Уязвимы все Windows системы.. exploit под винду (биндит 4444 порт) http://milw0rm.com/sploits/2008-MS08-067.rar сканер на уязвимость по диапазону http://www.securitylab.ru/analytics/362523.php [23/11/2008] Вот уже и MSF 3.2 вышла полная, качаем по выбору Windows, Linux. Внутри рабочий и полный сплоит. Все виндовсы на автомате ломаются проверяем....
нашел способ сделать нормальную вещь, но нужен программер на Ruby значит в MetasploitFramework была такая уязвимость в базе Microsoft CanonicalizePathName() MSO6-040 Overflow, она использует ту же функц. при вызове RPC что и новый сплоит NetpwPathCanonicalize в службе Сервер. вызов который нужен для переполнения, С: _NetprPathCanonicalize(handle, L”AAA”, L”.\\\\x\\..\\..\\xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx”, x, 1000, L”", &q, 1); после переполнения будет 1000 рабочих байт (пойдет любой шеллкод) вот статья на англ.: http://www.dontstuffbeansupyournose.com/ собственно то и нужно его организовать на Ruby дописав либо изменив вызов RPC в сплоите CanonicalizePathName() MSO6-040 пакета MetasploitFramework (www.metasploit.com) вот пару ссылок на возможные сплоиты: (но нужен логин на immunityinc.com) Windows 2000 https://www.immunityinc.com/downloads/immpartners/ms08_067.tgz https://www.immunityinc.com/downloads/immpartners/ms08_067-2.tgz Windows XP SP3 https://www.immunityinc.com/downloads/immpartners/ms08_067-3.tgz кто что находит складываем в тему
Добавлю ещё пару интересных ссылок по теме Декомпилированный код уязвимой функции из netapi32.dll, способствует пониманию сути уязвимости: http://www.phreedom.org/blog/2008/decompiling-ms08-067/ вот ещё интересное чтиво: http://secureblog.info/articles/364.html Кстати PoC (http://milw0rm.com/sploits/2008-ms08-067.zip) мне удалось скомпилить и запустить, но увы, он не сработал у меня (возможно из-за того что компилировал на Висте и натравливал на XP...) вернул RPC_S_CALL_FAILED =( Возможно у кого-то есть Gimmiv.A со всеми DLL файлами? Или хотя бы basesvc.dll? Потому что в интернете получилось найти лиш дропер, в котором нет кода, эксплуатирующего данную уязвимость.
+1 вполне реально что Gimmiv.A в библиотеках экспортирует ф-цию которая отправляет вызов RPC ищю вирь... вот еще тема поиска backtrack's remote-exploit forum
прекрастно сработал на моей пропатченой висте и XP SP3 заBSODил под linux wine ethersoft 1.0.9 не может создать запрос, не хватает библиотек (
странно... у меня в локалке на нескольких тачках небыло эффекта, но служба вылетала почти всегда после первого запуска может я и фигню скажу, но... ты после того как сплоит используеш, на порт 4444 подсоединяешся ? netcat [IP] 4444 Сцыль или telnet [IP] 4444
гг.. ) у кого кроме меня работает? проверил на: Windows XP SP3 32 bit RUS результат DoS Windows Vista Home Basic 32 bit RUS результат DoS Windows 2003 результ коммандная строка ваще в идеале для сработки нужен общий доступ к файлам и принтерам и выключенный фаер
Тестил на работе результаты такие: 1) 3 машины с Win 2003 RUS (постоянные обновления)- никакой реакции 2) 3 машины с Win XP SP2 RUS (без обновлений)- никакой реакции 3) 2 машины с Win XP SP3 RUS (постоянные обновления)- никакой реакции Тестил дома: 1) Win 2003 ENG (без обновлений)- никакой реакции. 2) Win XP SP 2 на виртуалке (без обновлений) - никакой реакции Везде писалось maybe patched!
на двух maybe patched на одной тачке написало: SMB Connect OK! RpcExceptionCode() = 5 хотя к сожалению я не могу щас посмотерть что с сан саныча тачкой , он ушел куда-то
XP SP2 без реакции в любой конфигурации (( какой то не особо универсальный сплоит на milw0rm выложыли
час назад HDmore на блоге Twitter затрещял про https://metasploit.com/ms08_067_netapi.rb типо новый PoC модуль на MSF 3.1 пытаюсь скачать... google еще не прокешировал... на twitter зайти можно только с хорошым проксиком пишет: доступно http://metasploit.com/dev/trac/changeset/5798 скоро появится на milw0rm.com
сплоит на metasploit.com сырой до ужаса.. нужно ручками дописать несколько неизвестных строк )) сейчас пробую запускать вставив строчки из ms06_040_netapi
