危機現身
越來越多的公司組建起自己的門戶網站，網絡空間提供商也如雨後春筍般迅速增多，為了爭取到更多的客戶，他們打起了價格戰。然而，在一個個低價套餐的背後，空間提供商是否真像它們所承諾的那樣實行了“24×365”小時的專人監護呢？網站是否真的堅如磐石呢？
你可知道，在某些莊重的承諾背後沒有安全、沒有保護。一個個寄存於服務器上的小小網站，隨時都有可能因某個網站上的某個漏洞而“灰飛煙滅”。我們有義務讓大家了解、關注。現在，“木馬屠城”欄目將帶領大家從一次攻擊開始……
我們此次攻擊（無破壞成分）的突破口就在某家電台網站所采用的留言系統上。由於該ASP留言板的上傳機制並不完善，攻擊者可以通過本地欺騙的方式上傳木馬。更為嚴重的是，由於存放該網站的IIS服務器並未對外部客戶端用戶的訪問權限和腳本執行等方面進行限制，我們可以輕易地跨站攻擊存放於同一服務器上的其他30多家網站。
“我復出了，我決定選擇一個目標，下手，借以宣告我的復出，大家可以開始恐慌了……”2005年4月的一個早晨，我在自己的博客上留下了以上幾句話。
可能是由於愛聽廣播的緣故，我選中了本地辦得最差的電台的網站，下手。此時，我需要一個漏洞來完成我的攻擊。
3分鐘後，我看到了一個我非常熟悉的留言板。它，應該有一個致命的漏洞，一個木馬將毀掉它。TW.wiNGwIT.CoM
意外！沒想到在攻破這個網站後，整個服務器擺在了我的面前……
鎖定目標，閃電下手
1．尋找漏洞
筆者事先並不知道留言系統（為了廣大網站的安全，本文不公布留言系統的名稱）具體的上傳頁面的文件名。幸好該系統可以非常輕易地在專業ASP代碼站點下載到，經筆者通過構建在自己機器的IIS平台上模擬運行的結果得知留言系統的上傳頁面名為“upfile_article.asp”。漏洞被找到了，現在就可以在互聯網上尋找使用該留言系統的網站進行攻擊了。
2．投石問路
以文章開頭所提到的電台的網站為例。首先運行IE浏覽器打開該網站，在默認留言系統的地址“http://www.***.com/lyb/”後加上上傳頁面文件名“upfile_article.asp”並回車。如果默認的上傳頁面未被管理員更改或刪除，IE得到的反饋信息將會是“請先選擇你要上傳的文件！”，這也就意味著入侵已經成功了一半。
3．栽種木馬
接下來，在本地機器上運行事先下載好的該留言系統的上傳頁面up.htm，進入上傳操作頁面。
在該頁面中點擊右鍵，選擇查看源文件。在彈出的記事本中，找到關鍵代碼“
現在，刷新“up.htm”頁面，在第一個浏覽框內隨意選擇一個JPG文件，在第二個浏覽框內選擇事先准備好的ASP木馬文件（本文以上傳一個“過渡性”木馬為例），此時一定要在文件“.asp”擴展名後增加一個空格。稍等數秒，頁面下方會出現“完畢”字樣，這說明文件上傳結束。
提示：一定要在“.asp”後加上一個空格，否則上傳會失敗。因為通常情況下，為了防止黑客上傳ASP木馬，留言板程序都會過濾“ASP”關鍵字。
現在，查看當前空白頁面的源文件，網站服務器Upload目錄下的200532621393361.asp文件就是剛才上傳的ASP木馬。現在運行IE浏覽器輸入地址“http://www.***.com/lyb/Upload/20053
2621393361.asp”並回車。可以看到剛才上傳的“過渡性”木馬程序已經成功植入（圖1）。
圖1
提示：“過渡性”木馬可以為攻擊者生成各種各樣的“小木馬”，是進行入侵的必備工具。
根據“過渡性”木馬的偵測，可得知當前服務的絕對路徑為“E:\***\lyb\Upload\200532621393361.asp”（留言系統存在於服務器的E盤，“***”表示存放該網站的文件夾的名稱）。
可以利用“過渡性”木馬生成入侵者想要的不同功能的木馬到較為“安全”的目錄。在“輸入木馬內容”框中輸入ASP木馬的代碼後，只要填好木馬的保存路徑以及文件名，點擊“保存”即可。
4．完善木馬
現在，可以自行制作一個功能強大的木馬並利用剛才提到的“輸入木馬內容”框上傳木馬到網站中。
本文以“海陽頂端ASP木馬”的配制和使用為例來進行講解。首先運行2006X.exe，點擊“打開”選擇2006.asp，填寫好存放路徑、文件名和服務端密碼，然後點擊“生成服務端頁面”即可。
海陽頂端ASP木馬中有很多沒必要使用的功能，要想自行設置可以使用2006Z.exe來生成自己需要的木馬（簡稱為“自定義版”）。
木馬制作告一段落，回到“過渡性”木馬窗口。針對本文所提到的服務器，可以將木馬生成到E:\***\lyb\2006a.asp中。生成木馬後，當前頁面（200532621393361.asp）會自動刷新並提示“save Success!”。
5．開始控制
萬事俱備，只欠東風。將自己制作的ASP木馬上傳完畢後，也就意味著入侵已經接近尾聲。
來看看戰果，運行IE浏覽器，輸入地址“http://www.***.com/lyb/2006a.asp”並回車，出現海陽頂端ASP木馬的登錄界面，輸入密碼進行登錄，木馬強大的功能展示在眼前（圖2）。
圖2
先來看看“服務器相關數據”吧，這裡詳細羅列出了被入侵服務器的各種信息，包括操作系統、系統設置等。而在“系統服務信息”裡則羅列出了當前機器啟動和安裝的服務。利用“文本文件搜索器”可以尋找指定文件。這些功能對於進一步入侵是相當有幫助的。
值得一提的是“Shell.Application文件浏覽操作器”，進入該操作器後，可以像操作本地機器的資源管理器一樣控制被入侵的服務器（圖3）。
圖3
筆者在服務器上“游弋”一番後，發現該電台網站所在的E盤正是該服務器架設網站的分區，其中每一個文件夾就是一個單獨的站點（30多個文件夾對應30多個不同的網站）。由於該空間提供商為每家網站都設置了二級域名轉換，為了管理方便，網站文件夾的名字都是以它們的二級域名設置的。這對於入侵者來說簡直就是送上門的肥肉。
每個文件夾下的index.htm（或default.asp）都是對應網站的首頁文件，入侵者只要在“Shell.Application文件浏覽操作器”中“上傳”自己准備好的網頁替換原有網頁，那麼當訪問者再訪問這些站點時，看到的將會是入侵者惡意修改後的網頁。可以說攻擊者掌握著30多個網站的命運。
堅壁清野，組建防線
如果說導致電台網站被攻陷的上傳漏洞是不可避免的，那麼該網站的服務器管理員在安全防范上的疏忽，從而導致攻擊者可以輕易地跨站入侵其他站點則是可以避免的。
1．正確設置訪問權限
由於該空間服務器所采用的是IIS環境，那麼外部客戶端在訪問網站時都是以IUSR_ServerName用戶的權限執行所有操作的，所以為了保證系統的安全，必須對該用戶的權限作一些限制。
首先，要刪除Everyone對系統所有的卷的訪問權限。由於Everyone是各用戶（組）權限設置的父對象，所以在刪除Everyone權限之前，要取消子對象對父對象權限的繼承。
接著就是對IUSR_ServerName用戶作設置。對於不用通過IIS進行寫操作的目錄，應該取消“寫入”權限即可。
2．腳本限制保平安
腳本執行的設置對於IIS服務器也是不可缺少的。對於網站服務器中保存著非腳本文件的目錄，應該禁止執行其中的腳本文件。
如此一來，即使黑客利用管理員所未顧及到的漏洞取得了網頁控制權限，也無法對存放在同一台服務器上的網站形成威脅，而解決留言板漏洞的唯一方法則是“更換”。
事件總結
一個網站的漏洞直接導致整個空間服務器的“失守”，這完全可以用“千裡之堤，潰於蟻穴”來形容，一個小小的留言板上傳漏洞所牽涉出來的如此多的安全隱患足以引起我們的重視。
如果該空間服務器的網管采取了相應的安全保護措施，完全可以在“災害”來臨時將損失降低到最低限度。但正是因為當前很多網管抱著“僥幸”心理，才讓入侵者有空子可鑽。
試想，企業級網站的空間提供商對於安全問題如此草率，那麼其他的私人空間提供商又如何呢？那些缺少安全知識的個人IIS服務器架設者豈不是更加岌岌可危？
更為嚴重的是，這種“一家失火，十家遭殃”的情況並不是危言聳聽，存在這一漏洞的空間服務器是很多很多的。因此，面對現狀，我們不能逃避，查漏補缺、提高安全意識已迫在眉睫。
From:http://tw.wingwit.com/Article/Network/201309/1041.html