其實無數實例證明了lcx前輩那句話，細節決定成敗。這只是入侵滲透中的細節問題，剛好我注意到了。下面正文開始。

 

眾所周知要成功提權星外主機就要找到可寫可執行目錄，可近來星外主機的目錄設置越來越BT，幾乎沒有可寫可執行目錄。所以另一個“提權思路”出現了。尋找服務器上安裝的第3方軟件某些文件的權限問題來進行文件替換，將這些文件替換為我們的cmd.exe和cscript.exe來提權，經我測試發現以下服務器常用軟件的某些文件權限為Everyone即為所有用戶權限，可以修改，可以上傳同文件名替換，刪除，最重要的是還可以執行。

 

首先是我們可愛的360殺毒。

 

c:\Program Files\360\360Safe\AntiSection\mutex.db 360殺毒數據庫文件

c:\Program Files\360\360Safe\deepscan\Section\mutex.db 360殺毒數據庫文件

c:\Program Files\360\360sd\Section\mutex.db 360殺毒數據庫文件

 

c:\Program Files\360\360Safe\deepscan\Section\mutex.db這個文件，只要安裝了360殺毒就一定存在，并且有Everyone權限。其他2個文件不一定。

 

c:\Program Files\Helicon\ISAPI_Rewrite3\error.log 偽靜態設置軟件ISAPI Rewrite日志文件

c:\Program Files\Helicon\ISAPI_Rewrite3\Rewrite.log 偽靜態設置軟件ISAPI Rewrite日志文件

c:\Program Files\Helicon\ISAPI_Rewrite3\httpd.conf 偽靜態設置軟件ISAPI Rewrite配置文件

 

主要是ISAPI Rewrite 3.0版本存在權限問題，老版本暫時沒發現有此類問題。

 

c:\Program Files\Common Files\Symantec Shared\Persist.bak 諾頓殺毒事件日志文件

 

c:\Program Files\Common Files\Symantec Shared\Validate.dat 諾頓殺毒事件日志文件

 

c:\Program Files\Common Files\Symantec Shared\Persist.Dat 諾頓殺毒事件日志文件

 

諾頓殺毒可能局限于版本，我本機XP并未找到以上文件

 

以下是最后2個可替換文件

c:\windows\hchiblis.ibl 華盾服務器管理專家文件許可證

 

c:\Documents and Settings\All Users\Application Data\Hagel Technologies\DU Meter\log.csv

 

DU Meter的流量統計信息日志文件

 

暫時知道以上文件權限為Everyone，注意，即使可替換文件的所在目錄你無權訪問，也照樣可以替換執行。比如D:\Program Files\360\360Safe\deepscan\Section\mutex.db，可D:\Program Files\360\360Safe\deepscan\Section目錄沒有訪問權限，用BIN牛的aspx大馬訪問D:\Program Files\360\360Safe\deepscan\Sectio顯示拒絕訪問，可mutex.db文件在該目錄下，你照樣可以上傳由cmd.exe換名后的mutex.db文件進行替換。

 

這樣一來在沒有找到可寫可執行目錄時候，不防查看服務器上是否安裝了以上軟件，有的話可以上傳同文件名替換原文件為你的提權文件。這樣就可以成功執行了。

 

===========================================================================

 

目錄或文件的權限設置有錯會造成入侵!

為了從根本上解決問題,我們建議所有用戶升級受控端安裝包到2011-3-15版,并點擊設置”ASP.net嚴格安全模型”,以下所說的問題所有設置了asp.net嚴格安全的用戶不受影響.

 

對于服務器上的殺毒軟件,我們建議裝Mcafee,請不重裝360,很多版本的360都有提權問題.

 

在2011-6-8星外發布了新版的星外殺馬掃描工具(在群共享或星外后臺可以下載)

 

在掃描結果中我們發現在大量服務器存在以下問題.

 

文件:C:\WINDOWS\TAPI\tsec.ini

處理辦法:直接完全刪除這個文件(不要保留在回收站)

 

360的

文件:C:\Program Files\360\360sd\Section\mutex.db

文件:C:\Program Files\360\360Safe\deepscan\Section\mutex.db

文件:C:\Program Files\360\360Safe\AntiSection\mutex.db

處理辦法:直接完全刪除360,所有360刪除光后留下的文件都要刪除

 

Flash:

文件:C:\WINDOWS\system32\Macromed\Flash\Flash10q.ocx

處理辦法:直接完全刪除(不要保留在回收站),不要在服務器上裝Flash組件

 

IISrewrite3

文件:C:\Program Files\Helicon\ISAPI_Rewrite3\Rewrite.log

文件:C:\Program Files\Helicon\ISAPI_Rewrite3\httpd.conf

文件:C:\Program Files\Helicon\ISAPI_Rewrite3\error.log

處理辦法:將三個文件的權限改成erveryone只讀權限(沒有寫的權限)

 

DU Meter的流量統計信息日志文件

c:\Documents and Settings\All Users\Application Data\Hagel Technologies\DU Meter\log.csv

處理辦法:刪除它

 

諾頓

c:\Program Files\Common Files\Symantec Shared\Persist.bak

c:\Program Files\Common Files\Symantec Shared\Validate.dat

c:\Program Files\Common Files\Symantec Shared\Persist.Dat

處理辦法:直接完全刪除這個軟件

 

華盾

文件:C:\WINDOWS\hchiblis.ibl

處理辦法:直接完全刪除這個過濾軟件,如果因為別的原因不能刪除,可以將權限改成everyone讀與寫,不能有everyone運行的權限.

 

一流過濾:

文件:C:\7i24.com\iissafe\log\startandiischeck.txt

文件:C:\7i24.com\iissafe\log\scanlog.htm