esta informacion no es mia, pero por etica no puedo revelar la fuente....
espero les sirva de algo
El 17-03-2003 salía a la luz un fallo en el archivo ntdll.dll del WebDAV que afectaba al IIS5, este fallo permite abrir una shell con permisos de system en el sistema afectado. Es decir posiblemente estamos ante un nuevo "unicode-cgi decode", es decir una nueva oleada de servidores IIS5 hackeados. Por eso vamos a recapitular sobre lo que tenemos hasta ahora, y seguiremos muy de cerca este tema.
Información oficial
En primer lugar la noticia del fallo en CERT:
Para ver este enlace Registrate o Inicia Sesion Por supuesto tambien la notificación y el parche de Microsoft:
Para ver este enlace Registrate o Inicia SesionPosiblemente no sepas que es esto del WebDAV aquí tienes el rfc sobre el tema:
Para ver este enlace Registrate o Inicia Sesion Documentación
Como es lógico ya ha surgido algun documento sobre el tema:
Para ver este enlace Registrate o Inicia Sesion Texto muy interesante, escrito por XpyXt, creador del Scan WebDAV
Para ver este enlace Registrate o Inicia Sesion del bug webdav.pdf
Scanners
Ya están fuera los primeros scanners.
-Scanners de WebDAV´s activos (no de la vulnerabilidad)
finger.pl:
Para ver este enlace Registrate o Inicia Sesion WebDAVScan:
Para ver este enlace Registrate o Inicia Sesion -Scanners de servidores vulnerables:
PTwebdav:
Para ver este enlace Registrate o Inicia SesionScan WebDAV:
Para ver este enlace Registrate o Inicia Sesionwebdav.xpn: plugin para el x-scan
Para ver este enlace Registrate o Inicia Sesion webdavin: kit para explotar el webdav
Para ver este enlace Registrate o Inicia SesionKaHt: Muy buen kit para explotar el webdav
Para ver este enlace Registrate o Inicia Sesion Exploits:
Se han publicado varios exploits, pero hay serias dudas de que la mayoría no funcionen en la mayoría de los sistemas vulnerables:
rs_iis.c: Exploit escrito por RoMaNSoFt, hasta la fecha es el único que parece funcionar realmente
Para ver este enlace Registrate o Inicia SesionDebido a las características de la vulnerabilidad, los parámetros entre un servidor y otro pueden variar. Esta es la explicación que RoMaNSoFt da en su web:
El exploit requiere adivinar la dirección de retorno (RET) correcta para que el exploit tenga éxito, en cuyo caso se obtendrá una shell remota (cmd.exe) en un puerto especificado (por defecto, 31337). Para lograrlo, basta con utilizar fuerza bruta e ir probando los 255 valores posibles (es un único byte el que vamos cambiando y no se pueden utilizar bytes nulos, luego el rango posible es 0x01-0xff). El valor de RET se compone del byte anterior (variable) + un byte fijo. Por razones de alineamiento, es posible que dichos bytes se inviertan, pasando el byte más significativo a ser el de menor peso y al contrario. Para solucionar este problema, basta con igualar lo que antes era el byte fijo al byte variable, es decir, usar valores de RET simétricos: 0x0101, 0x0202, ..., 0x0909, 0x0a0a, 0x0b0b, ..., 0xffff. El script rs_brute.sh implementa dicho ataque.
Con el archivo rs_brute.sh nos evitamos esta labor:
Para ver este enlace Registrate o Inicia Sesion En este texto se demuestra el funcionamiento del exploit rs_iis.c
Para ver este enlace Registrate o Inicia Sesion wd.pl:
Para ver este enlace Registrate o Inicia SesionwebdavIIS50.pl:
Para ver este enlace Registrate o Inicia Sesion linux-wb.c:
Para ver este enlace Registrate o Inicia Sesionwb.exe: el anterior ya compilado
Para ver este enlace Registrate o Inicia Sesion xwbf-v0.3.exe: basado en el wb.c, con interfaz gráfico. Ahora la versión 0.3
Para ver este enlace Registrate o Inicia Sesion webdavx.pl: Parece que está pensado para la versión china del Win2k SP2, SP3
Para ver este enlace Registrate o Inicia SesionWebDavX3: Otro exploit para Windows.
Para ver este enlace Registrate o Inicia Sesion Xnuxer.c: Otro exploit en C.
Para ver este enlace Registrate o Inicia Sesion Otros:
rs_iis_xpl.pl: Es un exploit contra el rs_iis.c, abre un servidor web en la máquina local y si se recibe un ataque con el rs_iis.c, conseguirá una shell en la máquina atacante.
Para ver este enlace Registrate o Inicia Sesion regexploit.c: Exploit/troyano que crea un archivo .reg que al ser ejecutado descarga y ejecuta un troyano, para ello aprobecha el mismo fallo que el WebDAV, es decir, otra forma de utilizar el fallo del ntdll.dll.
Para ver este enlace Registrate o Inicia SesionTexto escrito por CyruxNET
Para ver este enlace Registrate o Inicia Sesion 
Autor