星外提权新思路&星外安全公告(提权漏洞) |

  • A+
所属分类:Seay信息安全博客

显示不全请点击全屏阅读

声明,这不是什么星外0DAY,这充其量只是一个在找不到可写可执行目录的一个提权思路。我不敢说是我最先发现的,可能有其他人也发现了,并且也在利用了。

其实无数实例证明了lcx前辈那句话,细节决定成败。这只是入侵渗透中的细节问题,刚好我注意到了。下面正文开始。
 
众所周知要成功提权星外主机就要找到可写可执行目录,可近来星外主机的目录设置越来越BT,几乎没有可写可执行目录。所以另一个“提权思路”出现了。寻找服务器上安装的第3方软件某些文件的权限问题来进行文件替换,将这些文件替换为我们的cmd.exe和cscript.exe来提权,经我测试发现以下服务器常用软件的某些文件权限为Everyone即为所有用户权限,可以修改,可以上传同文件名替换,删除,最重要的是还可以执行。
 
首先是我们可爱的360杀毒。
 
c:Program Files360360SafeAntiSectionmutex.db 360杀毒数据库文件
c:Program Files360360SafedeepscanSectionmutex.db 360杀毒数据库文件
c:Program Files360360sdSectionmutex.db 360杀毒数据库文件
 
c:Program Files360360SafedeepscanSectionmutex.db这个文件,只要安装了360杀毒就一定存在,并且有Everyone权限。其他2个文件不一定。
 
c:Program FilesHeliconISAPI_Rewrite3error.log 伪静态设置软件ISAPI Rewrite日志文件
c:Program FilesHeliconISAPI_Rewrite3Rewrite.log 伪静态设置软件ISAPI Rewrite日志文件
c:Program FilesHeliconISAPI_Rewrite3httpd.conf 伪静态设置软件ISAPI Rewrite配置文件
 
主要是ISAPI Rewrite 3.0版本存在权限问题,老版本暂时没发现有此类问题。
 
c:Program FilesCommon FilesSymantec SharedPersist.bak 诺顿杀毒事件日志文件
 
c:Program FilesCommon FilesSymantec SharedValidate.dat 诺顿杀毒事件日志文件
 
c:Program FilesCommon FilesSymantec SharedPersist.Dat 诺顿杀毒事件日志文件
 
诺顿杀毒可能局限于版本,我本机XP并未找到以上文件
 
以下是最后2个可替换文件
c:windowshchiblis.ibl 华盾服务器管理专家文件许可证
 
c:Documents and SettingsAll UsersApplication DataHagel TechnologiesDU Meterlog.csv
 
DU Meter的流量统计信息日志文件
 
暂时知道以上文件权限为Everyone,注意,即使可替换文件的所在目录你无权访问,也照样可以替换执行。比如D:Program Files360360SafedeepscanSectionmutex.db,可D:Program Files360360SafedeepscanSection目录没有访问权限,用BIN牛的aspx大马访问D:Program Files360360SafedeepscanSectio显示拒绝访问,可mutex.db文件在该目录下,你照样可以上传由cmd.exe换名后的mutex.db文件进行替换。
 
这样一来在没有找到可写可执行目录时候,不防查看服务器上是否安装了以上软件,有的话可以上传同文件名替换原文件为你的提权文件。这样就可以成功执行了。
 
===========================================================================
 
目录或文件的权限设置有错会造成入侵!
为了从根本上解决问题,我们建议所有用户升级受控端安装包到2011-3-15版,并点击设置”ASP.net严格安全模型”,以下所说的问题所有设置了asp.net严格安全的用户不受影响.
 
对于服务器上的杀毒软件,我们建议装Mcafee,请不重装360,很多版本的360都有提权问题.
 
在2011-6-8星外发布了新版的星外杀马扫描工具(在群共享或星外后台可以下载)
 
在扫描结果中我们发现在大量服务器存在以下问题.
 
文件:C:WINDOWSTAPItsec.ini
处理办法:直接完全删除这个文件(不要保留在回收站)
 
360的
文件:C:Program Files360360sdSectionmutex.db
文件:C:Program Files360360SafedeepscanSectionmutex.db
文件:C:Program Files360360SafeAntiSectionmutex.db
处理办法:直接完全删除360,所有360删除光后留下的文件都要删除
 
Flash:
文件:C:WINDOWSsystem32MacromedFlashFlash10q.ocx
处理办法:直接完全删除(不要保留在回收站),不要在服务器上装Flash组件
 
IISrewrite3
文件:C:Program FilesHeliconISAPI_Rewrite3Rewrite.log
文件:C:Program FilesHeliconISAPI_Rewrite3httpd.conf
文件:C:Program FilesHeliconISAPI_Rewrite3error.log
处理办法:将三个文件的权限改成erveryone只读权限(没有写的权限)
 
DU Meter的流量统计信息日志文件
c:Documents and SettingsAll UsersApplication DataHagel TechnologiesDU Meterlog.csv
处理办法:删除它
 
诺顿
c:Program FilesCommon FilesSymantec SharedPersist.bak
c:Program FilesCommon FilesSymantec SharedValidate.dat
c:Program FilesCommon FilesSymantec SharedPersist.Dat
处理办法:直接完全删除这个软件
 
华盾
文件:C:WINDOWShchiblis.ibl
处理办法:直接完全删除这个过滤软件,如果因为别的原因不能删除,可以将权限改成everyone读与写,不能有everyone运行的权限.
 
一流过滤:
文件:C:7i24.comiissafelogstartandiischeck.txt
文件:C:7i24.comiissafelogscanlog.htm
如果已经是最新版本的一流(2011-2-19)就不需要处理,如果是旧版本的,要先删除这两个文件,然后再升级一流.正常情况下,这两个文件只有everyone读写的权限(没有运行)
 
其他有可能提示的文件:
文件:C:WINDOWSTempTemporary Internet FilesContent.IE5index.dat
文件:C:WINDOWSTempHistoryHistory.IE5index.dat
文件:C:WINDOWSTempCookiesindex.dat
检查文件在高级权限管理中,是不是有everyone运行的权限,如果没有,就不用处理,如果有运行的权限要取消运行权限
 
文件:C:7i24.comLinkGatelog….
目录:C:7i24.comLinkGatelog
目录:C:7i24.comserverdoctorlog
文件:C:7i24.comserverdoctorlog….
不需要处理,星外的防盗链,服务器医生等软件默认已自动设置好权限
 
如果看下这样的提示:
2011-6-8 15:04:50,方法失败,意外错误代码为 32。
这是扫描软盘A:造成的,不用处理
 
部分zend版本可能有这个提示:
文件:C:Program FilesZendZendOptimizer-3.3.0libOptimizer-3.3.0php-5.2.xZendOptimizer.dll
目录:C:Program FilesZendZendOptimizer-3.3.0libOptimizer-3.3.0php-5.2.x……
处理办法:将everyone的权限删除,改成adms,system全部权限,users只读权限.
 
处理后,请再用星外杀马扫描一次.

Tags:

星外提权,

如果您喜欢我的博客,欢迎点击图片定订阅到邮箱填写您的邮件地址,订阅我们的精彩内容: 也可以点击链接【订阅到鲜果】

如果我的想法或工具帮助到了你,也可微信扫下方二维码打赏本人一杯咖啡
星外提权新思路&星外安全公告(提权漏洞) |