香港虚拟主机
本站公告
新闻资讯
虚拟主机帮助
域名帮助
服务器帮助
邮箱帮助
建站帮助
网站推广帮助
VPS帮助
特色主机帮助
网站备案专题
会员帮助信息
代理帮助信息
成功案例
我司获香港虚拟主机排行榜十…
香港虚拟主机金秋促销活动正…
百度整治给SEO带来了新的希望
百度同时收录网站带WWW和不带…
百度对原创内容的判断标准 如…
如何建设网站 网站建设三步曲
如何挑选老域名 老域名有那些…
域名常见故障与分析
虚拟主机基本参数介绍
交换链接的技巧 谈一下选择交…
您现在的位置: 江南数联 >> 帮助中心 >> 服务器帮助 >> 正文

星外提权新思路&星外安全公告(提权漏洞)

  作者:admin    来源:本站原创    点击次数:29     更新时间:2012-9-18 6:44:27  
     
 
关注石头有礼
 
 

星外提权新思路&星外安全公告(提权漏洞)

声明,这不是什么星外0day,这充其量只是一个在找不到可写可执行目录的一个提权思路。我不敢说是我最先发现的,可能有其他人也发现了,并且也在利用了。
其实无数实例证明了lcx前辈那句话,细节决定成败。这只是入侵渗透中的细节问题,刚好我注意到了。下面正文开始。
众所周知要成功提权星外主机就要找到可写可执行目录,可近来星外主机的目录设置越来越BT,几乎没有可写可执行目录。所以另一个“提权思路”出 现了。寻找服务器上安装的第3方软件某些文件的权限问题来进行文件替换,将这些文件替换为我们的cmd.exe和cscript.exe来提权,经我测试 发现以下服务器常用软件的某些文件权限为Everyone即为所有用户权限,可以修改,可以上传同文件名替换,删除,最重要的是还可以执行。
首先是我们可爱的360杀毒。
c:\Program Files\360\360Safe\AntiSection\mutex.db 360杀毒数据库文件
c:\Program Files\360\360Safe\deepscan\Section\mutex.db 360杀毒数据库文件
c:\Program Files\360\360sd\Section\mutex.db 360杀毒数据库文件
c:\Program Files\360\360Safe\deepscan\Section\mutex.db这个文件,只要安装了360杀毒就一定存在,并且有Everyone权限。其他2个文件不一定。
c:\Program Files\Helicon\ISAPI_Rewrite3\error.log 伪静态设置软件ISAPI Rewrite日志文件
c:\Program Files\Helicon\ISAPI_Rewrite3\Rewrite.log 伪静态设置软件ISAPI Rewrite日志文件
c:\Program Files\Helicon\ISAPI_Rewrite3\httpd.conf 伪静态设置软件ISAPI Rewrite配置文件
主要是ISAPI Rewrite 3.0版本存在权限问题,老版本暂时没发现有此类问题。
c:\Program Files\Common Files\Symantec Shared\Persist.bak 诺顿杀毒事件日志文件
c:\Program Files\Common Files\Symantec Shared\Validate.dat 诺顿杀毒事件日志文件
c:\Program Files\Common Files\Symantec Shared\Persist.Dat 诺顿杀毒事件日志文件
诺顿杀毒可能局限于版本,我本机XP并未找到以上文件
以下是最后2个可替换文件
c:\windows\hchiblis.ibl 华盾服务器管理专家文件许可证
c:\Documents and Settings\All Users\Application Data\Hagel Technologies\DU Meter\log.csv
DU Meter的流量统计信息日志文件
暂时知道以上文件权限为Everyone,注意,即使可替换文件的所在目录你无权访问,也照样可以替换执行。比如D:\Program Files\360\360Safe\deepscan\Section\mutex.db,可D:\Program Files\360\360Safe\deepscan\Section目录没有访问权限,用BIN牛的aspx大马访问D:\Program Files\360\360Safe\deepscan\Sectio显示拒绝访问,可mutex.db文件在该目录下,你照样可以上传由cmd.exe 换名后的mutex.db文件进行替换。
这样一来在没有找到可写可执行目录时候,不防查看服务器上是否安装了以上软件,有的话可以上传同文件名替换原文件为你的提权文件。这样就可以成功执行了。
===========================================================================
目录或文件的权限设置有错会造成入侵!
为了从根本上解决问题,我们建议所有用户升级受控端安装包到2011-3-15版,并点击设置”ASP.net严格安全模型”,以下所说的问题所有设置了asp.net严格安全的用户不受影响.
对于服务器上的杀毒软件,我们建议装Mcafee,请不重装360,很多版本的360都有提权问题.
在2011-6-8星外发布了新版的星外杀马扫描工具(在群共享或星外后台可以下载)
在扫描结果中我们发现在大量服务器存在以下问题.
文件:C:\WINDOWS\TAPI\tsec.ini
处理办法:直接完全删除这个文件(不要保留在回收站)
360的
文件:C:\Program Files\360\360sd\Section\mutex.db
文件:C:\Program Files\360\360Safe\deepscan\Section\mutex.db
文件:C:\Program Files\360\360Safe\AntiSection\mutex.db
处理办法:直接完全删除360,所有360删除光后留下的文件都要删除
Flash:
文件:C:\WINDOWS\system32\Macromed\Flash\Flash10q.ocx
处理办法:直接完全删除(不要保留在回收站),不要在服务器上装Flash组件
IISrewrite3
文件:C:\Program Files\Helicon\ISAPI_Rewrite3\Rewrite.log
文件:C:\Program Files\Helicon\ISAPI_Rewrite3\httpd.conf
文件:C:\Program Files\Helicon\ISAPI_Rewrite3\error.log
处理办法:将三个文件的权限改成erveryone只读权限(没有写的权限)
DU Meter的流量统计信息日志文件
c:\Documents and Settings\All Users\Application Data\Hagel Technologies\DU Meter\log.csv
处理办法:删除它
诺顿
c:\Program Files\Common Files\Symantec Shared\Persist.bak
c:\Program Files\Common Files\Symantec Shared\Validate.dat
c:\Program Files\Common Files\Symantec Shared\Persist.Dat
处理办法:直接完全删除这个软件
华盾
文件:C:\WINDOWS\hchiblis.ibl
处理办法:直接完全删除这个过滤软件,如果因为别的原因不能删除,可以将权限改成everyone读与写,不能有everyone运行的权限.
一流过滤:
文件:C:\7i24.com\iissafe\log\startandiischeck.txt
文件:C:\7i24.com\iissafe\log\scanlog.htm

本章关健词:江南数联 域名注册 海外虚拟主机 G享虚拟主机 国内虚拟主机 企业邮箱 网站建设 自助建站 400电话申请 微聚商

 
  版权申请:星外提权新思路&星外安全公告(提权漏洞)出自江南数联dns06.com未经授权请勿转载!  
 
  • 上一篇帮助:

  • 下一篇帮助:
  •  
         

    扫一扫关注公众号有礼
    Copyright@2004-2015 江南数联 版权所有未经授权请勿复制!
    《中华人民共和国增值电信业务经营许可证》ISP证编号:皖B2-20080036 湘B2-20160056
    公司全称:永州石头网络技术有限公司(运营部)
    地址: 中国·湖南省永州市育才路158号 服务热线:400 616 9260
    安徽公司:安徽仁科信息技术有限公司 地址:合肥万和新城广场A-608 
    关注词:网站空间虚拟空间空间域名域名空间域名主机网站空间哪家好网站空间多少钱