esta informacion no es mia, pero por etica no puedo revelar la fuente....
espero les sirva de algo
El 17-03-2003 salía a la luz un fallo en el archivo ntdll.dll del WebDAV que afectaba al IIS5, este fallo permite abrir una shell con permisos de system en el sistema afectado. Es decir posiblemente estamos ante un nuevo "unicode-cgi decode", es decir una nueva oleada de servidores IIS5 hackeados. Por eso vamos a recapitular sobre lo que tenemos hasta ahora, y seguiremos muy de cerca este tema.
Información oficial
En primer lugar la noticia del fallo en CERT:
http://www.cert.org/advisories/CA-2003-09.html
Por supuesto tambien la notificación y el parche de Microsoft:
http://www.microsoft.com/technet/security/bulletin/ms03-007.asp
Posiblemente no sepas que es esto del WebDAV aquí tienes el rfc sobre el tema:
http://www.ietf.org/rfc/rfc2518.txt
Documentación
Como es lógico ya ha surgido algun documento sobre el tema:
http://www.nextgenss.com/papers/ms03-007-ntdll.pdf
Texto muy interesante, escrito por XpyXt, creador del Scan WebDAV
http://xpyxt.no-ip.com/Exploracion del bug webdav.pdf
Scanners
Ya están fuera los primeros scanners.
-Scanners de WebDAV´s activos (no de la vulnerabilidad)
finger.pl:
http://packetstormsecurity.nl/UNIX/scanners/finder.pl
WebDAVScan:
http://www.cnhonker.net/Down/show.php?id=65&down=1
-Scanners de servidores vulnerables:
PTwebdav:
http://packetstormsecurity.nl/NT/audit/PTwebdav.zip
Scan WebDAV:
http://xpyxt.no-ip.com/nuevo_scan_webdav.htm
webdav.xpn: plugin para el x-scan
http://cyberspirit.isuber1337.com/tools/webdav.xpn.ace
webdavin: kit para explotar el webdav
http://www.securityfocus.com/data/vulnerabilities/exploits/webdavin-1.01.zip
KaHt: Muy buen kit para explotar el webdav
http://www.croulder.com/haxorcitos/KaHt_public.tar.gz
Exploits:
Se han publicado varios exploits, pero hay serias dudas de que la mayoría no funcionen en la mayoría de los sistemas vulnerables:
rs_iis.c: Exploit escrito por RoMaNSoFt, hasta la fecha es el único que parece funcionar realmente
http://www.rs-labs.com/exploitsntools/rs_iis.c
Debido a las características de la vulnerabilidad, los parámetros entre un servidor y otro pueden variar. Esta es la explicación que RoMaNSoFt da en su web:
El exploit requiere adivinar la dirección de retorno (RET) correcta para que el exploit tenga éxito, en cuyo caso se obtendrá una shell remota (cmd.exe) en un puerto especificado (por defecto, 31337). Para lograrlo, basta con utilizar fuerza bruta e ir probando los 255 valores posibles (es un único byte el que vamos cambiando y no se pueden utilizar bytes nulos, luego el rango posible es 0x01-0xff). El valor de RET se compone del byte anterior (variable) + un byte fijo. Por razones de alineamiento, es posible que dichos bytes se inviertan, pasando el byte más significativo a ser el de menor peso y al contrario. Para solucionar este problema, basta con igualar lo que antes era el byte fijo al byte variable, es decir, usar valores de RET simétricos: 0x0101, 0x0202, ..., 0x0909, 0x0a0a, 0x0b0b, ..., 0xffff. El script rs_brute.sh implementa dicho ataque.
Con el archivo rs_brute.sh nos evitamos esta labor:
http://www.rs-labs.com/exploitsntools/rs_brute.sh
En este texto se demuestra el funcionamiento del exploit rs_iis.c
http://www.fatelabs.com/library/fatelabs-ntdll-analysis.pdf
wd.pl:
http://www.securityfocus.com/archive/1/316304
webdavIIS50.pl:
http://www.infowarfare.dk/Advisories/webdavIIS50.pl
linux-wb.c:
http://downloads.securityfocus.com/vulnerabilities/exploits/linux-wb.c
wb.exe: el anterior ya compilado
http://www.coromputer.net/dl.php?id=2
xwbf-v0.3.exe: basado en el wb.c, con interfaz gráfico. Ahora la versión 0.3
http://www.coromputer.net/dl.crpt?id=3
webdavx.pl: Parece que está pensado para la versión china del Win2k SP2, SP3
http://www.xfocus.org/exploits/200303/19.html
WebDavX3: Otro exploit para Windows.
http://ww2.heibai.net/download/show.php?id=3613&down=2
Xnuxer.c: Otro exploit en C.
http://downloads.securityfocus.com/vulnerabilities/exploits/Xnuxer.c
Otros:
rs_iis_xpl.pl: Es un exploit contra el rs_iis.c, abre un servidor web en la máquina local y si se recibe un ataque con el rs_iis.c, conseguirá una shell en la máquina atacante.
http://packetstormsecurity.nl/0303-exploits/rs_iis_xpl.pl
regexploit.c: Exploit/troyano que crea un archivo .reg que al ser ejecutado descarga y ejecuta un troyano, para ello aprobecha el mismo fallo que el WebDAV, es decir, otra forma de utilizar el fallo del ntdll.dll.
http://www.chez.com/mvm/REGEDIT_BOF.txt
Texto escrito por CyruxNET
http://cyruxnet.org
Autor