搜索

[20891] 2017-09-07_Windows2008中MagicWinmailServer提权

文档创建者：s7ckTeam
浏览次数：51
最后更新：2025-01-18
2017-09-07_Windows2008中MagicWinmailServer提权 W i n d o w s 2 0 0 8   中   M a g i c   W i n m a i l   S e r v e r   提 权 L e m o n S e c   2 0 1 7 - 0 9 - 0 7 M a g i c   W i n m a i l   S e r v e r 是 安 全 易 用 全 功 能 的 邮 件 服 务 器 软 件 ， 不 仅 支 持 S M T P / P O P 3 / I M A P / W e b m a i l / L d a p ( 公 共 地 址 簿 ) / 多 域 / 发 信 认 证 / 反 垃 圾 邮 件 / 邮 件 过 滤 / 邮 件 组 / 公 共 邮 件 夹 等 标 准 邮 件 功 能 ， 还 有 提 供 R B L / S P F / S p a m   A s s a s s i n / 邮 件 签 核 / 邮 件 杀 毒 / 邮 件 监 控 / 支 持 I I S ， 八 口 ％ 化 / 网 络 硬 盘 及 共 享 / 短 信 提 醒 / 邮 件 备 份 / s s l ( t l s ) 安 全 传 输 协 议 / 邮 件 网 关 / 动 态 域 名 支 持 / 远 程 管 理 / W e b 管 理 / 独 立 域 管 理 员 / 在 线 注 册 / 二 次 开 发 接 口 等 特 色   功 能 。 它 既 可 以 作 为 互 联 网 邮 件 服 务 器 、 局 域 网 邮 件 服 务 器 ， 也 可 以 作 为 A D S L 宽 带 、 F T T B 、   有 线 通 ( C a b l e M o d e m ) 等 接 入 方 式 的 邮 件 服 务 器 和 邮 件 网 关 。 M a g i c   W i n m a i l   s e r v e r 程 序 安 装 为 系 统 服 务 ， 程 序 一 般 是 在 a d m i n i s t r a t o r 权 限 下 运 行 的 ， 而 服 务 程 序 M a i l S e r v e r . e x e 是 在 s y s t e m 权 限 下 运 行 的 ， 因 此 当 有 W e b s h e l l 时 ， 就 可 以 通 过 这 个 漏 洞 来 提 升 权 限 了 。 M a g i c   W i n m a i l   S e r v e r 提 供 的 W e b m a i l 是 通 过 P H P 脚 本 来 实 现 管 理 的 ， 下 面 就 针 对 该 邮 件 服 务 器 的 提 权 和 防 范 进 行 探 讨 。 1 . 获 取 W i n m a i l 目 录 地 址 通 过   W e b s h e l l   找 到 了   W i n m a i l   的 物 理 地 址   “ G : / W i n m a i l / s e r v e r / w e b m a i l / w w w ” ， 如 图   1   所 示 ， 寻 找 w i n m a i l 有 几 种 手 段 ： ( 1 ) 如 果 获 取 的 W e b s h e l l 是 a s p . n e t ， 则 可 以 直 接 查 看 进 程 或 者 服 务 来 获 取 W i n m a i l   的 物 理 地 址 ； 如 果 I I S S P Y 能 用 也 可 以 获 取 W i n m a i l 的 网 站 真 实 路 径 。 ( 2 ) 针 对 目 标 对 象 进 行 m a i l 地 址 测 试 ， 一 般 提 供 w i n m a i l 的 地 址 多 为 m a i l ,   s o m e s i e .   c o m 或 者   w e b m a i l .   s o m e s i t e .   c o m 。
2 . 执 行 w h o a m i 命 令 在 w e b s h e l l 中 进 入   “ E x e c u t e   C o m m a n d ”   页 面 ， 在 u s e 中 选 择   “ p h p f u n c ” ， C o m m a n d 中   输 入   “ w h o a m i ” 命 令 查 看 W e b s h e l l 是 什 么 权 限 ， 如 图 2 所 示 ， 显 示 为 “ n t a u t h o r i t y s y s t e m ”   权 限 。 3 . 添 加 用 户 到 管 理 员 组 既 然 是 系 统 权 限 ， 则 可 以 直 接 执 行 添 加 命 令 ， 由 于 系 统 是 W i n d o w s   2 0 0 8   S e r v e r , 前 几 次 添 加 用 户 老 是 提 示 不 成 功 ， 后 面 分 析 原 因 发 现 W i n d o w s   2 0 0 8   S e r v e r 系 统 用 户 密 码 对 强 度   有 要 求 ， 必 须 具 备 一 定 复 杂 度 才 能 添 加 成 功 ， 如 图 3 所 示 ， 执 行 “ n e t u s e r   S Q L d e b u g g e r   w w w . j y b a s e . n e t   / a d d ” 命 令 成 功 完 成 。 后 面 分 别 执 行 “ n e t   u s e r S Q L d e b u g g e r   A d m i n i s t r a t o r s   / a d d ” 和 “ n e t   l o c a l g r o u p   a d m i n i s t r a t o r s ” 命 令 ， 将 S Q L d e b u g e r 用 户 加 入 到 管 理 员 中 以 及 查 看 管 理 员 用 户 组 中 的 用 户 ， 执 行 效 果 如 图 4 ， 图 5 所 示 。
添 加 用 户 到 管 理 员 组 中 , 查 看 系 统 管 理 员 组 。 4 . 设 置 并 登 陆 远 程 终 端 服 务 器 单 击 “ 开 始 ” - “ 运 行 ” ， 在 运 行 中 输 入 “ m s t s c ” 命 令 ， 打 开 远 程 桌 面 连 接 窗 口 ， 如 图 6 所 示 ， 在 计 算 机 中 输 入 目 标 服 务 器 的 正 地 址 或 者 域 名 ， 在 用 户 名 中 输 入 ％ 0 1 ( 1 吐 叫 8 虹 ” ，   密 码 中 输 入 刚 才 添 加 的 密 码 ， 选 中 “ 保 存 密 码 ” 复 选 框 ， 可 以 在 下 次 连 接 时 不 用 再 次 输 入 密 码 ， 当 然 也 可 以 将 此 次 配 置 另 存 为 一 个 3 3 8 9 的 文 件 。 最 后 单 击 “ 连 接 ” 进 行 登 录 测 试 ， 如 图 7 所 示 ， 成 功 登 录 该 服 务 器 。 5 .   W i n m a i l 邮 箱 用 户 与 口 令 W i n m a i l 的 配 置 文 件 保 存 在 “ G : / W i n m a i   1 / s e r v e r / ” 目 录 ， 也 即 安 装 目 录 下 的 S e r v e r   子 目 录 ， “ u s e r a u t h . c f g ” 文 件 为 邮 箱 用 户 口 令 配 置 ， 邮 箱 登 陆 用 户 名 为 < n a m e > < / n a m e > 之 间 的 字 符 串 ， 如 图 8 所 示 ， 本 例 中 的 用 户 为 p o s t m a s t e r ， 用 户 密 码 为 m d 5 后 的 字 符 串   “ 8 e d 4 4 4 4 0 b 3 e 4 0 7 7 a 7 8 2 f f 5 c c 5 3 4 8 e 3 6 6 ” ， W i n m a i l   还 有 其 它 加 密 方 式 ，
如 果 p a s s w o r d 之 间   为 m d 5 , 则 表 示 为 m d 5 加 密 ， 否 则 为 相 应 的 加 密 方 式 。 该 密 码 可 以 通 过 c m d 5 等 网 站 进 行 查 询 破 解 ， 如 图 9 所 示 ， 由 于 该 密 码 位 数 较 长 ， 属 于 收 费 类 型 。 6 . 进 入 邮 箱 使 用 破 解 的 密 码 和 用 户 名 进 行 登 录 ， 如 图 1 0 所 示 ， 成 功 进 入 登 入 该 邮 件 系 统 ， 通 过 验 证   知 道 W i n m a i l   P H P 版 本 的 邮 件 用 户 密 码 多 采 用 c m d 5 加 密 ， 通 过 分 析 其 配 置 文 件   u s e r a u t h .   c f g ,   可 以 获 取 该 m a i l 邮 件 服 务 器 的 所 有 用 户 名 和 密 码 。 7 . w i n m a i l 服 务 器 防 范 W i n m a i l 服 务 器 本 身 相 对 比 较 安 全 ， 但 该 软 件 将 p h p 脚 本 环 境 的 权 限 设 置 为 系 统 权 限 就 相 对 危 险 了 ， 其 防 范 方 法 有 下 面 一 些 ： ( 1 ) 降 低 w i n m a i l 的 权 限 ( 2 ) 设 置 w i n m a i l   W e b 目 录 为 只 读 ， 这 样 即 使 入 侵 者 获 取 了 w e b s h e l l 也 因 为 没 有 写 入 权 限 而 无 法 执 行 脚 本 命 令 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理