["50abc2a4-574d-40b3-9d66-ee4fd5fba076"] = "dnsserver";
  78. rpc_svc_processes["50abc2a4-574d-40b3-9d66-ee4fd5fba076"] = "dns.exe";
  79. rpc_svc_name["50abc2a4-574d-40b3-9d66-ee4fd5fba076"] = "DNS Server";
  80. rpc_svc_pipes["e1af8308-5d1f-11c9-91a4-08002b14a0fa"] = "epmapper";
  81. rpc_svc_processes["e1af8308-5d1f-11c9-91a4-08002b14a0fa"] = "RpcSs";
  82. rpc_svc_name["e1af8308-5d1f-11c9-91a4-08002b14a0fa"] = "RPC endpoint mapper";
  83. rpc_svc_pipes["82273fdc-e32a-18c3-3f78-827929dc23ea"] = "ntsvcs";
  84. rpc_svc_processes["82273fdc-e32a-18c3-3f78-827929dc23ea"] = "Eventlog";
  85. rpc_svc_name["82273fdc-e32a-18c3-3f78-827929dc23ea"] = "Eventlog service";
  86. rpc_svc_pipes["3d267954-eeb7-11d1-b94e-00c04fa3080d"] = "HydraLsPipe";
  87. rpc_svc_processes["3d267954-eeb7-11d1-b94e-00c04fa3080d"] = "lserver.exe";
  88. rpc_svc_name["3d267954-eeb7-11d1-b94e-00c04fa3080d"] = "Terminal Server Licensing";
  89. rpc_svc_pipes["894de0c0-0d55-11d3-a322-00c04fa321a1"] = "InitShutdown";
  90. rpc_svc_processes["894de0c0-0d55-11d3-a322-00c04fa321a1"] = "winlogon.exe";
  91. rpc_svc_name["894de0c0-0d55-11d3-a322-00c04fa321a1"] = "(Remote) system shutdown";
  92. rpc_svc_pipes["8d0ffe72-d252-11d0-bf8f-00c04fd9126b"] = "keysvc";
  93. rpc_svc_processes["8d0ffe72-d252-11d0-bf8f-00c04fd9126b"] = "CryptSvc";
  94. rpc_svc_name["8d0ffe72-d252-11d0-bf8f-00c04fd9126b"] = "Cryptographic services";
  95. rpc_svc_pipes["0d72a7d4-6148-11d1-b4aa-00c04fb66ea0"] = "keysvc";
  96. rpc_svc_processes["0d72a7d4-6148-11d1-b4aa-00c04fb66ea0"] = "CryptSvc";
  97. rpc_svc_name["0d72a7d4-6148-11d1-b4aa-00c04fb66ea0"] = "Cryptographic services";
  98. rpc_svc_pipes["d6d70ef0-0e3b-11cb-acc3-08002b1d29c4"] = "locator";
  99. rpc_svc_processes["d6d70ef0-0e3b-11cb-acc3-08002b1d29c4"] = "locator.exe";
  100. rpc_svc_name["d6d70ef0-0e3b-11cb-acc3-08002b1d29c4"] = "RPC Locator service";
  101. rpc_svc_pipes["342cfd40-3c6c-11ce-a893-08002b2e9c6d"] = "llsrpc";
  102. rpc_svc_processes["342cfd40-3c6c-11ce-a893-08002b2e9c6d"] = "llssrv.exe";
  103. rpc_svc_name["342cfd40-3c6c-11ce-a893-08002b2e9c6d"] = "License Logging service";
  104. rpc_svc_pipes["12345778-1234-abcd-ef00-0123456789ab"] = "lsass";
  105. rpc_svc_processes["12345778-1234-abcd-ef00-0123456789ab"] = "lsass.exe";
  106. rpc_svc_name["12345778-1234-abcd-ef00-0123456789ab"] = "LSA access";
  107. rpc_svc_pipes["3919286a-b10c-11d0-9ba8-00c04fd92ef5"] = "lsass";
  108. rpc_svc_processes["3919286a-b10c-11d0-9ba8-00c04fd92ef5"] = "lsass.exe";
  109. rpc_svc_name["3919286a-b10c-11d0-9ba8-00c04fd92ef5"] = "LSA DS access";
  110. rpc_svc_pipes["5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc"] = "ntsvcs";
  111. rpc_svc_processes["5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc"] = "messenger";
  112. rpc_svc_name["5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc"] = "Messenger service";
  113. rpc_svc_pipes["4fc742e0-4a10-11cf-8273-00aa004ae673"] = "netdfs";
  114. rpc_svc_processes["4fc742e0-4a10-11cf-8273-00aa004ae673"] = "Dfssvc";
  115. rpc_svc_name["4fc742e0-4a10-11cf-8273-00aa004ae673"] = "Distributed File System service";
  116. rpc_svc_pipes["12345678-1234-abcd-ef00-01234567cffb"] = "lsass";
  117. rpc_svc_processes["12345678-1234-abcd-ef00-01234567cffb"] = "Netlogon";
  118. rpc_svc_name["12345678-1234-abcd-ef00-01234567cffb"] = "Net Logon service";
  119. rpc_svc_pipes["8d9f4e40-a03d-11ce-8f69-08003e30051b"] = "ntsvcs";
  120. rpc_svc_processes["8d9f4e40-a03d-11ce-8f69-08003e30051b"] = "services.exe";
  121. rpc_svc_name["8d9f4e40-a03d-11ce-8f69-08003e30051b"] = "Plug and Play service";
  122. rpc_svc_pipes["d335b8f6-cb31-11d0-b0f9-006097ba4e54"] = "policyagent";
  123. rpc_svc_processes["d335b8f6-cb31-11d0-b0f9-006097ba4e54"] = "PolicyAgent";
  124. rpc_svc_name["d335b8f6-cb31-11d0-b0f9-006097ba4e54"] = "IPSEC Policy Agent (Windows 2000)";
  125. rpc_svc_pipes["12345678-1234-abcd-ef00-0123456789ab"] = "ipsec";
  126. rpc_svc_processes["12345678-1234-abcd-ef00-0123456789ab"] = "PolicyAgent";
  127. rpc_svc_name["12345678-1234-abcd-ef00-0123456789ab"] = "IPsec Services";
  128. rpc_svc_pipes["369ce4f0-0fdc-11d3-bde8-00c04f8eee78"] = "ProfMapApi";
  129. rpc_svc_processes["369ce4f0-0fdc-11d3-bde8-00c04f8eee78"] = "winlogon.exe";
  130. rpc_svc_name["369ce4f0-0fdc-11d3-bde8-00c04f8eee78"] = "Userenv";
  131. rpc_svc_pipes["c9378ff1-16f7-11d0-a0b2-00aa0061426a"] = "protected_storage";
  132. rpc_svc_processes["c9378ff1-16f7-11d0-a0b2-00aa0061426a"] = "lsass.exe";
  133. rpc_svc_name["c9378ff1-16f7-11d0-a0b2-00aa0061426a"] = "Protected Storage";
  134. rpc_svc_pipes["8f09f000-b7ed-11ce-bbd2-00001a181cad"] = "ROUTER";
  135. rpc_svc_processes["8f09f000-b7ed-11ce-bbd2-00001a181cad"] = "mprdim.dll";
  136. rpc_svc_name["8f09f000-b7ed-11ce-bbd2-00001a181cad"] = "Remote Access";
  137. rpc_svc_pipes["12345778-1234-abcd-ef00-0123456789ac"] = "lsass";
  138. rpc_svc_processes["12345778-1234-abcd-ef00-0123456789ac"] = "lsass.exe";
  139. rpc_svc_name["12345778-1234-abcd-ef00-0123456789ac"] = "SAM access";
  140. rpc_svc_pipes["93149ca2-973b-11d1-8c39-00c04fb984f9"] = "scerpc";
  141. rpc_svc_processes["93149ca2-973b-11d1-8c39-00c04fb984f9"] = "services.exe";
  142. rpc_svc_name["93149ca2-973b-11d1-8c39-00c04fb984f9"] = "Security Configuration Editor (SCE)";
  143. rpc_svc_pipes["12b81e99-f207-4a4c-85d3-77b42f76fd14"] = "SECLOGON";
  144. rpc_svc_processes["12b81e99-f207-4a4c-85d3-77b42f76fd14"] = "seclogon";
  145. rpc_svc_name["12b81e99-f207-4a4c-85d3-77b42f76fd14"] = "Secondary logon service";
  146. rpc_svc_pipes["83da7c00-e84f-11d2-9807-00c04f8ec850"] = "SfcApi";
  147. rpc_svc_processes["83da7c00-e84f-11d2-9807-00c04f8ec850"] = "winlogon.exe";
  148. rpc_svc_name["83da7c00-e84f-11d2-9807-00c04f8ec850"] = "Windows File Protection";
  149. rpc_svc_pipes["12345678-1234-abcd-ef00-0123456789ab"] = "spoolss";
  150. rpc_svc_processes["12345678-1234-abcd-ef00-0123456789ab"] = "spoolsv.exe";
  151. rpc_svc_name["12345678-1234-abcd-ef00-0123456789ab"] = "Spooler service";
  152. rpc_svc_pipes["4b324fc8-1670-01d3-1278-5a47bf6ee188"] = "ntsvcs";
  153. rpc_svc_processes["4b324fc8-1670-01d3-1278-5a47bf6ee188"] = "lsass.exe";
  154. rpc_svc_name["4b324fc8-1670-01d3-1278-5a47bf6ee188"] = "Server service";
  155. rpc_svc_pipes["4b112204-0e19-11d3-b42b-0000f81feb9f"] = "ssdpsrv";
  156. rpc_svc_processes["4b112204-0e19-11d3-b42b-0000f81feb9f"] = "ssdpsrv";
  157. rpc_svc_name["4b112204-0e19-11d3-b42b-0000f81feb9f"] = "SSDP service";
  158. rpc_svc_pipes["367aeb81-9844-35f1-ad32-98f038001003"] = "ntsvcs";
  159. rpc_svc_processes["367aeb81-9844-35f1-ad32-98f038001003"] = "services.exe";
  160. rpc_svc_name["367aeb81-9844-35f1-ad32-98f038001003"] = "Services control manager";
  161. rpc_svc_pipes["2f5f6520-ca46-1067-b319-00dd010662da"] = "tapsrv";
  162. rpc_svc_processes["2f5f6520-ca46-1067-b319-00dd010662da"] = "Tapisrv";
  163. rpc_svc_name["2f5f6520-ca46-1067-b319-00dd010662da"] = "Telephony service";
  164. rpc_svc_pipes["300f3532-38cc-11d0-a3f0-0020af6b0add"] = "trkwks";
  165. rpc_svc_processes["300f3532-38cc-11d0-a3f0-0020af6b0add"] = "Trkwks";
  166. rpc_svc_name["300f3532-38cc-11d0-a3f0-0020af6b0add"] = "Distributed Link Tracking Client";
  167. rpc_svc_pipes["8fb6d884-2388-11d0-8c35-00c04fda2795"] = "ntsvcs";
  168. rpc_svc_processes["8fb6d884-2388-11d0-8c35-00c04fda2795"] = "w32time";
  169. rpc_svc_name["8fb6d884-2388-11d0-8c35-00c04fda2795"] = "Windows Time (Windows 2000 and XP)";
  170. rpc_svc_pipes["8fb6d884-2388-11d0-8c35-00c04fda2795"] = "W32TIME_ALT";
  171. rpc_svc_processes["8fb6d884-2388-11d0-8c35-00c04fda2795"] = "w32time";
  172. rpc_svc_name["8fb6d884-2388-11d0-8c35-00c04fda2795"] = "Windows Time (Windows Server 2003)";
  173. rpc_svc_pipes["a002b3a0-c9b7-11d1-ae88-0080c75e4ec1"] = "winlogonrpc";
  174. rpc_svc_processes["a002b3a0-c9b7-11d1-ae88-0080c75e4ec1"] = "winlogon.exe";
  175. rpc_svc_name["a002b3a0-c9b7-11d1-ae88-0080c75e4ec1"] = "Winlogon";
  176. rpc_svc_pipes["338cd001-2244-31f1-aaaa-900038001003"] = "winreg";
  177. rpc_svc_processes["338cd001-2244-31f1-aaaa-900038001003"] = "RemoteRegistry";
  178. rpc_svc_name["338cd001-2244-31f1-aaaa-900038001003"] = "Remote registry service";
  179. rpc_svc_pipes["45f52c28-7f9f-101a-b52b-08002b2efabe"] = "winspipe";
  180. rpc_svc_processes["45f52c28-7f9f-101a-b52b-08002b2efabe"] = "wins.exe";
  181. rpc_svc_name["45f52c28-7f9f-101a-b52b-08002b2efabe"] = "WINS service";
  182. rpc_svc_pipes["6bffd098-a112-3610-9833-46c3f87e345a"] = "ntsvcs";
  183. rpc_svc_processes["6bffd098-a112-3610-9833-46c3f87e345a"] = "lsass.exe";
  184. rpc_svc_name["6bffd098-a112-3610-9833-46c3f87e345a"] = "Workstation service";
  185.  
  186. #---------------------------------------------------------------------#
  187.  
  188. #
  189. # String from a buffer. Inverts the bytes.
  190. #
  191.  
  192. function istring_from_buffer(b, start, end)
  193. {
  194.   __ret = "";
  195.   for (__i = start; __i <= end; __i = __i + 1)
  196.   {
  197.     __hx = hex(ord(b[__i]));
  198.     __hx = __hx - string("0x");
  199.     # ouch, would drop zeros without string
  200.     __ret = string(__hx, __ret);
  201.   }
  202.   return (__ret);
  203. }
  204.  
  205. #
  206. # String from a buffer. Straight.
  207. #
  208.  
  209. function string_from_buffer(b, start, end)
  210. {
  211.   __ret = "";
  212.   for (__i = start; __i <= end; __i = __i + 1)
  213.   {
  214.     __hx = hex(ord(b[__i]));
  215.     __hx = __hx - string("0x");
  216.     # ouch, would drop zeros without string
  217.     __ret = string(__ret, __hx);
  218.   }
  219.   return (__ret);
  220. }
  221.  
  222. #
  223. # Return the GUID/UUID as something printable
  224. #
  225. # Binary format of UUIDs is as follows:
  226. #   4 bytes  TL (time low)
  227. #   2 bytes  TM (time middle)
  228. #   2 bytes  TH (time high + version)
  229. #   1 byte   CH (clock seq high + reserved)
  230. #   1 byte   CL (clock seq low)
  231. #   6 bytes  NI (node id)
  232. # TL, TM, and TH are interpreted as little endian numbers...
  233. # or (surprise) as big endian numbers depending on the endianness flag
  234. # in PDU header, the location in PDU (header, body), the phase of moon
  235. # and other things; internally, we use LE format.
  236. #
  237. # Text format is as follows:
  238. #   TL-TM-TH-CHCL-NI[0]NI[1]..NI[5]
  239. # where all values are formatted as zero-padded base-16 numbers.
  240. #
  241.  
  242. function struuid(uuid)
  243. {
  244.   _bTL = istring_from_buffer(b:uuid, start:0, end:3);
  245.   _bTM = istring_from_buffer(b:uuid, start:4, end:5);
  246.   _bTH = istring_from_buffer(b:uuid, start:6, end:7);
  247.   _bCx = string_from_buffer(b:uuid, start:8, end:9);
  248.   _bNI = string_from_buffer(b:uuid, start:10, end:15);
  249.   return (_bTL + "-" + _bTM + "-" + _bTH + "-" + _bCx + "-" + _bNI); 
  250. }
  251.  
  252. #
  253. # Prepare DCE BIND request
  254. #
  255.  
  256. function dce_bind()
  257. { 
  258.   # Endpoint mapper UUID:
  259.   #   E1AF8308-5D1F-11C9-91A4-08002B14A0FA
  260.   ep_uuid = raw_string(
  261.       0x08, 0x83, 0xAF, 0xE1, 0x1F, 0x5D, 0xC9, 0x11,
  262.       0x91, 0xA4, 0x08, 0x00, 0x2B, 0x14 ,0xA0, 0xFA);
  263.   ep_vers = raw_string(0x03, 0x00, 0x00, 0x00);
  264.  
  265.   # Transfer syntar UUID:
  266.   #   8A885D04-1CEB-11C9-9FE8-08002B104860
  267.   ts_uuid = raw_string(
  268.       0x04, 0x5D, 0x88, 0x8A, 0xEB, 0x1C, 0xC9, 0x11,
  269.       0x9F, 0xE8, 0x08, 0x00, 0x2B, 0x10, 0x48, 0x60);  
  270.   ts_vers = raw_string(0x02, 0x00, 0x00, 0x00);
  271.  
  272.   # Request header
  273.   req_hdr = raw_string(
  274.       0x05, 0x00,              # version, minor version
  275.       0x0b, 0x00,              # BINDPACKET, flags
  276.       0x10, 0x00, 0x00, 0x00,  # data representation
  277.       0x48, 0x00,              # fragment length
  278.       0x00, 0x00,              # auth length
  279.       0x01, 0x00, 0x00, 0x00,  # call id
  280.       0x00, 0x10, 0x00, 0x10,  # max xmit frag, max recv frag
  281.       0x00, 0x00, 0x00, 0x00,  # assoc group
  282.       0x01,                    # num ctx items
  283.       0x00, 0x00, 0x00,        # (padding)
  284.       0x00, 0x00,              # p_cont_id
  285.       0x01,                    # n_transfer_syn
  286.       0x00);                   # (padding)
  287.  
  288.   return (string(
  289.       req_hdr, ep_uuid, ep_vers, ts_uuid, ts_vers));
  290. }
  291.  
  292. #
  293. # Prepare Endpoint Mapper enumeration request
  294. #
  295.  
  296. function dce_enum_get_next(callid, handle)
  297. {
  298.   _c0 = callid % 255;
  299.  
  300.   # Request header
  301.   req_hdr = raw_string(
  302.       0x05, 0x00,              # version, minor version
  303.       0x00, 0x03,              # REQUESTPACKET, flags
  304.       0x10, 0x00, 0x00, 0x00,  # data representation
  305.       0x40, 0x00,              # fragment length
  306.       0x00, 0x00,              # auth length
  307.       _c0,  0x00, 0x00, 0x00,  # call id
  308.       0x00, 0x00, 0x00, 0x00,  # alloc hint
  309.       0x00, 0x00,              # context id
  310.       0x02, 0x00,              # opnum: EPT_LOOKUP
  311.       0x00, 0x00, 0x00, 0x00,  # inquiry_type: RPC_C_EP_ALL_ELTS
  312.       0x00, 0x00, 0x00, 0x00,  # object
  313.       0x00, 0x00, 0x00, 0x00,  # interface_id
  314.       0x00, 0x00, 0x00, 0x00,  # vers_option
  315.       0x00, 0x00, 0x00, 0x00); # entry_handle.attributes
  316.  
  317.   # Request trailer
  318.   req_tlr = raw_string(
  319.       0x01, 0x00, 0x00, 0x00); # max_ents
  320.  
  321.   return (string(
  322.       req_hdr, handle, req_tlr));
  323. }
  324.  
  325. #
  326. # Extract integer values from buffers
  327. #
  328. # These functions should be NASL builtins... :(
  329. #
  330.  
  331. little_endian = 1;
  332.  
  333. function load_long(b, t)
  334. {
  335.   if (little_endian) {
  336.     __ret_lo_lo = ord(b[t]);
  337.     __ret_hi_lo = ord(b[t+1]) * 256;
  338.     __ret_lo_hi = ord(b[t+2]) * 65536;
  339.     __ret_hi_hi = ord(b[t+3]) * 16777216;
  340.   }
  341.   else {
  342.     __ret_lo_lo = ord(b[t+3]);
  343.     __ret_hi_lo = ord(b[t+2]) * 256;
  344.     __ret_lo_hi = ord(b[t+1]) * 65536;
  345.     __ret_hi_hi = ord(b[t]) * 16777216;
  346.   }
  347.   __ret = __ret_hi_hi + __ret_lo_hi + __ret_hi_lo + __ret_lo_lo;
  348.   return (__ret);
  349. }
  350.  
  351. function load_short(b, t)
  352. {
  353.   if (little_endian) {
  354.     __ret_lo = ord(b[t]);
  355.     __ret_hi = ord(b[t+1]) * 256;
  356.   }
  357.   else {
  358.     __ret_lo = ord(b[t+1]);
  359.     __ret_hi = ord(b[t]) * 256;
  360.   }
  361.   __ret = __ret_hi + __ret_lo;
  362.   return (__ret);
  363. }
  364.  
  365. function load_short_le(b, t)
  366. {
  367.   __ret_lo = ord(b[t]);
  368.   __ret_hi = ord(b[t+1]) * 256;
  369.   __ret  = __ret_hi + __ret_lo;
  370.   return (__ret);
  371. }
  372.  
  373. function load_short_be(b, t)
  374. {
  375.   __ret_lo = ord(b[t+1]);
  376.   __ret_hi = ord(b[t]) * 256;
  377.   __ret  = __ret_hi + __ret_lo;
  378.   return (__ret);
  379. }
  380.  
  381. #
  382. # Extract UUID from buffer
  383. #
  384.  
  385. function load_uuid_le(b, t)
  386. {
  387.   __ret = "";
  388.   for (__i = 0; __i < 16; __i = __i + 1) {
  389.     # ouch, would drop zero bytes without raw_string
  390.     __ret = string(__ret, raw_string(ord(b[t + __i])));
  391.   }
  392.   return (__ret);
  393. }
  394.  
  395. function load_uuid(b, t)
  396. {
  397.   __ret = "";
  398.   if (little_endian) {
  399.     __ret = load_uuid_le(b:b, t:t);
  400.   }
  401.   else {
  402.     __ret = string(__ret,
  403.     raw_string(ord(b[t + 3])), raw_string(ord(b[t + 2])),
  404.     raw_string(ord(b[t + 1])), raw_string(ord(b[t])),
  405.     raw_string(ord(b[t + 5])), raw_string(ord(b[t + 4])),
  406.     raw_string(ord(b[t + 7])), raw_string(ord(b[t + 6])));
  407.     for (__i = 8; __i < 16; __i = __i + 1) {
  408.       __ret = string(__ret, raw_string(ord(b[t + __i])));
  409.     }
  410.   }
  411.   return (__ret);
  412. }
  413.  
  414. #
  415. # Extract string from buffer
  416. # Unprintable characters are replaced with ?
  417. #
  418.  
  419. function load_string(b, t, l)
  420. {
  421.   __ret = "";
  422.   for (__i = 0; __i < l; __i = __i + 1) {
  423.     __c = ord(b[t + __i]);
  424.     if (__c == 0) return (__ret);
  425.     if ((__c < 32) || (__c > 127)) {
  426.       __ret = string(__ret, "?");
  427.     } else {
  428.       __ret = string(__ret, raw_string(__c));
  429.     }
  430.   }
  431.   return (__ret);
  432. }
  433.  
  434. #
  435. # Parse a response to an enumeration request
  436. #
  437.  
  438. function dce_parse(result)
  439. {
  440.   # Check whether we got RESPONSEPACKET
  441.   if (ord(result[2]) != 0x02) {
  442.     return (-1);
  443.   }
  444.  
  445.   # Update the context handle
  446.   hndatr = load_long(b:result, t:24);
  447.   handle = load_uuid(b:result, t:28);
  448.  
  449.   # Skip:
  450.   #   common DCE header (16 bytes)
  451.   #   alloc_hint, p_cont_id, cancel_count, padding (8 bytes)
  452.   #   context_handle.attributes (4 bytes)
  453.   #   context_handle.uuid (16 bytes)
  454.   #   num_elts (4 bytes) (should check != 0?)
  455.   #   "something" (36 bytes)
  456.   p = 84;
  457.  
  458.   # Annotation
  459.   tint = load_long(b:result, t:p);
  460.   p = p + 4;
  461.   if (tint > 64) {
  462.     return (-1);
  463.   }
  464.   annotation = load_string(b:result, t:p, l:tint);
  465.   p = p + tint;
  466.   while (p % 4 != 0) p = p + 1;
  467.  
  468.   # Skip tower lengths
  469.   p = p + 8;
  470.  
  471.   # Number of floors
  472.   floors = load_short_le(b:result, t:p);
  473.   p = p + 2;
  474.  
  475.   guid = "";
  476.   majver = "???";
  477.   proto = "???";
  478.   ncaproto = "???";
  479.   ncahost = "???";
  480.   ncaport = "???";
  481.   ncaunk = ""; # for undecoded floors
  482.  
  483.   # Analyze floors
  484.   for (floor = 1; floor <= floors; floor = floor + 1)
  485.   {
  486.     # Sanity check
  487.     if (p >= strlen(result) - 4) {
  488.       return (-1);
  489.     }
  490.  
  491.     # Floor part #1 (protocol identifier)
  492.     tint = load_short_le(b:result, t:p);
  493.     p = p + 2;
  494.     addr_type = ord(result[p]);
  495.     addr_data = string_from_buffer(b:result, start:p+1, end:p+tint-2);
  496.     if (floor == 1) {
  497.       # expecting addr_type == 0x0d (UUID_type_identifier), tint == 19
  498.       guid = load_uuid_le(b:result, t:p + 1);
  499.       guid = struuid(uuid:guid);
  500.       majver = load_short_le(b:result, t:p + 17);
  501.     }
  502.     p = p + tint;
  503.  
  504.     # Floor part #2 (related information)
  505.     tint = load_short_le(b:result, t:p);
  506.     p = p + 2;
  507.     # skip floors 1-3, expected contents:
  508.     #   floor #1: interface UUID (see above)
  509.     #   floor #2: transfer syntax UUID
  510.     #   floor #3: RPC connection-oriented/connectionless
  511.     if (floor > 3) {
  512.       decoded = 0;
  513.       if (addr_type == 0x01) {
  514.         # nonstandard NetBIOS name (string)
  515.         ncahost = "{0x01}" + load_string(b:result, t:p, l:tint);
  516.         decoded = 1;
  517.       }
  518.       if (addr_type == 0x07) {
  519.         # TCP port (2 bytes)
  520.         proto = "tcp";
  521.         ncaproto = "ncacn_ip_tcp:";
  522.         ncaport = load_short_be(b:result, t:p);
  523.         decoded = 1;
  524.       }
  525.       if (addr_type == 0x08) {
  526.         # UDP port (2 bytes)
  527.         proto = "udp";
  528.         ncaproto = "ncadg_ip_udp:";
  529.         ncaport = load_short_be(b:result, t:p);
  530.         decoded = 1;
  531.       }
  532.       if (addr_type == 0x09) {
  533.         # IP address (4 bytes)
  534.         ncahost = string(
  535.             ord(result[p]), ".", ord(result[p+1]), ".",
  536.             ord(result[p+2]), ".", ord(result[p+3]));
  537.         decoded = 1;
  538.       }
  539.       if (addr_type == 0x0f) {
  540.         # named pipe path (string)
  541.         proto = "PIPE";
  542.         ncaproto = "ncacn_np:";
  543.         ncaport = load_string(b:result, t:p, l:tint);
  544.         decoded = 1;
  545.       }
  546.       if (addr_type == 0x10) {
  547.         # LRPC port (string)
  548.         proto = "LRPC";
  549.         ncaproto = "ncalrpc";
  550.         ncahost = "";
  551.         ncaport = load_string(b:result, t:p, l:tint);
  552.         decoded = 1;
  553.       }
  554.       if (addr_type == 0x11) {
  555.         # NetBIOS name (string)
  556.         ncahost = load_string(b:result, t:p, l:tint);
  557.         decoded = 1;
  558.       }
  559.       if (addr_type == 0x16) {
  560.         # Appletalk DSP port (string)
  561.         proto = "APPLE-DSP";
  562.         ncaproto = "ncacn_at_dsp";
  563.         ncaport = load_string(b:result, t:p, l:tint);
  564.         decoded = 1;
  565.       }
  566.       if (addr_type == 0x17) {
  567.         # Appletalk DDP port (string?)
  568.         proto = "APPLE-DDP";
  569.         ncaproto = "ncadg_at_ddp";
  570.         ncaport = load_string(b:result, t:p, l:tint);
  571.         decoded = 1;
  572.       }
  573.       if (addr_type == 0x18) {
  574.         # Appletalk name (string)
  575.         ncahost = load_string(b:result, t:p, l:tint);
  576.         decoded = 1;
  577.       }
  578.       if (addr_type == 0x1f) {
  579.         # HTTP port (2 bytes)
  580.         proto = "tcp";
  581.         ncaproto = "ncacn_http:";
  582.         ncaport = load_short_be(b:result, t:p);
  583.         decoded = 1;
  584.       }
  585.       # seen in the wild, to be identified:
  586.       # - 0x0c (2 bytes)    broken IPX?
  587.       # - 0x0d (10 bytes)   broken IPX? (collision with UUID)
  588.       if (!decoded) {
  589.         ncaunk = string(
  590.             ncaunk, "{", hex(addr_type), "}", addr_data, ":",
  591.             string_from_buffer(b:result, start:p, end:p+tint-1));
  592.       }
  593.     }
  594.     p = p + tint;
  595.   }
  596.  
  597.   # Found a service
  598.   if (guid) {
  599.     report = report + string(
  600.         "     UUID: ", guid, ", version ", majver, "\n");
  601.     if (proto != "???")
  602.       report = report + string(
  603.         "     Endpoint: ", ncaproto, ncahost, "[", ncaport, "]\n");
  604.     if (ncaunk)
  605.       report = report + string(
  606.         "     Undecoded endpoint data: ", ncaunk, "\n");
  607.     if (annotation)
  608.       report = report + string(
  609.         "     Annotation: ", annotation, "\n");
  610.  
  611.     if ( rpc_svc_pipes[guid] ) 
  612.     report += string("     Named pipe : ", rpc_svc_pipes[guid], "\n");
  613.  
  614.     if ( rpc_svc_processes[guid] ) 
  615.     report += string("     Win32 service or process : ", rpc_svc_processes[guid], "\n");
  616.  
  617.     if ( rpc_svc_name[guid] ) 
  618.     report += string("     Description : ", rpc_svc_name[guid], "\n");
  619.  
  620.  
  621.     if ((proto == "udp") || (proto == "tcp"))
  622.     {
  623.     if(proto == "tcp")
  624.         {
  625.         register_service(port:ncaport, proto:string("DCE/", guid));
  626.         all_report_tcp[ncaport] += report + '\n';
  627.         }
  628.     else
  629.         all_report_udp[ncaport] += report + '\n';
  630.     }
  631.     else all_report_135 += report + '\n';
  632.     return (1);
  633.   }
  634.  
  635.   return (0);
  636. }
  637.  
  638. #
  639. # Receive a DCE message
  640. # this is much faster than recv(..., length:4096)
  641. #
  642.  
  643. function read_dce_pdu(sock)
  644. {
  645.   # Read response header
  646.   __r0 = recv(socket:sock, length:16);
  647.  
  648.   # Check length
  649.   if (strlen(__r0) != 16) {
  650.     return ("");
  651.   }
  652.  
  653.   # Check endianness
  654.   if (ord(__r0[4]) & 0xF0 == 0x10)
  655.     little_endian = 1;
  656.   else
  657.     little_endian = 0;
  658.  
  659.   # Extract fragment length and read the rest
  660.   __r1len = load_short(b:__r0, t:8) - 16;
  661.   __r1 = recv(socket:sock, length:__r1len);
  662.  
  663.   # Check length
  664.   if (strlen(__r1) != __r1len) {
  665.     return ("");
  666.   }
  667.  
  668.   # Concatenate the results...the safe way
  669.   __r = "";
  670.   for (__i = 0; __i < 16; __i = __i + 1)
  671.     __r = string(__r, raw_string(ord(__r0[__i])));
  672.   for (__i = 0; __i < __r1len; __i = __i + 1)
  673.     __r = string(__r, raw_string(ord(__r1[__i])));
  674.  
  675.   return (__r);
  676. }
  677.  
  678.  
  679. #---------------------------------------------------------------------#
  680.  
  681. #
  682. # The main program
  683. #
  684.  
  685. zero_handle = raw_string
  686.     (0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  687.      0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00);
  688.  
  689. handle = zero_handle;
  690.     
  691. if (get_port_state(135))
  692. {    
  693.   all_report_tcp = make_list();
  694.   all_report_udp = make_list();
  695.  
  696.   soc = open_sock_tcp(135);
  697.   if (!soc) exit(0);
  698.  
  699.   enum = 0;
  700.  
  701.   send(socket:soc, data:dce_bind());
  702.   r = read_dce_pdu(sock:soc);
  703.   if (strlen(r) < 60) exit(0); # bad reply length
  704.  
  705.   for (x = 0; x < 4096; x = x + 1)
  706.   {
  707.     send(socket:soc, data:dce_enum_get_next(callid:x, handle:handle));
  708.     r = read_dce_pdu(sock:soc);
  709.     if (strlen(r) <= 65) {
  710.       # finished
  711.       x = 4096;
  712.     }
  713.     else {
  714.       dce_parse(result:r);
  715.       enum = enum + 1;
  716.       if (handle == zero_handle) {
  717.         # finished
  718.         x = 4096;
  719.       }
  720.     }
  721.   }
  722.   close(soc);
  723.   if (enum) security_warning(135);
  724.  
  725.  
  726.   myprereport = string("Distributed Computing Environment (DCE) services running on the remote host
  727. can be enumerated by connecting on port 135 and doing the appropriate queries.
  728.  
  729. An attacker may use this fact to gain more knowledge
  730. about the remote host.
  731.  
  732.  
  733. Here is the list of DCE services running on this port:\n\n");
  734.  
  735.  
  736. mypostreport = string("
  737.  
  738. Solution : filter incoming traffic to this port.
  739. Risk factor : Low");
  740.  
  741.  
  742.  
  743.  
  744.  
  745.   if(!isnull(all_report_tcp))
  746.   {
  747.       foreach port (keys(all_report_tcp))
  748.         security_note(port:port, data:myprereport + all_report_tcp[port] + mypostreport);
  749.   }
  750.  
  751.   if(!isnull(all_report_udp))
  752.   {
  753.       foreach port (keys(all_report_udp))
  754.         security_note(port:port, data:myprereport + all_report_udp[port] + mypostreport, proto:"udp");
  755.  }
  756.   if(all_report_135 != NULL)
  757.     security_note(port:135, data:myprereport + all_report_135 + mypostreport);
  758.  
  759. }
  760.  
  761.