walkerxk

引用:

下面是引用alone于2006-11-04 20:46发表的:
服务器管理人员应该测试一下..

你是怎么过关的？也是和楼上的一样？说出来看看，说不定可以从你的经历里找到突破口。

walkerxk

我试了一下，发现如果所有者是www-data的话，删除和替代都是没有问题的。
由于后来发现入侵后文件所有者改不回来，所以我写了下面这个脚本。至于以前的attack目录的所有者是谁，我还真的没有仔细看。
chown -R root /var/www/attack/
chgrp www-data /var/www/attack/cp
chgrp -R www-data /var/www/attack/images
chgrp www-data /var/www/attack/index.html
chgrp www-data /var/www/attack/index1.php
chgrp www-data /var/www/attack/traceroute.htm
chmod o-rwx /var/www/attack/
chmod g-w /var/www/attack/
chmod u+s /var/www/attack/cp
cp /var/www/attack/index.html /home/lupa/

walkerxk

我已经用邮件通知了mhxueshan、ethan、austiny，希望他们的过关经历可以给我们一些帮助。

julang3

引用:

下面是引用walkerxk于2006-11-05 10:53发表的:

我可以提醒一下大家，加了X的程序相当于WIN下面的EXE文件，WIN下面的病毒、木马并不一定是EXE，还有可能是VBS，EML等（这两种应该很常见的吧），然后通过一个电脑上的程序执行这个东西，比如a.exe a.vbs，而不是直接执行a.vbs（WIN的双击就是调用相关程序执行相关文件，并不是直接执行程序）。

     版主的意思我明白,要执行那个WEB目录下的CP很容易,但是不直接执行的话那个SUID位就没什么作用了,和执行系统目录下的CP没什么区别.

walkerxk

引用:

下面是引用julang3于2006-11-05 11:47发表的:


     版主的意思我明白,要执行那个WEB目录下的CP很容易,但是不直接执行的话那个SUID位就没什么作用了,和执行系统目录下的CP没什么区别.

我是试验过，才设计这次题目的，再想想。我的意思并不是拷贝一下，再修改权限而是直接使用这个文件。

风蓝

看来需要把那个cp反汇编了看看...

版主的意思应该是通过其他可以适用的程序来调用这个程序才可以适用.

血色眼泪

引用:

下面是引用风蓝于2006-11-05 14:39发表的:
看来需要把那个cp反汇编了看看...

版主的意思应该是通过其他可以适用的程序来调用这个程序才可以适用.

有源码

为什么要反汇编呢 [s:8]

julang3

引用:

下面是引用walkerxk于2006-11-05 12:39发表的:

我是试验过，才设计这次题目的，再想想。我的意思并不是拷贝一下，再修改权限而是直接使用这个文件。

    到目前为为止我只知道两种突破文件系统执行权限限制的方法;用GDB或是LD-LINUX.SO.2来运行可执行文件,但我都试过了.用它们来执行SUID程序的时候SUID位无效;

mhxueshan

其实我过第二关是捡了便宜的,在dogking过后,index.html可以直接被www-data修改
   我用shell注入把index.html复制到home/lab/下,修改后就直接复制回去了

红色小魔鬼

晕死了，怎么都没有人出来说话的

能否修改/删除文件或者目录 和这个文件或者目录所在的目录的权限设置有关。

至于设置了s位的cp，那是另外的事情了。