本来我不习惯开QQ,可好友打来电话说有事找我,遂上线。因为我用的QQ是能显示IP地址的木子版本,所以看到好友的IP:xxx.xxx.19.24,发现好友是在学校的实验室上网。我忽发奇想,想看看他们实验室的机器里都有些什么东西,因为以前我知道他们实验室的机子在一个C段里——什么?你让我直接给好友发木马?那小子比猴都精,况且那小子的技术也不是省油灯,还是用迂回战略吧!
z5>3V2j 8 ,'G>\) f 从百宝箱里随便祭出个扫描器,我用的是这个小东东:BluesPortScan,它的扫描速度超快,可惜会漏报。先扫三十台机器吧,端口1—150。扫描完后,一台机器引起了我的注意:机器IP为xxx.xxx.19.7,开了22和80端口。开了22端口,八成就是台Linux机器了。拿SecureCRT连一下22端口:
Fs0w~jO44 =3zHQn-8 小知识:22号端口对应Linux下的SSH,这一服务有许多弱点,建议在其它端口运行SSH。
/8&*ik^n yN?>NIfLZ 79端口的Finger也没开,用户名目前只知道可能的是ROOT,密码先来个123,返回错误,看来要从别处入手了。别处好像只开了80,后来扩大了端口扫描范围又扫出个Oracle的3306端口,不过那个数据库用户ROOT的密码不是空,总不能让我挂本字典去跑吧?还是转到80端口吧。
x+FCy[A)@ gWoyMK#e Telnet上它的80端口,然后GET,返回服务器信息:Server: Apache/1.3.27 (Unix) PHP/4.2.3。用的阿帕奇服务器,不要考虑WEB服务器本身的漏洞了,去网站转悠吧。地址栏里敲入它的地址:xxx.xxx.19.7,回车。网页出来了,看来没有用虚拟主机什么的,八成是学生自己作的东西,不过,虽然网页内容比较官方,但感觉网站好像千疮百孔。用PHP和HTML做的,有好像改得面目全非或自己做的新闻系统,在文章管理系统里找了几个点试了试SQL注入,没有成功,算了,到论坛里看看吧。
jV%^so}; UR%d? Nh 进了论坛里,先习惯性的用admin密码admin登录,竟然成功了,倒啊倒!找个上传点扔个PHP后门上去!接下来却让我大失所望,管理面板里转了半天也找不到个上传点,别说上传头像了,用户资料里就没头像这一项。哪个论坛这么气人?看看网页底部:本论坛代码来自xxx.com,管理员还不错,没改版权信息。看到了这儿想到了什么?赶紧去你自己的网站改敏感字符?呵呵,晚了,地址中打入xxx.com回车,哦,原来是个不错的个人主页,看他的作品里有个微型PHP文本论坛,就是这个了,呵呵,幸亏刚才在论坛里没试SQL注入,不然就白费傻劲了。不管三七二十一,下载下来再说。
BU*B';w/x IB^p1n 下载完成,解压,发现论坛根目录下有个DB文件夹,这就应该是所谓的论坛“数据库”了,打开此文件夹,发现里面都是些.dat文件,用记事本打开,果然是文本格式。警觉的双眼一下子就盯到了那个user.dat上。打开,内容如下:
Ea[b-v5* _-,uc)IUN admin<~>p|lcv<~>3<~>
ecawen@21cn.com<~>peking<~>http://<~><~><~><~><~>3<~>
FLmj5* 2004-01-01<~>1
_|- 725m d9{h3we/ admin是默认用户,p|1cv应该就是加密后的密码了,紧接的“3”代表管理员,后面的就不用看了。迫不及待地在地址栏里里输入:xxx.xxx.19.7 /forums/db/user.dat,天,把里面的内容全打到IE里了,赶紧保存下来。
9pr%p~ jW/n&1MU 好了,找关键的地方,最原先的用户,一般就是第一二个,找到了,是管理员权限,用户名为aaa,密码为4$@A%G,破解出了这个密码,按人的习惯,系统密码不是这个也不远了,至少会前进一大步。重新分析论坛代码,发现用以下的方法做的加密:
CD8&y*D&xn >hY^y"r function t_encrypt($text, $key)
*<O2)N {
'ZN #" $crypt = "";
sZS$r]m2g for($i=0;$i<strlen($text);$i++)
>e ~8<2iB {
(^/x9>A $i_key = ord(substr($key, $i, 1));
Hh*e`H $i_text = ord(substr($text, $i, 1));
K3,,s,rih0 $n_key = ord(substr($key, $i+1, 1));
&/4o_]R $i_crypt = $i_text + $i_key;
<k75KNM $i_crypt = $i_crypt - $n_key;
I1ri$e. $crypt .= chr($i_crypt);
\G;""/Sq }
IIYHAB return $crypt;
k:^$&G5S }
.nooesgFm 还有个key,key在哪呢?在db下的一个mishi.php里,打开内容如下:
vU`kI{* <? $key="jpjtvdomfmawwttsdhoxurmygjjtauefjuimueurisecggpymneslwowuqnzmmgmvjvccmeye
oLn]VQ3 uselymzoinxvqonmhjqjhljywixrdxboqdmmfidlhzrcoatnldlmwvinljayirwqcgazyvfrwvgbgroqfxiqruu
q^%0fx zz rtkpogbkgdibeqejehfamujlqasitbizcxasobkl"; ?>
yv9jwc[@ r|0huI 7 分析加密函数的算法:从密码第一位开始,取密码的一个字符,取key对应位的一个字符,转换成Ascii码相加,然后相加结果再减去key中下一位的Ascii,然后把最后结果再转换成字符即所谓密文存储。
.8a*P-J" w6LY= Substr(string,i,j)函数的作用是将字符串string的第 i 位起取出 j 个字符。Ord()和chr()则分别是字符到Ascii和Ascii到字符的转换函数。简化一下上面算法就是:$i_crypt=$i_text+$i_key-$i+1_key。先拿第一位算吧,假设原密码第一位Ascii码为x,则:
@],^X'. s>_JX`RUO x+ascii(j)-ascii(p)=ascii(4)
S!)Og 用Ascii码算就是x+106-112=52
mwsg = j CE2T8o x=58转换成字符就是“:”,好奇怪。把六位密码全部还原回来,再去论坛登录,糟了,希望破灭了,提示密码错误!管理员大概不会去改代码中加密部分的算法的,难道,管理员把key改了?
mj82Cdm MKJj^FSb 重又回到论坛,注册一个新用户ecawen,密码mygod,然后打开它的user.dat观看,加密后的密文为p|lcv,按下载回来的论坛源代码中的密钥算了算,不对,果然key被改了。但包含key的文件是个mishi.php,key也在PHP语句里,远程根本无法得到,浏览器里打/forums/db/mishi.php返回的只是空白页面,因为传出时PHP语句早被服务器过滤了。怎么办,想了大约几秒钟,还是有办法的,我们不一定要知道确切密钥,知道密文和算法了,这么简单的算法我们应该能把需要的搞出来。
yy1oK2,< y* *cB 假设未知密钥第一位是Ascii码a,每二位是b,依此类推……
7 M +o< T9uyz0 我的用户ecawen的密码(我注册的,当然知道,我输的是mygod)加密后密文是p|lcv,所以我们可以这样算:
%k1o|[' z_|taz,<l (为了看着简洁ascii(m)我们直接用ascii码109)
i5B;\WvN2 109+a-b=112
UQ /?~ 121+b-c=124
LR&cA>zV 103+c-d=108
P )TfF}o .
~!8R[84 .
0: 6YT)}X .
(SpXR_f \F>b-jY7 看晕了吧,其实,我们加个()就豁然开朗了。
{YK `^R 109+(a-b)=112
TV)s?.<? 121+(b-c)=124
A{rZiZ l" 103+(c-d)=108
a::IivT k .
_UN'X*`??Y .
B2~ >3*8 .
|sS=\!%@ Qr^N7K)}> 好了,拿出他的管理员密文来算吧:
|tG1E^% x+(a-b)=52
BcC,UoX&i x+(b-c)=36
B v'lwp* x+(c-d)=64
q0,2CaUf .
@Z 0!.],N .
)Y!wGQpGf+ .
txQ-;6w *A@3 -E? 把x再还原成字符,好了,原密码出来了吧?有点复杂?越这样你会越激动的!不过,有点要注意的是,你注册的用户密码位数要不少于管理员密码位数,此处管理员密码是六位,我一不小心注册了个五位的,到第六位不能算了,还得另注册个用户,走了弯路。
jkI[C2Ft KM e(#P8[e 好了,拿解出的密码登录论坛,成功登录。打开secureCRT通过SSH登录其系统,用户名ROOT,密码为刚解出的那个密码,怀着激动的心情默念到第N声芝麻开门的时候,门开了!进去转吧,因为是好友学校的机器,代理我都没用,有事CALL好友出来垫背!
Zza / fz q?u:%` 后来还发现系统中存在与论坛管理员同名的那个aaa用户且密码也相同,就不再详述了。那些ida/idq、webdav什么的早已远去了, 冲击波那个漏洞满城风雨后也早销声匿迹了,现在专门找系统漏洞的攻击及入侵已经快跟不上时代了,况且网上很多主机前面又是防火墙又是IDS的。而转而分析网站综合缺陷,从网站数据库入手,SQL注入等这些手段正是热潮,所以,管理员同志们,看好你们的每道关口、每个细节!