从搜索参数过滤不严到IDC虚拟主机的渗透
从搜索参数过滤不严到IDC虚拟主机的渗透
发布时间:2016-12-26 来源:查字典编辑
摘要:有天跟朋友谈起BLOG备案的问题,无意中提到了空间提供商IDC。说起IDC,没想到朋友还有段非常不愉快的经历。事情是这样的:当时他也是没经验...

有天跟朋友谈起BLOG备案的问题,无意中提到了空间提供商IDC。说起IDC,没想到朋友还有段非常不愉快的经历。

事情是这样的:当时他也是没经验,想选个虚拟主机做网站,当然出于习惯问题,他对提供自己虚拟主机空间服务的这台服务器做了下安全检测,结果他拿到了空间提供商WEB目录的权限,于是……小小地给自己加了一年的时间。没想到被他空间提供商发现了,封闭了朋友的空间和FTP账号。后来他看了下,这个空间商竟然连电子经营许可证(ICP证)都没有!汗ing....

不过据说后来那台服务器增强了安全性,配置得还不错!既然你不仅不合法而且又得罪了偶那可爱得不能再可爱的朋友,那就免费给你做次安全检测吧!

废话不多说了,既然朋友认为他的安全性还可以,那系统扫描这档子事就根本没必要做了,直接看WEB安全性!找啊找啊找朋友,找到一个好朋友……晕!主站安全性确实还说得过去,过滤得很严格!再用Domain3.0看了下。

晕,那么多虚拟主机跟自己的站放在一起——真会赚钱啊!好了,我们继续。导入网址进行路径扫描,扫出几个upfile.aspupload.asp,尝试上传,均告失败(这不奇怪,毕竟是很老的洞洞了)。既然这个不行,我们再看,告诉你我可是有的是耐心。

随便从Domain3.0左边点了个站进去,是个在线购物站点,有ICP证!SORRYSORRY我的目标不是你,只是借个WebShell用用而已!费了九牛二虎之力解释清楚之后,开始检测了……

首先找BBS——发现没有,不过倒是看到了个留言板,不错!就是你了,我们来看看。打开大致看了下,这个留言板简单得不能再简单了,尝试了几个“and1=1”、“and1=2”没发现问题。暴数据库路径也别想了,这个BTIDC已经全部做了错误处理,返回定制页,所以即使出错了也得不到有用信息(不过如果是MSSQL数据库在注入点将有办法解决这个问题)!这时候,目光落到了“搜索留言”上。赶紧打开,直觉告诉我这里有问题。

前面看到了一个留言,关键词是“人气”,那我们先在搜索栏里搜索一下“人气”,返回正常页面。

接着当我想构造检测语句的时候出了点小问题,查询框有字符长度限制。不过这个小CASE!我们把当前页面的源码保存到本地,搜索Action找到如下语句:

原始代码:

------------------------------------------------------------------------------------------

<FORMonsubmit="returncheck(this)"action=searchresult.aspmethod=post>

<TABLEclass=lybtableheight=64cellSpacing=0cellPadding=0width=650

align=center>

<TBODY>

<TR>

<TDwidth="100%"height=64>

<DIValign=center><FONTcolor=#000000><B>查询方式:</B><SELECTsize=1

name=classid><OPTIONselected>留言内容</OPTION><OPTION>回复内容</OPTION>

<OPTION>姓名</OPTION></SELECT>关键字:<INPUTmaxLength=12size=28

name=keyword><INPUTclass=noborderaccessKey=stype=submitvalue=查询(S)name=B1>

</FONT></DIV></TD></TR></TBODY></TABLE></FORM>

-----------------------------------------------------------------------------------------

我们这里需要改几个地方,把“action=searchresult.asp”改成“action=http://www.xxx.com/lyb/searchresult.asp”(这里我隐藏了原始地址,为了保护自己也为了保护该站点),当然啦,不能忘了改最重要的东西:“maxLength=12”改成“maxLength=152”,修改后的代码如下:

------------------------------------------------------------------------------------------

<FORMonsubmit="returncheck(this)"action=http://www.xxx.com/lyb/searchresult.asp

method=post>

<TABLEclass=lybtableheight=64cellSpacing=0cellPadding=0width=650

align=center>

<TBODY>

<TR>

<TDwidth="100%"height=64>

<DIValign=center><FONTcolor=#000000><B>查询方式:</B><SELECTsize=1

name=classid><OPTIONselected>留言内容</OPTION><OPTION>回复内容</OPTION>

<OPTION>姓名</OPTION></SELECT>关键字:<INPUTmaxLength=152size=28

name=keyword><INPUTclass=noborderaccessKey=stype=submitvalue=查询(S)name=B1>

</FONT></DIV></TD></TR></TBODY></TABLE></FORM>

------------------------------------------------------------------------------------------

好了,接下来我们就可以本地提交了!打开修改后的页面,在搜索栏里查询:“人气%'and1=1and'%'='”——返回正常页面。

接着,我们尝试查询:“人气%'and1=2and'%'='”——出错!果然有问题。

好了,既然找到了突破口,我们继续!手动猜太累了,交给NBSI2吧。我们构造如下URL:http://www.xxx.com/lyb/searchresult.asp?classid=留言内容&keyword=人气,在关键词里输入正常页面里的一个词,我这里选“2005”,好了,GO!一声令下,NBSI2飞快地运行了,没过多久,密码出来了。晕,MD5加密的,不过不要紧,一下子就破解出来了。

不用扫路径了,页面上直接就有管理员登录的链接,我们成功登录!不过情况不太乐观,后台功能实在是简单得不能再简单了,尝试获得一个WebShell别说还真不是件容易的事!思路一转,扫购物系统的后台(本来还想跟留言板一样直接找个管理员登录的链接的,无奈找不到)!扫描结果很不幸,后台路径我们无从知道!到这里难道就没办法了?办法不会没有,而是你找不到罢了!我们注意到了这里。

管理员资料里包括邮件账号,抱着试试看的态度,我尝试着登录该站管理员的邮箱——竟然成功!马上退出,想到什么了?对,FTP账号!用邮箱@前的账号和前面我们破解出来的密码成功连接上空间商的FTP!然后呢?当然是上传WebShell了!

马上传了个海洋2006网安中国zrrrshoo个人专用版,访问链接,没被查杀,成功。粗略看了下目录设置,标准的虚拟主机权限分配:每个空间独立运行,文件夹名为域名,不能遍历其它站点目录,CDE分区根目录一概无权限浏览!随手一个“netuser”,不出所料,无法执行!尝试跳转到“c:winntsystem32inetsrvdata”,成功了!上传一个改名了的cmd.exe,在海洋里指定路径“c:winntsystem32inetsrvdatacmd.exe/c”执行命令—成功!“netstart”,再次不出所料,服务器里果然有个Serv-U乖乖躺在那里,等着给我们提升权限。不过先别乐观,没成功之前什么都不确定!“netstat-an”:印入眼帘的包括一个“43958”,看来没想象中的复杂!接着目录跳转至“C:DocumentsandSettingsAllUsers「开始」菜单程序”找到Serv-U目录,进去下载快捷方式回来!知道了他的Serv-U安装路径:“D:serv-U”,看看能不能跳转进入—成功!又是老套路,写入新用户到“ServUDaemon.ini”准备走人的时候,竟然提示出错了!郁闷,看来是没有写权限……

不过一件令人大跌眼镜的事情发生了,本来以为应该有防火墙过滤除少数几个外的所有端口的,没想到上传Fpipe后,转发的高端口能直接连接上,那还说什么,本地新建FTP域,远程连接管理,加用户,FTP上去“quotesiteexecnetuserzrrrshoo/add”;“quotesiteexecnetuserzrrrshoozrrr”;“quotesiteexecnetlocalgroupadministratorszrrrshoo/add”,他有3389,我怕又做了登录限制,不过事实证明我的担心是多余的!直接就登录进去了。好了,安全要紧,清除所有日志,再开个ChallengeCollapsar,用30个代理变换路径访问15分钟(主要是不让WEB日志空空如也),OK!明天把他交给朋友处理吧!

推荐文章
猜你喜欢
附近的人在看
推荐阅读
拓展阅读
相关阅读
网友关注
最新漏洞研究学习
热门漏洞研究学习
实用技巧子分类