我发现的Magic WinMail Server漏洞

不久之前我经常去的一家音乐网站突然宣布无限期关闭,但保留对VIPs下载的权利.这个消息对于我这种狂热的音乐爱好者犹如晴天霹雳.但是没有办法,别人的站关不关是别人的事,而我如果想要得到这些音乐,只能操起许久不动的"邪恶"手段了.
一般来说在渗透一个网站之前,脑海中总要有一个大致的渗透思路,将以前对这个站了解的信息全部挖掘出来,分析有用的部分组合应用.我首先想到的是利用以前这个站点的BBS攻击,记得是Phpwind的,因为最近出了一些漏洞,可以很方便的得到WebShell.然后想到的是以前的一些遗留页面.但是这些想法都失败了,因为关站之后,除了首页上几个关站通知以外,好象没有别的信息了.似乎在脚本上攻击不太现实.
这个站没有可以利用的地方并不代表别的站点不存在漏洞,我的第二个思路则是旁注,但是等我仔细一查,发现这个IP上只绑定了一个顶级域名,其他的2级域名也无法通过nslookup列出,看来旁注的想法也告吹.一切看来都像走着背运.没有办法,有点想放弃了..脚本上不行,只能看看主机的安全性了.
如果要对主机进行探测的话,就需要手工的探测一些基本的开放端口,然后整理一个列表,这样可以更详细的了解主机的设置情况,比使用扫描器要方便多了.于是大约在3分钟之内,我探测出来一些开放的端口:21(FTP),80(IIS),3372(MSTDS),3389(Terminal Service),8080(Apache).
对于这些端口,总体来分析一下吧.
FTP上,我没有用户名与密码,采用的是Serv-U Ftp Server 6.0,如果有这个东西的密码的话,主机基本上就下来了.但是似乎得到密码很麻烦.
80端口上配备着IIS 5.0,但是除了端口和一个index.asp就没有任何有价值的东西了.从这里下手也很难.
从开放的3372端口来看,主机并没有做一些安全策略和TCP/IP筛选,或者没有装防火墙,因为凭经验,这个端口一般有安全意识的管理员是不会开放出来的.同时证明这台主机是Server系列版本的.
3389,这个谁都知道,是终端服务的默认端口.登入进去以后发现是Win2000 Advanced Server.
还有一个8080,从Telnet中得到的反馈结果来看,很有可能是Apache的WEB服务器.难说这上面有一些别的什么页面可以浏览的..于是我就打开这个IP的8080端口...居然返回一个Magic WinMail Server..
记得这个WinMail曾经在25端口有个helo的漏洞,但是那个是老漏洞,新版本应该可以避免了.于是省去了找Exploit的打算.不过为了证实,我还是写了一个段程序,发送了20000字节的数据包,服务器没有挂,说明漏洞已经修补掉了.
似乎走到这里没辙了.但是我想,既然来了,就这么走太没意思了吧.于是准备对这个Magic WinMail Server进行一翻测试.
从网上下载了一个Maigc WinMail,然后安装后进行了一番黑盒测试,结果全部失败.想想这个程序写的应该是不错的.但是它的WebMail是用PHP写成的,如果代码不严谨,PHP上就难免出漏洞.至少是明文的代码,可以轻松的找到漏洞.
简单的看了一下各个PHP中的脚本和函数,找到几个似乎可以利用的地方,但是由于一些限制,没有成功,但是很多地方写的的确不是很严谨.当我看到download.php的时候,突然发觉到了一段奇怪的代码.代码如下

----------------------------------------codz start---------------------
<?

$html_compress = "false";

// load session management
require("./inc/inc.php");
// check for all parameters

if( $part == "" || $folder == ""
|| $ix == "")
Header("Location: error.php?err=3&sid=$sid&tid=$tid&lid=$lid&retid=$retid\r\n");

$mail_info = $sess["headers"][base64_encode($folder)][$ix];
$localname = $mail_info["localname"];
// check if the file exists, otherwise, do a error

if($cache) {
$fullfilename = $temporary_directory."_attachments\\".$sess["user"].'_'.md5(base64_decode($bound))."_".$filename;
if (!file_exists($fullfilename))
exit;

clearstatcache();

$fp = fopen($fullfilename,"rb");
$email = fread($fp, filesize($fullfilename));
fclose($fp);

echo($email);

exit;
}
else {

if ($type == 'nonmime'){
$filename = base64_decode($filename);
$filename = str_replace("\\","",$filename);
$filename = str_replace("/","",$filename);
$filename = str_replace("|","",$filename);
$filename = str_replace("<","",$filename);
$filename = str_replace(">","",$filename);
$filename = str_replace(":","",$filename);
$filename = str_replace("*","",$filename);
$filename = str_replace("?","",$filename);
$filename = str_replace("\"", "", $filename);

$fullfilename = $temporary_directory."_attachments\\".$sess["user"].'_'.md5(base64_decode($bound))."_".$filename;

if (file_exists($fullfilename)) {
header("Content-Type: application/rfc822");
header("Content-Disposition: attachment; filename=\"".$filename."\"");

clearstatcache();

$fp = fopen($fullfilename,"rb");
$email = fread($fp, filesize($fullfilename));
fclose($fp);

echo($email);

exit;
}
}

// othe codz..................

?>
----------------------------codz stop----------------------

其中存在问题的代码是这一段.

if($cache) {
$fullfilename = $temporary_directory."_attachments\\".$sess["user"].'_'.md5(base64_decode($bound))."_".$filename;
if (!file_exists($fullfilename))
exit;

clearstatcache();

$fp = fopen($fullfilename,"rb");
$email = fread($fp, filesize($fullfilename));
fclose($fp);

echo($email);

exit;

让我来讲解一下这段代码吧:
首先,从浏览器中取得cache的值,如果值不为空,那么就开始组合$fullfilename.然后就是fopen,再是读出所有内容并输出到浏览器中。
但是这里就出现了问题了...我们的$filename变量没有经过任何处理就组合到了读取的文件中。如果我们的$filename中包含目录的跳转符号的话,那么我们就可以跨越目录读取文件了....似乎是个好兆头.先去利用一下看看.
到了那个网站的8080端口,从WebMail注册一个用户进去.提示成功,然后从我的邮箱中发一封带附件的邮件到这个新的邮箱中,得到收到邮件以后,我们就开始来利用一下这个漏洞吧.

在收到的邮件中点开附件,然后按F11将全屏掉IE窗口,再地址栏后输入&cache=kevin1986&filename=/../../../index.php 回车一下,果然读出了index.php的内容.(图P1)
这一下好办了,我只要去读一些默认的配置文件就可以读到比如Metabase.bin,因为在默认配置下,Magic Winmail是以LocalSystem权限启动的,所以相应的Apache服务也是以LocalSystem权限启动的.所以metabase.bin是可以读到的
但是我要下载,文件名这些东西是必要的,从那个中读到路径可以,但是文件名就不行了.所以我得想别的办法..先看看这个Magic WinMail的安装目录吧,猜一个.多加几个../来到根目录,然后读boot.ini,结果正确返回其中的内容,说明Magic WinMail的目录安装在C盘,似乎Magic WinMail本身不是很好玩,干脆去读读别的东西吧...比如Serv-U...
试着读/../../../../../program files/Serv-U/Readme.txt
发现存在,说明Serv-U安装在C盘里.那么读读ServUDeamon.ini吧.
果然不出我所料读出来了,而且管理员似乎很喜欢在注释中写一些很敏感的东西,比如密码.这不是明摆着放我的水吗?不管了.先从Serv-U里进去,然后就发现站点目录下还有一个vipdownloadsmusic目录,在IE中一访问,居然全部是打包好的音乐.足足6个G呀....爽死我了.挑选几个比较喜爱的New Age风格的piano solo专辑下载,然后睡觉去了..有一些兴奋,但是总觉得不爽,至少我总觉得有些东西还没做够...是什么呢?哦....贪心的坏毛病又来了.拿下主机吧...看看是不是还有别的什么好的音乐...这个站的站长可是收集稀有的音乐碟出名的呀.
从FTP上写一个WebShell进去,浏览了一下C盘,发现做了限制了,但是从刚才跳转的目录来看,一般是默认安装位置,那么就直接进C:\Magic WinMail Server目录...很好很好,什么都能做,包括在Magic Winmail的Webmail目录中写的权限..
我随便写一个PHP代码进到主机里,然后执行命令(图P2).由于权限是最高的关系,很轻松的加进了用户,并且进入了终端服务器。..但是很遗憾,别的盘中除了备份文件,再没有别的东西了.有点沮丧的给管理员发了封邮件,然后删除用户走人...玩网络安全的,要玩的适当才有意思.不对吗?