对某国家级重点职教网的一次安全渗透网站安全

对某国家级重点职教网的一次安全渗透网站安全

对某国家级重点职教网的一次安全渗透网站安全 篇1

一个朋友准备上某职业技术学校，说该学校号称是国家级重点中等职业学校，只要进入该学校每个学生即可享受3000元国家助学金，该学校网站如图1所示，目前要了解一个学校，只有两种方式，一种是进行实地考察，另外一种就是通过网站来了解，既然朋友给了一个网站就就看看该网站的安全情况如何，

图1 某职校网站

一、信息收集

1.获取IP地址信息

直接打开DOS窗口，然后使用“ping www.**j.com”获取该网站的真实IP地址，如图2所示，通过ping命令知道该主机无丢包率，延迟时间为49。

图2 获取IP地址信息

说明：

使用ping命令一方面是为了获取IP地址，另外通过延迟时间来判断网络速度快慢，也便于后期对该服务器的一些口令检测，例如mysql、mssql、ftp以及pop3等口令的检测。

2.初步获取端口开放情况

使用“sfind.exe Cp 61.*.*.96”命令来获取该职校服务器的端口开放情况，如图3所示，该服务器开放了21、80以及3389端口，通过端口扫描可以初步判断为该服务器为Windows系列。

图3 获取端口初步开放情况

技巧：

(1)3389端口一般为远程终端服务开放端口，只要见(该端口可以初步断定为Windows系列主机。

(2)可以先使用3389远程终端连接器连接该IP地址进行登录尝试，如果登录成功，可以看到该操作系统是Windows Server还是Windows Server。本例中通过3389远程终端连接器连接，获取该系统为Windows 2000 Server操作系统。

(3)可以使用superscan以及X-scan等扫描软件扫描端口，X-scan扫描软件个头比较大，扫描操作相对复杂，扫描结果比较全面。

说明：

Superscan3.0版本扫描的结果可以直接访问80、21以及23等服务。二、口令检测

1.扫描口令

根据个人爱好，我一般是脚本检测和口令检测同步进行，在肉鸡上直接运行hscan，设置好参数开始扫描，在本次检测中比较幸运，扫描出该主机IP地址存在弱口令，在本地运行“CuteFtp8.0Professional”，单击“Site Manager”在其中新建一个站点，输入该主机IP地址和和获取的用户名以及密码，最后单击“连接”，进行登录尝试，如图4所示，登录成功。

图4 使用CuteFtp8.0Professional连接Ftp服务器

2.信息分析

通过“CuteFtp8.0Professional”软件对该Ftp服务器的当前用户目录中的内容进行查看，在图4中，我们可以看到该Ftp目录中存在conn.asp数据库连接文件，在该目录还可以看到一个比较熟悉的文件newasp.asp(木马程序常用的一个文件名称)文件，将以上文件下载到本地，并通过UltraEdit-32编辑器打开conn.asp文件，如图5所示。知道该Web站点使用的是Access数据库，数据库路径为根目录下的“database”，数据库名称为“l***88.asa”，该网站系统使用的是PowerEasy，即使用动易网络论坛系列。

图5 查看conn.asp文件内容

3.获取Webshell

查看conn.asp文件后，继续查看其它文件，在newasp.asp文件中我们发现如图6所示，可以很清楚的看出该文件就是一个Webshell，从中还可以看到该Webshell的密码为“h***56”。既然获取该Webshell后，那就直接在该网站输入IP地址后进行尝试。

图6 获取Webshell地址三、实施控制和渗透

1.获取Webshell

在浏览器中输入“网站地址+对应的Webshell地址”，在本例中输入“www.n**.com/newasp.asp”，如图7所示，该Webshell可以正常运行，说明该Webshell可用，

图7 获取Webshell

2.通过Webshell查看文件

在Webshell中输入密码后单击“登录”按钮，验证通过后，如图8所示，可以正常使用该Webshell，通过该Webshell可以看到该网站下的所有文件，通过Webshell可以下载、删除、移动以及编辑等操作。

图8 通过Webshell查看文件

3.通过Serv-U提升权限

在该Webshell中单击“Serv-U提升权限(超强版)”，进入提升权限界面，在该界面中使用默认设置即可，然后单击“提交”按钮将添加密码为“pass13”，用户名称为“user13$”的用户到管理员组中，如图9所示。

图9添加用户提升权限

说明：

(1)在使用Serv-U提升权限时，一般采用Webshell默认的用户名和密码为佳。(2)如果服务器口令有强制性设置，则在添加用户密码时需要满足复杂性要求，即要求满足大小写字母、特殊字符、数字以及位数等要求。

4.提升权限成功

如图10所示，提升权限成功后会给出相应的提示，不过需要注意有时候即使显示成功也不一定添加用户成功。

图10 提升权限显示成功

5.登录服务器

打开远程终端登录器(mstsc.exe)，输入刚才添加的用户名和密码，进行登录尝试，登录验证通过后，成功进入该服务器，如图11所示，在该服务器上查看管理员用户组时发现除刚才添加的用户外，还可以看到“iis_helper”用户也为管理员组，通过查看该用户密码修改时间，获取该用户是10月28日添加的，查看newasp.asp文件的时间是8月11日，可以判断该服务器可能在208月就曾经被入侵过。

图11登录服务器五、简单的安全加固

1.使用“360安全卫士”进行简单安全加固

在该计算机上发现安装有“360安全卫士”，打开“360安全卫士”对系统进行一些简单的安全扫描，如图17所示，在恶意插件扫描中，一共发现有9个，将其清除，修复系统存在的安全漏洞。后面还使用360卫士清理启动选项等，对该服务器进行简单加固。

图17 使用“360安全卫士”进行简单加固

2.使用杀毒软件清除系统中的病毒

使用MacFee杀毒软件对系统中的磁盘进行扫描处理，如图18所示，发现系统中存在一些病毒，该文件所在目录为一个Ftp匿名登录目录，可以猜测有可能是入侵者利用社会工程学在进行挂马。

图18 使用杀毒软件进行杀毒

六、总结

本次安全检测仅仅通过扫描Ftp、Mysql以及MSSQL弱口令就获取了某职业学校的控制权限，如果有时间和耐心应该可以渗透该内部网络。本次安全检测的关键就是通过“CuteFtp8.0Professional”软件获取了网站的一些关键文件，包括Webshell，直接通过Serv-U就提升权限成功，进而成功控制系统，就个人经验来说，可以采取以下一些措施来加固系统。

(1)重新更换系统中的所有密码，删除多余的管理员。

(2)对系统进行杀毒、木马检测、端口查看、网络连接等安全检查。

(3)对网站代码进行安全检测，查看代码中是否包含后门和木马代码。

(4)安装防火墙并及时升级系统防火墙、系统补丁。

(5)更改3389端口为其它端口，在事件中增加安全审核，并仅仅授权管理IP地址，即仅仅某一个网段或者某一个IP地址才能访问3389。

(6)严格控制Ftp用户以及目录，如果没有特殊的需要，尽量使用Windows自带的Ftp服务。