home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / lib / nessus / plugins / messenger_ms03-043.nasl < prev    next >
Text File  |  2005-01-14  |  10KB  |  334 lines
  1. #
  2. # This script is (C) Tenable Network Security
  3. # 10/22/2003 updated by KK Liu 10/22/2003
  4. #     - check messenger service, if not on - exit
  5. #    - check Windows OS 
  6. #
  7.  
  8. if(description)
  9. {
  10.  script_id(11890);
  11.  script_bugtraq_id(8826);
  12.  if(defined_func("script_xref"))script_xref(name:"IAVA", value:"2003-A-0028");
  13.  script_version("$Revision: 1.11 $");
  14.  script_cve_id("CAN-2003-0717");
  15.  
  16.  name["english"] = "Buffer Overrun in Messenger Service (real test)";
  17.  
  18.  script_name(english:name["english"]);
  19.  
  20.  desc["english"] = "
  21. A security vulnerability exists in the Messenger Service that could allow 
  22. arbitrary code execution on an affected system. An attacker who successfully 
  23. exploited this vulnerability could be able to run code with Local System 
  24. privileges on an affected system, or could cause the Messenger Service to fail.
  25. Disabling the Messenger Service will prevent the possibility of attack. 
  26.  
  27. This plugin actually checked for the presence of this flaw.
  28.  
  29. Solution : see http://www.microsoft.com/technet/security/bulletin/ms03-043.mspx
  30.  
  31. Risk factor : High";
  32.  
  33.  script_description(english:desc["english"]);
  34.  
  35.  summary["english"] = "Checks for hotfix Q828035";
  36.  
  37.  script_summary(english:summary["english"]);
  38.  
  39.  script_category(ACT_GATHER_INFO);
  40.  
  41.  script_copyright(english:"This script is Copyright (C) 2003 Tenable Network Security");
  42.  family["english"] = "Windows";
  43.  script_family(english:family["english"]);
  44.  exit(0);
  45. }
  46.  
  47. #
  48. # The idea is to send a malformed message to the remote RPC
  49. # messenger service.
  50. # If the service is installed we receive an error message in return
  51. # If the service is not installed, we receive a RPC unknown_if message
  52. #
  53. # Nothing gets printed on the remote screen.
  54. # 
  55. # check messenger service, if not on - exit
  56.  
  57. debug = 0;
  58.  
  59. #if(!get_kb_item("SMB/messenger")) 
  60. #{
  61. #    if (debug) display("Messenger Service disabled!\n");
  62. #    exit(0);
  63. #}
  64.  
  65. function dcom_recv(socket)
  66. {
  67.  local_var buf, len;
  68.  
  69.  buf = recv(socket:socket, length:9);
  70.  if(strlen(buf) != 9)return NULL;
  71.  
  72.  len = ord(buf[8]);
  73.  buf += recv(socket:socket, length:len - 9);
  74.  return buf;
  75. }
  76.  
  77. function check_win9xme()
  78. {
  79.     chk[3] = raw_string (0x02,0x00,0x01,0x00);
  80.  
  81.     bindwinme = raw_string(
  82.     0x05,0x00,0x0b,0x03,0x10,0x00,0x00,0x00,0x48,0x00,0x00,0x00,0x53,0x53,0x56,0x41,
  83.     0xd0,0x16,0xd0,0x16,0x00,0x00,0x00,0x00,0x01,0x00,0x00,0x00,0x00,0x00,0x01,0x00,
  84.     0xe6,0x73,0x0c,0xe6,0xf9,0x88,0xcf,0x11,0x9a,0xf1,0x00,0x20,0xaf,0x6e,0x72,0xf4,
  85.     0x02,0x00,0x00,0x00,0x04,0x5d,0x88,0x8a,0xeb,0x1c,0xc9,0x11,0x9f,0xe8,0x08,0x00,
  86.     0x2b,0x10,0x48,0x60,0x02,0x00,0x00,0x00
  87.     );
  88.  
  89.     soc = open_sock_tcp(port);
  90.     if(soc)
  91.     {
  92.         send(socket:soc,data:bindwinme);
  93.             rwinme  = dcom_recv(socket:soc);
  94.             if(!strlen(rwinme))exit(0);
  95.         lenwinme = strlen(rwinme);
  96.         stubwinme = substr(rwinme, lenwinme-24, lenwinme-21);
  97.         if (debug)
  98.         {
  99.             display('len = ', lenwinme, '\n');
  100.             display('stub  = ', hexstr(stubwinme), '\n');
  101.             display('r = ', hexstr(rwinme), '\n');
  102.         }
  103.         if (stubwinme >< chk[3])
  104.         {
  105.             if (debug) display("Windows 95/98/ME not affected!\n");
  106.             exit(0);
  107.         }
  108.         close(soc);
  109.     }
  110.     else exit(0);
  111. }
  112.  
  113.  
  114. function check_XP()
  115. {
  116.     bindxp = raw_string( 
  117.     0x05, 0x00, 0x0b, 0x03, 0x10, 0x00, 0x00, 0x00,
  118.     0xcc, 0x00, 0x00, 0x00, 0x84, 0x67, 0xbe, 0x18,
  119.     0x31, 0x14, 0x5c, 0x16, 0x00, 0x00, 0x00, 0x00,
  120.     0x04, 0x00, 0x00, 0x00, 0x01, 0x00, 0x01, 0x00,
  121.     0xb8, 0x4a, 0x9f, 0x4d, 0x1c, 0x7d, 0xcf, 0x11,
  122.     0x86, 0x1e, 0x00, 0x20, 0xaf, 0x6e, 0x7c, 0x57,
  123.     0x00, 0x00, 0x00, 0x00, 0x04, 0x5d, 0x88, 0x8a,
  124.     0xeb, 0x1c, 0xc9, 0x11, 0x9f, 0xe8, 0x08, 0x00,
  125.     0x2b, 0x10, 0x48, 0x60, 0x02, 0x00, 0x00, 0x00,
  126.     0x02, 0x00, 0x01, 0x00, 0xa0, 0x01, 0x00, 0x00,
  127.     0x00, 0x00, 0x00, 0x00, 0xc0, 0x00, 0x00, 0x00,
  128.     0x00, 0x00, 0x00, 0x46, 0x00, 0x00, 0x00, 0x00,
  129.     0x04, 0x5d, 0x88, 0x8a, 0xeb, 0x1c, 0xc9, 0x11,
  130.     0x9f, 0xe8, 0x08, 0x00, 0x2b, 0x10, 0x48, 0x60,
  131.     0x02, 0x00, 0x00, 0x00, 0x03, 0x00, 0x01, 0x00,
  132.     0x0a, 0x42, 0x24, 0x0a, 0x00, 0x17, 0x21, 0x41,
  133.     0x2e, 0x48, 0x01, 0x1d, 0x13, 0x0b, 0x04, 0x4d,
  134.     0x00, 0x00, 0x00, 0x00, 0x04, 0x5d, 0x88, 0x8a,
  135.     0xeb, 0x1c, 0xc9, 0x11, 0x9f, 0xe8, 0x08, 0x00,
  136.     0x2b, 0x10, 0x48, 0x60, 0x02, 0x00, 0x00, 0x00,
  137.     0x04, 0x00, 0x01, 0x00, 0xb0, 0x01, 0x52, 0x97,
  138.     0xca, 0x59, 0xcf, 0x11, 0xa8, 0xd5, 0x00, 0xa0,
  139.     0xc9, 0x0d, 0x80, 0x51, 0x00, 0x00, 0x00, 0x00,
  140.     0x04, 0x5d, 0x88, 0x8a, 0xeb, 0x1c, 0xc9, 0x11,
  141.     0x9f, 0xe8, 0x08, 0x00, 0x2b, 0x10, 0x48, 0x60,
  142.     0x02, 0x00, 0x00, 0x00 );
  143.     
  144.     
  145.     req = raw_string (
  146.     0x05, 0x00, 0x00, 0x03, 0x10, 0x00, 0x00, 0x00,
  147.     0xaa, 0x00, 0x00, 0x00, 0x41, 0x41, 0x41, 0x41,
  148.     0x80, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,
  149.     0x05, 0x00, 0x06, 0x00, 0x00, 0x00, 0x00, 0x00,
  150.     0x00, 0x00, 0x00, 0x00, 0x28, 0x63, 0x29, 0x20,
  151.     0x75, 0x65, 0x72, 0x84, 0x20, 0x73, 0x73, 0x53,
  152.     0x20, 0x82, 0x80, 0x67, 0x00, 0x00, 0x00, 0x00,
  153.     0x80, 0x1d, 0x94, 0x5e, 0x96, 0xbf, 0xcd, 0x11,
  154.     0xb5, 0x79, 0x08, 0x00, 0x2b, 0x30, 0xbf, 0xeb,
  155.     0x01, 0x00, 0x00, 0x00, 0x10, 0x00, 0x00, 0x00,
  156.     0x00, 0x00, 0x00, 0x00, 0x10, 0x00, 0x00, 0x00,
  157.     0x5c, 0x00, 0x5c, 0x00, 0x41, 0x00, 0x00, 0x00,
  158.     0x41, 0x00, 0x41, 0x00, 0x5c, 0x00, 0x43, 0x00,
  159.     0x24, 0x00, 0x5c, 0x00, 0x41, 0x00, 0x2e, 0x00,
  160.     0x74, 0x00, 0x78, 0x00, 0x74, 0x00, 0x00, 0x00,
  161.     0x00, 0x00, 0x00, 0x00, 0x02, 0x00, 0x00, 0x00,
  162.     0xff, 0xff, 0xff, 0xff, 0x01, 0x00, 0x00, 0x00,
  163.     0x58, 0x73, 0x0b, 0x00, 0x01, 0x00, 0x00, 0x00,
  164.     0x31, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  165.     0xc0, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x46,
  166.     0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,
  167.     0x07, 0x00 );
  168.  
  169.  
  170.  
  171.  
  172.     soc = open_sock_tcp(port);
  173.     if(soc)
  174.     {
  175.         send(socket:soc,data:bindxp);
  176.         recv  = dcom_recv(socket:soc);
  177.         if(!strlen(recv))exit(0);
  178.         send(socket:soc,data:req);
  179.         recv  = dcom_recv(socket:soc);
  180.         if(!strlen(recv))exit(0);
  181.              
  182.         len = strlen(recv);
  183.         if (debug)
  184.         {
  185.             display('len = ', len, '\n');
  186.         }
  187.         if (len == 32)
  188.         {
  189.             if (debug) display("Windows XP found!\n");
  190.             close(soc);
  191.             return (1);
  192.         }
  193.         close(soc);
  194.         return (0);
  195.     }
  196.     else exit(0);
  197. }
  198.  
  199. function check_NT2K()
  200. {
  201.     bindNT2K = raw_string( 
  202.     0x05,0x00,0x0B,0x03,0x10,0x00,0x00,0x00,0x48,0x00,
  203.     0x00,0x00,0x7F,0x00,0x00,0x00,0xD0,0x16,0xD0,0x16,0x00,0x00,0x00,0x00,0x01,0x00,
  204.     0x00,0x00,0x01,0x00,0x01,0x00,0xA0,0x01,0x00,0x00,0x00,0x00,0x00,0x00,0xC0,0x00,
  205.     0x00,0x00,0x00,0x00,0x00,0x46,0x00,0x00,0x00,0x00,0x04,0x5D,0x88,0x8a,0xEB,0x1C,
  206.     0xC9,0x11,0x9F,0xE8,0x08,0x00,0x2B,0x10,0x48,0x60,0x02,0x00,0x00,0x00);
  207.     
  208.     
  209.     req = raw_string (
  210.     0x05, 0x00, 0x00, 0x03, 0x10, 0x00, 0x00, 0x00,
  211.     0xaa, 0x00, 0x00, 0x00, 0x41, 0x41, 0x41, 0x41,
  212.     0x80, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,
  213.     0x05, 0x00, 0x06, 0x00, 0x00, 0x00, 0x00, 0x00,
  214.     0x00, 0x00, 0x00, 0x00, 0x28, 0x63, 0x29, 0x20,
  215.     0x75, 0x65, 0x72, 0x84, 0x20, 0x73, 0x73, 0x53,
  216.     0x20, 0x82, 0x80, 0x67, 0x00, 0x00, 0x00, 0x00,
  217.     0x80, 0x1d, 0x94, 0x5e, 0x96, 0xbf, 0xcd, 0x11,
  218.     0xb5, 0x79, 0x08, 0x00, 0x2b, 0x30, 0xbf, 0xeb,
  219.     0x01, 0x00, 0x00, 0x00, 0x10, 0x00, 0x00, 0x00,
  220.     0x00, 0x00, 0x00, 0x00, 0x10, 0x00, 0x00, 0x00,
  221.     0x5c, 0x00, 0x5c, 0x00, 0x41, 0x00, 0x00, 0x00,
  222.     0x41, 0x00, 0x41, 0x00, 0x5c, 0x00, 0x43, 0x00,
  223.     0x24, 0x00, 0x5c, 0x00, 0x41, 0x00, 0x2e, 0x00,
  224.     0x74, 0x00, 0x78, 0x00, 0x74, 0x00, 0x00, 0x00,
  225.     0x00, 0x00, 0x00, 0x00, 0x02, 0x00, 0x00, 0x00,
  226.     0xff, 0xff, 0xff, 0xff, 0x01, 0x00, 0x00, 0x00,
  227.     0x58, 0x73, 0x0b, 0x00, 0x01, 0x00, 0x00, 0x00,
  228.     0x31, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  229.     0xc0, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x46,
  230.     0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,
  231.     0x07, 0x00 );
  232.  
  233.  
  234.     soc = open_sock_tcp(port);
  235.     if(soc)
  236.     {
  237.         send(socket:soc,data:bindNT2K);
  238.         recv  = dcom_recv(socket:soc);
  239.         if(!strlen(recv))exit(0);
  240.         send(socket:soc,data:req);
  241.         recv  = dcom_recv(socket:soc);
  242.         if(!strlen(recv))exit(0);
  243.              
  244.         len = strlen(recv);
  245.         if (debug)
  246.         {
  247.             display('len = ', len, '\n');
  248.         }
  249.         if (len == 32)
  250.         {
  251.             if (debug) display("Windows NT found! Probe not avaiable yet!\n");
  252.             close(soc);
  253.             #exit(0);
  254.         return (1);
  255.         }
  256.         else
  257.         {
  258.              if (debug) display("Windows 2000 found!\n");       
  259.         }
  260.         close(soc);
  261.         return (1);
  262.     }
  263.     else exit(0);
  264. }
  265.  
  266. function check_winos()
  267. {
  268.     port = 135;
  269.     if(!get_port_state(port))
  270.     {
  271.      port = 593;
  272.     }
  273.     else
  274.     {
  275.      soc = open_sock_tcp(port);
  276.      if(!soc)port = 593;
  277.      else close(soc);
  278.     }
  279.     
  280.     check_win9xme();
  281.     check_XP();
  282.     check_NT2K();
  283. }
  284.  
  285. function check_rpc_serv()
  286. {
  287. seq1 = rand() % 256;
  288. seq2 = rand() % 256;
  289.  
  290.  
  291. sport = 2048 + rand() % 4096;
  292.  
  293. req = raw_string(0x04, 0x00, 0x28, 0x00, 0x10, 0x00, 
  294.     0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  295.     0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  296.     0x00, 0x00, 0xf8, 0x91, 0x7b, 0x5a, 0x00, 0xff,
  297.     0xd0, 0x11, 0xa9, 0xb2, 0x00, 0xc0, 0x4f, 0xb6,
  298.     0xe6, 0xfc, 0x04, 0x00, seq1, seq2, 0x03, 0x04,
  299.     0x05, 0x06, 0x07, 0x08, 0x09, 0x0A, 0x0B, 0x0c,
  300.       0x0d, 0x0e, 0x00, 0x00, 0x00, 0x00, 0x01, 0x00, 
  301.     0x00, 0x00, seq1, seq2, 0x00, 0x00, 0x00, 0x00,
  302.     0xff, 0xff, 0xff, 0xff, 0x34, 0x00, 0x00, 0x00,
  303.     0x00, 0x00, 0x08, 0x00, 0x00, 0x00, 0x00, 0x00,
  304.     0x00, 0x00, 0x08, 0x00, 0x00, 0x00) + "TENABLE" +
  305.     raw_string(0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00,
  306.     0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00,
  307.     0x00, 0x00, 0x03, 0x00, 0x00, 0x00, 0x00, 0x00,
  308.     0x00, 0x00, 0x03, 0x00, 0x00, 0x00) + "tst" + raw_string(0) ;
  309.       
  310.     
  311. ip = forge_ip_packet(ip_hl : 5, ip_v: 4,  ip_tos:0, ip_len:20, ip_id:rand(), ip_off:0, ip_ttl:64, ip_p:IPPROTO_UDP, ip_src:this_host());
  312.  
  313. myudp = forge_udp_packet(ip:ip, uh_sport:sport, uh_dport:135, uh_ulen: 8 + strlen(req), data:req);
  314. filter = 'udp and dst port ' + sport + ' and src host ' + get_host_ip();
  315.  
  316. for(i=0;i<5;i++)
  317. {
  318.  rep = send_packet(myudp, pcap_active:TRUE, pcap_filter:filter, pcap_timeout:1);
  319.  if(rep)
  320.  {
  321.   sport = get_udp_element(udp:rep, element:"uh_sport");
  322.   if ( sport == 135 ) exit(0);
  323.   data = get_udp_element(udp:rep, element:"data");
  324.   code = substr(data, strlen(data) - 4, strlen(data) - 1);
  325.   if("f7060000" >< hexstr(code) || 
  326.      "0300011c" >< hexstr(code)){ security_hole(port:135, proto:"udp"); exit(0);}
  327.   break;
  328.   }
  329.  }
  330. }
  331.  
  332. check_winos();
  333. check_rpc_serv();
  334.