MoAxB - Month of ActiveX Bug

MoAxB #30: Zenturi ProgramChecker ActiveX (sasatl.dll) Arbitrary file download/overwrite Exploit

2007-05-30T16:07:00.000-07:00

Dimostrazione online

Formato testo

MoAxB #29: EDraw Office Viewer Component (edrawofficeviewer.ocx v. 4.0.5.20) Denial of Service Exploit

2007-05-29T12:18:00.000-07:00

Dimostrazione online

Formato testo

MoAxb #28: EDraw Office Viewer Component (edrawofficeviewer.ocx v. 4.0.5.20) Unsafe Method Vulnerability

2007-05-28T11:31:00.000-07:00

Dimostrazione online

Formato testo

MoAxB #27: LeadTools Raster ISIS Object (LTRIS14e.DLL v. 14.5.0.44) Remote Buffer Overflow Exploit

2007-05-27T18:13:00.000-07:00

Dimostrazione online

Formato testo

MoAxB #26: LeadTools Raster OCR Document Object Library (ltrdc14e.dll v. 14.5.0.44) Remote Memory corruption Exploit

2007-05-26T15:14:00.000-07:00

Dimostrazione online

Formato testo

MoAxB #25: LeadTools Raster Dialog File_D Object (LTRDFD14e.DLL v. 14.5.0.44) Remote Buffer Overflow Exploit

2007-05-25T14:18:00.000-07:00

Dimostrazione online

Formato testo

MoAxB #24: LeadTools Raster Dialog File Object (LTRDF14e.DLL v. 14.5.0.44) Remote Buffer Overflow Exploit

2007-05-24T12:42:00.000-07:00

Dimostrazione online

Formato testo

MoAxB #23: Microsoft Office 2000 (OUACTRL.OCX v. 1.0.1.9) "HelpPopup" method Remote Buffer Overflow and winhlp32.exe Denial of Service

2007-05-23T11:15:00.000-07:00

E alla fine arriva Microsoft :-)

Dimostrazione online

Formato testo

Contenuto dei registri:

EAX 00000000
ECX 7E39EC0C USER32.7E39EC0C
EDX 7C91EB94 ntdll.KiFastSystemCallRet
EBX 38CFD2D0 OUACTRL.38CFD2D0
ESP 01D0F434 UNICODE "aaaa..."
EBP 00610061
ESI 02ACC86C
EDI 00000000

EIP 00610061

MoAxB #22 Bonus: Dart ZipLite Compression for ActiveX (DartZipLite.dll v. 1.8.5.3) Remote Buffer Overflow Exploit

2007-05-22T15:56:00.000-07:00

Bonus

Dimostrazione online

Formato testo

MoAxB #22: LeadTools ISIS Control (ltisi14E.ocx v. 14.5.0.44) Remote Buffer Overflow Exploit

2007-05-22T10:31:00.000-07:00

Oggi non ho voglia di commentare...

Dimostrazione online

Formato testo

MoAxB #21: LeadTools Raster Variant Object Library (LTRVR14e.dll v. 14.5.0.44) Remote Arbitrary File Overwrite

2007-05-21T12:24:00.000-07:00

E' possibile, usando il metodo "WriteDataToFile" di questo ActiveX, sovrascrivere con dati random il contenuto di file arbitrariamente.
Tale operazione risulta rischiosa in quanto, modificando il contenuto di file come system.ini, si può compromettere il funzionamento del pc di un utente.

Dimostrazione online

Formato testo

MoAxB #20: LeadTools Raster Thumbnail Object Library (LTRTM14e.DLL v. 14.5.0.44) Remote Stack-Based Buffer Overflow

2007-05-20T19:44:00.000-07:00

Stessa ragione del post MoAxB #19 :)

Dimostrazione online

Formato testo

MoAxB #19: LeadTools Thumbnail Browser Control (lttmb14E.ocx v. 14.5.0.44) Remote Stack-Based Buffer Overflow

2007-05-19T19:42:00.000-07:00

Siccome nei prossimi due giorni non avro accesso a pc di sorta, pubblico in anticipo i bug relativi al 19 e 20 Maggio 2007.
Il titolo parla da solo :)

Dimostrazione online

Formato testo

MoAxB #18: LeadTools JPEG 2000 COM Objejct (LTJ2K14.ocx v. 14.5.0.35) Remote Stack-Based Buffer Overflow

2007-05-18T13:26:00.000-07:00

Questo ActiveX consente di gestire immagine anche da web browser.
Il metodo "BitmapDataPath" è vulnerabile a stack-based buffer overflow che consente l'esecuzione di codice arbitrario sul pc di un utente.

Dimostrazione online

Formato testo

MoAxB #17: Sienzo Digital Music Mentor (DMM) 2.6.0.4 (ltmm15.dll) Buffer Overflow Exploit

2007-05-17T10:52:00.000-07:00

Un'altra dll (ltmm15.dll) distribuita col DMM Sienzo risulta vulnerabile ad uno stack-based buffer overflow che consente l'esecuzione di codice arbitrario sul pc di un utente che avesse installato questo software.
Il vendor continua a non rispondere.

Dimostrazione online

Formato testo

MoAxB #16 Bonus: IE 6 PrecisionID Barcode ActiveX 1.9 0day (PrecisionID_Barcode.dll) Remote Arbitrary File Overwrite

2007-05-16T14:38:00.000-07:00

Un bonus

Dimostrazione online

MoAxB #16: IE 6 PrecisionID Barcode ActiveX 1.9 0day (PrecisionID_Barcode.dll) Denail of Service

2007-05-16T14:27:00.000-07:00

In data 14/05/2007 è stata rilasciata una nuova versione di questo ActiveX, la 1.9
Come un altro componente dello stesso produttore, è soggetto ad uno stack-based buffer overflow che può consentire l'esecuzione di codice arbitrario sul pc di un utente.
L'exploit è stato provato su IE6, testandolo su IE7 il browser smette di rispondere.

Dimostrazione online

MoAxB #15: DB Software Laboratory DeWizardX (DEWizardAX.ocx) Remote Arbitrary File Overwrite

2007-05-15T13:36:00.000-07:00

E' possibile, usando il metodo "SaveToFile" di questo ActiveX, sovrascrivere con dati random il contenuto di file arbitrariamente.
Tale operazione risulta rischiosa in quanto, modificando il contenuto di file come system.ini, si può compromettere il funzionamento del pc di un utente.

Dimostrazione online

MoAxB #14: Clever Database Comparer ActiveX version 2.2 Remote Buffer Overflow Exploit

2007-05-14T13:15:00.000-07:00

Questo ActiveX serve a comparare due database e il metodo "ConnectToDatabase" è vulnerabile a Buffer Overflow che consente l'esecuzione di codice arbitrario sul pc di un utente.

Dimostrazione online

Contenuto dei registri al momento del crash:

12:58:35.492  pid=0570 tid=07FC  EXCEPTION (first-chance)
             ----------------------------------------------------------------
             Exception C0000005 (ACCESS_VIOLATION reading [41414141])
             ----------------------------------------------------------------
             EAX=01D04141: 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00
             EBX=41418282: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             ECX=01D0EA01: 41 41 41 41 41 41 41 41-41 41 41 41 41 41 41 41
             EDX=00000001: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             ESP=01D0E510: 58 DD 0A 03 41 41 41 41-41 41 41 41 00 00 14 00
             EBP=01D0E540: E0 EA D0 01 28 6F 93 03-41 41 41 41 58 DD 0A 03
             ESI=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             EDI=030ADD58: 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00
             EIP=039316BC: 38 0E 74 1F 66 85 D2 6A-00 74 07 68 C8 32 95 03
                           --> CMP [ESI],CL
             ----------------------------------------------------------------

12:58:35.492  pid=0570 tid=07FC  EXCEPTION (first-chance)
             ----------------------------------------------------------------
             Exception C0000005 (ACCESS_VIOLATION reading [41414141])
             ----------------------------------------------------------------
             EAX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             EBX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             ECX=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             EDX=7C9137D8: 8B 4C 24 04 F7 41 04 06-00 00 00 B8 01 00 00 00
             ESP=01D0E140: BF 37 91 7C 28 E2 D0 01-28 EC D0 01 44 E2 D0 01
             EBP=01D0E160: 10 E2 D0 01 8B 37 91 7C-28 E2 D0 01 28 EC D0 01
             ESI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             EDI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
             EIP=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
                           --> N/A
             ----------------------------------------------------------------

MoAxB #13: ID Automation Linear Barcode ActiveX Control (IDAutomationLinear6.dll) v. 1.6.0.5 DoS

2007-05-13T11:45:00.000-07:00

Altro ActiveX per barcode...

Dimostrazione online

MoAxB #12: PrecisionID Barcode ActiveX (PrecisionID_DataMatrix.DLL) 1.3 Denail of Service

2007-05-12T10:12:00.000-07:00

Un altro ActiveX col quale è possibile creare barcode. Come si può vedere, con l'exploit riusciamo a sovrascrivere EAX quindi non escludo la possibilità di esecuzione di codice arbitrario.

Dimostrazione online

MoAxB #11 Bonus: GDivX Zenith Player AviFixer Class ActiveX BOF

2007-05-11T18:17:00.000-07:00

Questo ActiveX viene distribuito col player in oggetto.

L'autore/scopritore del bug e rgod

Ecco il link all'exploit:
http://retrogod.altervista.org/ie_gdivx_activex_bof.html

MoAxB #11: Morovia Barcode ActiveX Professional Arbitrary file overwrite

2007-05-11T12:13:00.000-07:00

E' possibile, usando il metodo "Save" di questo ActiveX, sovrascrivere con dati random il contenuto di file arbitrariamente.
Tale operazione risulta rischiosa in quanto, modificando il contenuto di file come system.ini, si può compromettere il funzionamento del pc di un utente.

Dimostrazione online

MoAxB #10: RControl.dll v. 1.2.1.0 Denial of Service Exploit

2007-05-10T14:04:00.000-07:00

Anche questo controllo è un VNC manager e anche questo è vulnerabile a stack overflow.
Giostrando la lunghezza della stringa si possono controllare di volta in volta diversi registri, quindi non escludo la possibilità di esecuzione di codice arbitrario.

Dimostrazione Online

Formato testo

P.S.
Se si prova con una stringa inferiore a 4000 caratteri si verifica uno strano crash. Sembra un heap overflow nella ntdll.dll ma non ne sono sicuro e non ho tempo di indagare a fondo :)

MoAxB #09: BarCodeWiz ActiveX Control 2.0 (BarcodeWiz.dll) Remote Buffer Overflow Exploit

2007-05-09T10:18:00.000-07:00

Questo controllo consente di creare, visualizzare e stampare codici a barre. Il metodo "verify" di questo controllo è vulnerabile a buffer overflow grazie al quale il registro EIP viene sovrascritto dando la possibilità di eseguire codice arbitrario.

Dimostrazione online

Formato txt

Ecco la situazione dei registri al momento del crash:

14:39:21.000 pid=1244 tid=1534 EXCEPTION (first-chance)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [61616239])
----------------------------------------------------------------
EAX=61616161: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EBX=03558474: 41 00 41 00 41 00 41 00-41 00 41 00 41 00 41 00
ECX=01D1E375: 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00
EDX=01D1F020: 41 41 41 41 41 41 41 41-41 41 41 41 41 41 41 41
ESP=01D1F014: 00 00 00 00 1C 0A 57 03-70 1B EB 03 41 41 41 41
EBP=01D1F420: 41 41 41 41 41 41 41 41-61 61 61 61 41 41 41 41
ESI=770F4C3B: 8B FF 55 8B EC 8B 45 08-85 C0 74 05 8B 40 FC D1
EDI=01D1F010: 7C 9E 55 03 00 00 00 00-1C 0A 57 03 70 1B EB 03
EIP=03E9F9C6: 8B 88 D8 00 00 00 52 8B-01 FF 50 0C 85 C0 8B 45
--> MOV ECX,[EAX+000000D8]
----------------------------------------------------------------

14:39:21.000 pid=1244 tid=1534 EXCEPTION (first-chance)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [62626262])
----------------------------------------------------------------
EAX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EBX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ECX=62626262: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDX=7C9137D8: 8B 4C 24 04 F7 41 04 06-00 00 00 B8 01 00 00 00
ESP=01D1EC44: BF 37 91 7C 2C ED D1 01-94 F8 D1 01 48 ED D1 01
EBP=01D1EC64: 14 ED D1 01 8B 37 91 7C-2C ED D1 01 94 F8 D1 01
ESI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EIP=62626262: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
--> N/A
----------------------------------------------------------------

MoAxB #08: SmartCode VNC Manager 3.6 (scvncctrl.dll) Denial of service

2007-05-08T10:26:00.000-07:00

-----------------------------------------------------------------------------
SmartCode VNC Manager 3.6 (scvncctrl.dll) Denial of service
url: http://www.s-code.com/
price: from $98.94 to $2,500

author: shinnai
mail: shinnai[at]autistici[dot]org
site: http://shinnai.altervista.org

Tested on Windows XP Professional SP2 all patched, with Internet Explorer 7
-----------------------------------------------------------------------------

La maggior parte dei metodi di questo activex sono vulnerabili a DoS. L'exploit che riporto consente di controllare il contenuto di EAX e ECX ma lo scenario varia a seconda della lunghezza della stringa passata.
Lo propongo come DoS ma non escludo la possibilità di trovare il modo di eseguire codice arbitrario.

Dimostrazione online

Formato txt

Ecco il contenuto dei registri al momento del crash:

EAX 61616161
ECX 62626262
EDX 02DFECA0 ASCII "aaaabbbbBBB..."
EBX 02DF0000
ESP 0173F068
EBP 0173F288
ESI 02DFEC98 ASCII "AAAAAAAAaaaabbbbBBB..."
EDI 00000221

EIP 7C92142E ntdll.7C92142E

7C92142E 8B39 MOV EDI,DWORD PTR DS:[ECX] <-- CRASH

MoAxB #07: Versalsoft HTTP File Uploader (UFileUploaderD.dll) 'AddFile' method Buffer Overflow

2007-05-07T09:48:00.000-07:00

Riporto, in questo exploit, solo il contenuto dei registri visto che credo sia chiaro che l'esecuzione di codice arbitrario è possibile.

Dimostrazione online

Formato txt

11:40:51.172 pid=08E4 tid=0AB0 EXCEPTION (first-chance)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [41414141])
----------------------------------------------------------------
EAX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EBX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ECX=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDX=7C9137D8: 8B 4C 24 04 F7 41 04 06-00 00 00 B8 01 00 00 00
ESP=0173E26C: BF 37 91 7C 54 E3 73 01-84 F2 73 01 70 E3 73 01
EBP=0173E28C: 3C E3 73 01 8B 37 91 7C-54 E3 73 01 84 F2 73 01
ESI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EIP=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
--> N/A
----------------------------------------------------------------

MoAxB #06: Sienzo Digital Music Mentor (DMM) 2.6.0.4 (DSKernel2.dll) multiple method local Stack Overflow Exploit

2007-05-06T10:26:00.000-07:00

DSKernel2.dll, distribuita con l'ultima versione del software in oggetto, contiene due metodi che sono vulnerabili ad uno stack-based overflow che consente l'esecuzione di codice arbitrario sul pc dell'utente.
I metodi sono "LockModules" e "UnlockModule" ai quali, passando una stringa rispettivamente di 263 e 296 caratteri, causano lo stack overflow.

Formato txt

Il contenuto dei registri al momento del crash è:
per "Lockmodules:

EAX 00000000
ECX 7C92056D ntdll.7C92056D
EDX 03CF0000
EBX 00000000
ESP 0173E554 ASCII "BBB..."
EBP 41414141
ESI 0173E560 ASCII "BBBB..."
EDI 00000600

EIP 62626262

-----------------------------------------------------

per "UnlockModule":

EAX 80070057
ECX 02D56F1A UNICODE " ((((( H"
EDX 0173EC48
EBX 02D3D250 DSKernel.02D3D250
ESP 0173ED80 ASCII "BBB..."
EBP 41414141
ESI 0173F064
EDI 00000000

EIP 62626262

Il resto è storia...

MoAxB #05: East Wind Software (advdaudio.ocx v. 1.5.1.1) 'OpenDVD' method Stack Buffer Overflow

2007-05-05T11:55:00.000-07:00

Bene, volevo lasciare i bug più interessanti per la seconda metà del mese ma, siccome sta nascendo un putiferio (sul mio modo di parlare in inglese e sulle mie capacità tecniche), posto un exploit che sfrutta uno stack overflow causato dall'ocx per eseguire codice arbitrario su un pc.

Dimostrazione online

Formato txt

Analizziamo meglio lo scenario: al momento del crash la situazione dei registri è la seguente:

14:51:52.171 pid=0A90 tid=0E40 EXCEPTION (first-chance)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [616165E5])
----------------------------------------------------------------
EAX=61616161: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EBX=0174EDE0: 42 42 42 42 42 42 42 42-42 42 42 42 42 42 42 42
ECX=000035D1: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDX=01750110: 6F 00 F2 00 ED F2 F2 00-ED F2 F2 00 ED F2 F2 00
ESP=0174EA40: 10 EB FF 02 1C EB 74 01-61 1E 94 7C 1C EB 74 01
EBP=0174EDB8: 42 42 42 42 42 42 42 42-42 42 42 42 42 42 42 42
ESI=00000008: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDI=02FE056E: 20 20 20 20 3C 2F 70 3E-0D 0A 20 20 20 20 20 20
EIP=03D2187D: 8B 90 84 04 00 00 8D 88-7C 04 00 00 85 D2 7E 09
--> MOV EDX,[EAX+00000484]
----------------------------------------------------------------

14:51:52.171 pid=0A90 tid=0E40 EXCEPTION (first-chance)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [42424242])
----------------------------------------------------------------
EAX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EBX=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ECX=42424242: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDX=7C9137D8: 8B 4C 24 04 F7 41 04 06-00 00 00 B8 01 00 00 00
ESP=0174E670: BF 37 91 7C 58 E7 74 01-AC ED 74 01 74 E7 74 01
EBP=0174E690: 40 E7 74 01 8B 37 91 7C-58 E7 74 01 AC ED 74 01
ESI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDI=00000000: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EIP=42424242: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
--> N/A
----------------------------------------------------------------

Come potete notare, l'errore avviene nel momento in cui si cerca di leggere il contenuto di EAX mentre, nel passo successivo, vediamo EIP sovrascritto con dati arbitrari.
Bene, la prima cosa da fare è passare ad EAX un "readable" address, così da superare la prima limitazione.
Passiamo allora 0x77D7AAEB call ESP (from user32.dll) e vediamo cosa succede ai registri:

15:03:32.855 pid=0A98 tid=06E0 EXCEPTION (first-chance)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [63636363])
----------------------------------------------------------------
EAX=73E186D4: 00 00 00 00 84 6A DF 73-00 00 00 00 2E 3F 41 56
EBX=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ECX=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDX=7608F260: 10 05 46 03 FF FF FF FF-00 00 00 00 00 00 00 00
ESP=0174EDEC: 90 EB 03 59 EB 05 E8 F8-FF FF FF 4F 49 49 49 49
EBP=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ESI=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDI=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EIP=42424242: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
--> N/A
----------------------------------------------------------------

15:03:32.855 pid=0A98 tid=06E0 EXCEPTION (unhandled)
----------------------------------------------------------------
Exception C0000005 (ACCESS_VIOLATION reading [63636363])
----------------------------------------------------------------
EAX=73E186D4: 00 00 00 00 84 6A DF 73-00 00 00 00 2E 3F 41 56
EBX=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ECX=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDX=7608F260: 10 05 46 03 FF FF FF FF-00 00 00 00 00 00 00 00
ESP=0174EDEC: 90 EB 03 59 EB 05 E8 F8-FF FF FF 4F 49 49 49 49
EBP=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
ESI=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EDI=41414141: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
EIP=42424242: ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ??
--> N/A
----------------------------------------------------------------

Bingo! Ora controlliamo EIP e abbiamo in ESP il contenuto della shellcode, il resto è storia...

That's all folks!

MoAxB #04 bonus: ActSoft DVD-Tools (dvdtools.ocx v. 3.8.5.0) Stack Overflow Exploit

2007-05-04T11:48:00.000-07:00

Questo è semplicemente un bonus. Gli advisories originale sono questi:
http://www.shinnai.altervista.org/viewtopic.php?id=41&t_id=30
http://www.milw0rm.com/exploits/3307
poi ne è stato pubblicato uno da Umesh Wanve per Windows 2000 SP4 Server English e Windows 2000 SP4 Professional English qui:
http://www.milw0rm.com/exploits/3610
e ora ne rilascio una versione per Windows XP Professional SP2.

Dimostrazione online

Formato txt

MoAxB #04: Office Viewer (OA.ocx v. 3.2) multiple methods DoS

2007-05-04T09:10:00.000-07:00

Questo bug si commenta da solo e non ho molto da aggiungere se non che, vista la quantità di critiche mosse al mio inglese, che come avevo preannunciato e sottolineato era meno che scolastico (e vi assicuro che avrei sopportato molto di più critiche ai bug che non al mio modo di parlare in inglese), da ora scriverò gli advisories in italiano, mia madrelingua, così che, chi ne avrà voglia, se li tradurrà da sè.

Dimostrazione online

Formato txt

Ecco il contenuto dei registri al momento del crash dell'applicazione.

EAX 000EC484
ECX 01642A44
EDX 00000000
EBX 0173EA68
ESP 0173EA3C
EBP 0173EC74
ESI 000F4241
EDI 039F0024 UNICODE "AAA..."

EIP 77527420 ole32.77527420

77527420 8501 TEST DWORD PTR DS:[ECX],EAX <-- CRASH

Devo doverosamente ringraziare The Wanderer al quale ho rotto i cosiddetti per le traduzioni e che ora vede reso inutile il proprio lavoro. Mi spiace e cercherò di farmi perdonare ma, che diavolo, talvolta bisogna essere nazionalisti: sono Italiano, sono fiero di esserlo e chi vuol leggere quello che scrivo se lo traduca da sè o vada a farsi benedire.

MoAxB #03: WordViewer.ocx 3.2 multiple methods DoS

2007-05-03T09:06:00.000-07:00

This component allows you to visualize, create and modify doc files.
Some methods are unable to handle exceptional conditions, and this causes the crash of the application that uses this component.

Online demonstration

Text format

This is the content of registers when the crash happens:

EAX 003042D4
ECX 01642A24
EDX 00000000
EBX 0173EA48
ESP 0173EA1C
EBP 0173EC54
ESI 00200169
EDI 03F2002C UNICODE "AAA..."

EIP 77527420 ole32.77527420

77527420 8501 TEST DWORD PTR DS:[ECX],EAX <-- CRASH

MoAxB #02: ExcelViewer.ocx 3.1 multiple methods DoS

2007-05-02T09:26:00.000-07:00

This component allows you to visualize, create and modify xls files.
Some methods are unable to handle exceptional conditions, and this causes the crash of the application that uses this component.

Online demonstration

Text version

This is the content of registers when the crash happens:

EAX 003042D4
ECX 01642A34
EDX 00000000
EBX 0173EA58
ESP 0173EA2C
EBP 0173EC64
ESI 00200169
EDI 03C20024 UNICODE "AAA..."

EIP 77527420 ole32.77527420

77527420 8501 TEST DWORD PTR DS:[ECX],EAX <-- CRASH

MoAxB #01: PowerPointViewer.ocx 3.1 multiple methods DoS

2007-05-01T12:24:00.000-07:00

well, let's start the MoAxB with a DoS. This component allows you to visualize, create and modify ppt files.
Some methods are unable to handle exceptional conditions, and this causes the crash of the application that uses this component.

Online demonstration

Text format

This is the content of registers when the crash happens:

EAX 000EC484
ECX 01642A38
EDX 00000000
EBX 0173EA5C
ESP 0173EA30
EBP 0173EC68
ESI 000F4241
EDI 039E0024 UNICODE "AAA..."

EIP 77527420 ole32.77527420

77527420 8501 TEST DWORD PTR DS:[ECX],EAX <-- CRASH

Month of ActiveX Bug announced

2007-04-19T10:29:00.000-07:00

well, first of all sorry for my poor english then some informations about activex controls from wikipedia.
so I'm here and I'm proud to announce that on 2007 MAY will start the Month of ActiveX Bug (MoAxB).
most of them are simple DoS (don't worry there are also some code execution) but that's because MoAxB has only a sense: to inform developers about the risk of using activex controls.
naturally everyone's invited to post activex bug or to ask for information or simply to post comments.

Greetz to:
my wife and my daughter for all the love they give to me and for their patience

in alphabetical order :)
auron, GiampaZ, hawake, ppanico2, redeemer, rgod, str0ke, The Wanderer, wicker25 and to all I forgot to mention for their support and friendship.

now be safe brothers, see you on 2007/05/01