您的位置 » 首页 » 渗透测试 » 一次反渗透手记

一次反渗透手记

发表于5年前 | 作者: seay | 分类: 渗透测试 | 孵化于:2012年07月23日 | 文章热度:3,145 次 全屏阅读

显示不全请点击全屏阅读

作者:花开、若相惜

Pax.Mac Team核心成员
由于某著名游戏公司被人DDOS,让我们公司追查DDOS来源。话说现在DDOS还真没办法防御。那公司20G直接挂了。
定位了一个攻击来源,因为离的比较近,所以从这里下手。
经过初步的信息收集,旁注都是目标公司的站。开放在各个端口,有asp,php的站。服务器:Apache+IIS+win2003 mysql root密码为空。
既然mysql密码为空,那么就试试能不能外连:mysql -h ip -uroot -p
连接成功。估计这服务器是被3306抓鸡抓到的。
知道mysql密码又是root权限,那么寻找爆路径的。在一个旁注的站上尝试常用目录inc include等等,结果inc存在而且还列目录。网站权限做的还真不怎么样。
随手点了个文件,就爆出了路径。然后老规矩,写一句话。可是悲催的事情发生了,文件是写入了,但是访问却不存在。Load_file读取一句话也存在,不存在没写入。
难道库站分离?根据3306抓鸡原理,这服务器可能是UDF提权拿下的。既然这样我用UDF提权试试。
Mysql各版本UDF提权方法:
MYSQL 4.1以前的版本中,可以将所有的DLL文件里面的任何函数都注册到MYSQL里面以供MYSQL调用。无论这个DLL在什么位置,函数的声明是什么样的。MYSQL 4.1及以后的版本中,对UDF函数进行了限制,只有实现了一个特定接口的函数才可以被成功注册到MYSQL中,MYSQL5以后,对注册的DLL的位置有了限制,创建函数的时候,所对应的DLL不能包含/或者,简单的理解就是不能是绝对路径。所以我们将DLL释放到system32目录,来跳过这个限制。。或者放到盘符的根目录下通过c:udf.dll这种形式的写法来跳过限制。

只要把dll放到PATH这个环境变量所表示的任何一个目录下面,效果跟放到system32目录下面一样。

Can’t open shared library ‘udf.dll’
这是因为MYSQL 5.1及以后的版本中,又多了一个限制。创建函数时所用的DLL只能放在mysql的plugin目录里面而且这个plugin目录默认是不存在的
那么自己在mysql安装目录下建lib/plugin 文件夹,把udf.dll导到这里就行
这里有个技巧,显示mysql的安装路径 SHOW VARIABLES LIKE ‘%plugin%’;看看mysql的安装路径,是否之前给人搞过了。如果别人已经导好了,直接注册函数吧。
由于不同版本的mysql提权方式也不同,所以先看看mysql版本

5.1以下的,那好办多了。    现在需要UDF的二进制文件,可以用到下面的语句:

Select load_file(‘路径’)  into dumpfile ‘D:udf.txt’; 注意了 这里不能使用outfile,这函数会在末行端写入新行,还会转义换行符,会导致二进制文件被破坏。

Select unhex(‘…..’) into dumpfile ‘c:\windows\system32\udf.dll’;

create function cmdshell returns string soname ‘udf.dll’ …… 很悲剧 爆内存不足。没能继续下去,继续找别的方法。 虽然IP是跟主站相同的,但是也有可能做了NAT地址端口映射。 找了几个上传的地方,发现有一个地方很可能存在漏洞。 利用网站的上传功能:http://www.site.cn:8888/js/webs/edit/upload.php 通过尝试1.php;.jpg 1.php.jpg 等等。发现能成功上传,但是无法解析。 用截断尝试了下,结果直接报非法文件,绕不过检测机制。 经过conqu3r的提醒,上传1.php.ajpg上传成功解析。
这是利用了apache的解析规则,apache是从后缀的最后开始解析的,如果无法解析就继续解析下个后缀。 话说这程序也真够白痴的,只检查后缀的后三位。看来思维还是要发散下。 本来想通过截断上传的,但截断上传后的文件,会经过服务器的检测。检测最后 然后就可以解析。 但渗透过程中发现,解析是成功的。一直无法连接上小马,大马执行了也无法登录。 此路可通,猜测应该是服务器上有杀软或者类似的防火墙,或者解析不稳定。 如果是解析不稳定的话,也可以想办法撒。这个既然能成功解析成php文件,那我们在上传的文件中写入一个在写shell的马,生成一个正常的php文件。如果是解析不稳定的话,可以直接解决。 上传 <?php fputs(fopen(“xx.php”,”w”),”<?php echo 123;?>”)?>

 

会在根目录下生成xx.php

成功解析生成了xx.php。确定了是由于过滤了危险函数eval导致的。 既然这样.想办法绕过这个检测机制就行。
最后上传一个功能少的,不包含特殊函数的功能马。 直接system权限,可以直接拿下服务器。

在这次渗透过程中还发现了很多东西,如mysql操作的日志,记录下了root的密码等敏感信息。对内网渗透是很有价值的东西。

后来在连接服务器的时候发现连接不上。这也证实了他做了NAT地址端口映射。

后面的就不继续写下去了…….(渗透过程中发现N个点解析也可能爆路径)

本文重点是让大家渗透的时候思路要发散性思维。任何一个小细节都能成为关键点!

Tags:

mysql漏洞, root拿shell,

如果您喜欢我的博客,欢迎点击图片定订阅到邮箱填写您的邮件地址,订阅我们的精彩内容: 也可以点击链接【订阅到鲜果】

如果我的想法或工具帮助到了你,也可微信扫下方二维码打赏本人一杯咖啡


来自 Seay互联网安全博客
本文地址:http://www.cnseay.com/539/
文章版权说明请看置顶文章,尊重作者,转载请以链接形式标明原文地址

马上分享给你的朋友吧~

发表评论

你的大名(必填)

你的邮箱(必填)

评论内容(必填)