剑走偏锋——灵巧的旁注攻击

　本文的技术并不是最新的，涉及到的技术含量也不是很多，重要的是其中的渗透思路。

　　终于高中毕业了，一定要在暑假努力学习，发奋学习，以前入侵少之又少，都是研究这样研究那样，实战经验太欠缺了，所以决定暑假恶补一下渗透技术，顺便又可以看看国内主机的安全性。暑假 6 月整整学习了一个月的渗透，从 xiaolu 身上学习到不少好的思路和经验。在此谢谢 xiaolu 了。

　　一个多月的时间里，渗透过上百台服务器，有独立的，有虚拟主机的，有群组的，有国内和国外，我发现一个极其严重的问题，国外的服务器，普遍安全性都非常高，管理员的安全意识非常高，做个比例，如果国内平均每 10 台服务器，能渗透进去 6 台甚至更多，那国外、台湾的，平均每 10 台服务器仅仅能渗透 1 台。当然我的水平也是一个问题。可是却反映出国内的管理员的水平的的确确比国外的要差几个档次。国内的管理员的技术和意识，迫切需要大幅度提高。

　　不过国内的也有比较 bt 的管理员，我就遇见几个服务器设置得非常。其中一个的 documents and settings 目录下还有 nsfocus 目录，难道是 nsfocus 公司帮做的安全？这个服务器我们没有拿下，还有另外一个，就是今天的重点。

　　一次看见了一个学校论坛（http://www.*****.com），还蛮火爆的，顿时兴趣来了， ping 了一下，发现 4 个包都返回 request timed out. 估计是搞了策略或者防火墙的，象我这种以 web 安全的，自然喜欢从站点上找漏洞，自从学习 web 开始，我就落下一个怪癖，就是如果实在从 web 上找不到什么漏洞，宁愿放弃也不用什么漏洞扫描器。

　　大概看了看站点。就是一个论坛，采用 leadbbs ，拿这个论坛没辙，还有其他办法，因为刚才我访问这个 ip ，返回"no web site is configured at this address."，初步判断是虚拟主机，前段时间那几个黑站狂黑站的成功几率为什么这么高？因为有 http://whois.webhosting.info 这个网站，可以查询一个 ip 上，绑定了多少个域名。如果真的是虚拟主机，这个学校论坛没有漏洞，不代表其他站点就没有，很快的，我就通过一个小公司站点（ http://***.anyhost/ ）上的 dvbbs 6.0 传了一个 aspshell 上去，谁知道仅仅能够对自己的目录进行操作。而且自己的目录没有执行程序的权限，又用不了 nfso ，手工跳转 url 中的目录，也没有多少个可以浏览的，重要的 program files 和 documents and settings 目录都看不了，从 aspshell 反馈的信息来看，每个站点都设置了单独的用户，似乎一切都陷入僵局。

　　没有目的的跳转目录着......

　　我习惯性的在 url 跳转到 c:\php，没想到居然可以看见了，那这个主机很可能就会支持 php 了，马上传了一个 phpspy 上去，非常幸运，顺利看到了登陆入口，可是没想到进入以后才发现，php.ini 亦设置得异常 bt，安全模式打开了， phpinfo 函数也被禁用了，看不了详细的系统信息，不过看 phpspy 自带的探针可以发现，allow_url_fopen、display_errors、 register_globals 统统关闭，system、passthru、exec、shell_exec 几个函数都无一幸免的被禁用了，直接跳转目录还是只可以看到这些目录而已，各个站点的目录都是类似于 "d:\websites\school.com#dlfjurdlkfjk" 这样的，每个站点目录后面的那些字符串都不一样，也跳转不到，后来我猜测后面的字符串就是 ftp 密码，试验了一下，无法登陆，看似柳暗花明，希望又破灭了......

　　结束了吗？不，我试着 ftp 一下：

c:\documents and settings\administrator>ftp www.*****.com
connected to www. school.com.
220 welcome to ftp server...
user (www.***.com:(none)):
331 user name okay, need password.
password:
530 not logged in.
login failed.
ftp> bye
221 goodbye!

　　从返回的信息判断，我们还是有希望的。尽管他修改了 ftp server 的 banner，但是从 user name okay, need password. 这句我们还是大胆的判断这个服务器就是采用 serv-u ，我上手有目前所有版本 serv-u 本地提升权限的 exploit ，如果我能传一个上去，并且能够执行，一切就明朗了。再仔细想想有哪个目录可以写的？当时在 c:\php 目录下没有发现 sessiondata 目录，而且也不是自动安装版，估计管理员把 session 的目录换到其他地方了，不然这个目录是 everyone 可写的......

　　原来我还忘记了一个最重要的目录， c:\documents and settings\all users ，从这个目录可以知道很多信息，这个目录一般、至少都是 everyone 可读的，这样我们就可以知道好多有用的信息了，直接通过我的 aspshell 手工跳转到这个目录，呵呵。马上看到了想看的目录树。

application data
documents
drm
favorites
templates
「开始」菜单
桌面

（）

下一篇：小心QQ密码被远程破解

↓相关文章：