中国网络渗透测试联盟
标题:
zone-h入侵思路的详细内容
[打印本页]
作者:
admin
时间:
2012-9-5 15:06
标题:
zone-h入侵思路的详细内容
Zone-H被黑过程，在2006年12月22日被首次公开（PS：这个组织计划的真周到，花了5天，7个步骤才拿下Zone-H；Zone-H也真够倒霉的，被黑后还被D；另外如果是国内某个*.S.T的站被黑，估计又要开骂，别想知道到底怎么被黑的，但是Zone-H把内幕完全公开），原英文内容
http://www.zone-h.org/content/view/14458/31/
: X z: e& o$ h/ T% q
8 y9 k' M! }# z% I* e% {
大概翻译一下:
/ U8 c( }. x1 Q6 P& F% U7 D
# Q& b+ q6 ]) `3 T. n
攻击从12月17日开始......
) }7 R/ _# y% L" D+ {2 L. ]: t
第一步,攻击者决定以zone-h.org的一个拥有特别权限的为目标.(以下称为''目标'')
5 I, M- p. r! Q2 U
他对服务器发出了''我忘记密码''的重设请求,这样服务器会发对目标发回一个email地址,Hotmail帐号和新密码.
" g) p, Z) {1 U2 N( s/ Y) C
1 r+ M6 `8 J: M5 M) l
第二步,攻击者使用Hotmail的XSS漏洞(查看
http://lists.grok.org.uk/piperma
... -August/048645.html)得到目标的Hotmail session cookie,然后进入目标的EMAIL,得到新的密码.
8 x0 K$ V% w0 H& S+ `! C
6 e" E4 P7 s! _
第三步,攻击者得到的目标帐号拥有一个特权可以上传新的论文和图片,使用该特权他上传了一个图片格式的文件,可惜这个文件需要拥有管理权限的人审核批准后才能公开看到,当然,没有被批准公开.而且该目标帐号被冻结.
" D W; Q( ]" B& }) X8 K# b
/ `1 O' {3 X( c8 \5 E' b$ s* u
第四步,攻击者知道他上传的文件依然在ZONE-H的图片文件没有被删除,他以
www.zone-h.org/
图片文件/图片名 的格式使得zone-h接受了并照了快照公开.
: r$ u; h0 J4 q6 A7 m% b
6 x' V7 ?$ }$ Q8 W8 P' A
现在攻击者成功上传了文件并使得可以访问.
9 Q% E; q( M: s0 j
4 u% u: [7 w5 M3 Z3 O, a
第五步,在第一次的上传攻击者不单单是上传了一个图片文件,还上传了一个PHPSHELL.可惜因为zone-h的安全策略使得不能执行.
0 X1 N' ^- R6 f
3 O! _4 f2 J9 _# r1 g# ?; C2 H
但是在之前攻击者使用得到的帐号的权限,他知道zone-h的模块中有一个JCE编辑器,该JCE编辑器模块的jce.php拥有''plugin" 和 "file''参数输入变量远程文件包含漏洞(在包含文件时没有进行检查请查看
http://secunia.com/advisories/23160/
).
% t% \( k2 Q8 b8 O4 r) I
* ]# u4 Z8 t5 R8 M& m# f
由此攻击者知道他终于可以使用这个漏洞执行之前上传的PHPSHELL:
) Q. q; t% K0 p( A. C, S
- - [21/Dec/2006:23:23:15 +0200] "GET
^' _: Z: A( l, n
/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
3 {& }! e9 k( U
HTTP/1.0" 404 454
4 G$ K, s Y) b3 q& D
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
7 v7 j5 F% V- U4 {+ l4 |9 r' @
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
3 I: B: v$ d% L! V! ~' l- w k. V
复制代码
6 k! `8 T1 |; W6 E' e+ b8 G; }: z
一段时间后:
$ }" Y# R1 W5 d
- - [21/Dec/2006:23:23:59 +0200] "GET
$ T9 H) W) U! V1 C2 c" N. G
/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
_6 Y0 f; I3 g& U5 w7 T& M! h$ q& ?
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
/ G0 o5 f& H6 [+ n! c: b& K& ^! ?% ?
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php
* Y* q. j. S, o* H7 G0 J& ^
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
+ O$ N( P* `' y
复制代码
9 Q- M' U2 F4 l( @8 Z- `
第六步,攻击者这个漏洞执行之前上传的PHPSHELL建立了一个目录(/var/www/cache/cacha),再建立一个新的SHELL(020.php),再建立一个自定义的.htaccess令到mod_security在该目录失效.
2 A* @7 }4 |9 e! p; K
/ ?8 T9 Y) V2 E/ I9 L$ f; V
第七步,攻击者使用这个新建的PHPSHELL(没有了mod_security的限制)修改configuration.php文件并嵌入 一个HTML的黑页:
- m' Q" H& [. c g2 z" O. }4 J
- - [22/Dec/2006:01:05:15 +0200] "POST
" J e7 x0 f. a9 I$ ^/ ?! b B' U
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
1 @! m( i% ?+ S8 l3 w( I0 {5 e* }
HTTP/1.0" 200 4781
5 G# L. ]; b( i1 u
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
# I% x4 I, U% u( t/ z1 h
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
" [" h; s3 a$ A1 Y$ C
Firefox/1.5.0.9"
4 u$ o, M2 u1 a& }1 ~5 k
复制代码
2 Y1 `; Z5 t6 {& e
好了,我们的过错如下:
+ v5 C4 k4 z6 q$ Q5 a. p) A& E
1.拥有一个SB人员连Hotmail XSS都不知道.
# C i+ r: r% H
2.没有找出上传的SHELL.
/ b, J' L+ A, s ?
3.没有承认JCE组件的劝告建议.
; [/ Z7 p T; S
; z; e4 G3 d+ E3 R. F' v
中国北京时间2007年4月18日1：40分左右，著名黑客站点zone-h.org首页被中国黑客替换
' g$ }4 i. q' f3 `) y6 q
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2