惊！

对江西某电信服务器的一次安全检查

2008-12-02 10:02:05

　标签： 对江西 某电信 服务器的 安全 一次 检查　　　 [ 推送到技术圈]

版权声明：原创作品，如需转载，请与作者联系。否则将追究法律责任。

对江西某电信服务器的一次安全检查 Simeon [antian365.com]    应一个朋友的邀请，对他们所在网段进行内部和外部安全渗透，看看他们公司网站系统以及业务系统是否安全，朋友公司的网络环境为：    （ 1 ）一个 IDC 网络    （ 2 ）两台防火墙 （ 3 ） 2 个路由器 （ 4 ） 2 个交换机 （ 5 ） 6 台 Web 服务器 （ 6 ） 2 台业务服务器 （ 7 ） 2 个数据库服务器   公司个人计算机 100 多台，聘请有单独的网管，网管对于网络管理比较在行但是对于安全检测等方面比较薄弱。由于近期老出现网络速度缓慢，怀疑公司网络是否遭到了攻击，因此需要对该网络进行安全渗透测试并对该网络进行安全评估。   通过一个星期的测试，发现了该公司的一些问题，在测试过程对该公司所在 C 段地址进行了端口和服务扫描，仅仅发现一台计算机开放 3389 端口。由于当时为了完成朋友交给的任务，所以就没有细看。最近闲的无事，又想验证一个新的想法，因此开始对该 IP 地址实施安全渗透检测，后面检测的结果让我大吃一惊，居然是电信服务器！为了促进我国整体网络安全，特撰文，期待能够引起相关工作人员的注意，同时我们作为一名安全技术爱好者，期待更多朋友提供安全线索，我以及我们的安天 365 团队（ antian365.com ）将乐意免费为您进行安全渗透和检测，唯一的一点要求就是能够在系统加固后将整个过程撰文与大家分享！下面是整个渗透过程，由于是电信服务器，没敢太深入渗透。 （一）端口和服务的再次扫描 最简单也是最省事的方法就是使用 X-Scan3.3 进行漏洞扫描，看看是否存在一些明显的漏洞，很是遗憾，结果中无明显漏洞提示。对方计算机 3389 端口仍然开放，而且这次增加了 21 端口！ 21 端口一般来为“ Ftp 服务”。使用 hscan 加上一个强健的字典对该服务器进行 Ftp 暴力猜解。 （二）偶得一漏洞 有些计算机开放 3389 端口，也不一定能够登录，先测试看看该计算机能否进行远程终端连接。直接使用远程终端进行连接，输入 IP 地址，然后单击“连接”，很快就出现了我们比较熟悉的远程终端连接界面，能够使用！ 在用户中输入 Administrator ，密码随便输入一个，然后单击“确定“，看看能否进入， MyGod ，随便输入一个密码也能进去，难道是运气！后面我 logoff 后，再次登录，随便换了一个密码也进去了，晕！我一直不明白，还有这样一个漏洞！后面我才知道，有一个软件，运行后，只要用户名正确，随便输入一个密码都可以进去，号称最隐蔽的“后门”。    （三）查看计算机 既然已经进去了，那就得好好看看。看看计算机中有些什么，是否存在 Radmin 、 Pcanywhere 、 vnc 、 CuteFtp 等软件，通过查看，发现计算机中安装了 Radmin2.X 版本，直接使用 Radmin View 查看，里面有一大堆计算机，有七八十台计算机都被安装了 Radmin 远程控制软件，如图 1 所示。 图 1 从 Radmin 客户端中保存的其它被管理计算机信息 从图 1 中我们可以看到有“对账”、“信产 260 ” 以及其它一些 IP 地址信息，看来该服务器还是一个网络入口，通过这个我感觉应该是政府的服务器。再本机翻了翻，有一个“凯星自助服务平台”，运行需要密码，通过 Google 也没有搜索结果，服务器 IIS 也没有安装，看不出来该服务器是干什么的，既然如此就看看内网情况。 （四）对内网进行渗透测试 既然使用 radmin 进行管理，那么可以使用 radmin 密码扫描工具来看看是否可以获取这些客户端的密码，从 radmin 客户端中取一个 IP 地址最小值和最大值，选择的范围是 134.226.0.1-134.255.255.255 ，然后保存在 IP.txt 文件中，使用口令扫描工具进行扫描，如图 2 所示，很快其 Radmin 密码就出来了。 图 2 扫描 Radmin 口令 说明： （ 1 ）由于该网段比较大，全部扫描花了一个晚上，第二天上去将结果进行整理，呵呵，除了几个 IP 地址的 Radmin 口令没有扫描出来其它全部扫描出来了，将其整理后如图 3 所示。 图 3 Radmin 扫描结果 （ 2 ）其实还有另外一种扫描方式，就是先使用 s.exe 对存在 4899 端口的计算机进行扫描，然后再使用 Radmin 弱口令扫描器进行扫描，这样时间会更快。 （五）使用 Radmin 进行外网连接内网测试 在本地 Radmin 客户端中新建一个连接，如图 4 所示，项目名称可以随便填写，在 IP 地址中输入刚才扫描获取了 Radmin 口令的计算机，接着选中“通过主机连接”，然后选择有外网独立 IP 地址计算机，最后单击“确定”完成设置。 图 4 设置 Radmin 客户端 在本地 Radmin 客户端中双击刚才建立的服务端计算机（ 134.226.7.47 ），在弹出的口令输入框中先输入有外网 IP 的计算机的 Radmin 口令，然后再输入内网 Radmin 的口令，输入完毕验证正确后，成功查看内网计算机远程屏幕，如图 5 所示，显示结果为中国电信股份有限公司江西分公司中国电信自助营业终端。 图 5 远程查看内网计算机屏幕 由于看到是电信自助营业终端，因此后面没有再做测试了，退出系统，完成本次测试。 （六）体会与探讨 在本次渗透中，所用到的工具和技术都很简单，可以肯定的说该服务器先前被人入侵过，入侵者留下了一个可以输入随意口令而登录系统，在网上看到过，这还是第一次碰到，也算是安全检测中的一个收获。下面是一些说明与探讨： （ 1 ）如果存在独立 IP 计算机，该计算机为网络入口，如果该入口保护不周，一旦被入侵，其后果很严重。在本例中通过 Radmin 完全可以控制整个内网，可以说危险很高，不知道是管理员图省事，还是被人入侵后，绝大部分 Radmin 服务端的口令都是一样！ （ 2 ）该独立计算机所管理的计算机大多是 WindowsXP 操作系统，在获取系统口令后，完全可以直接启用远程终端服务，从而远程对内网计算机进行管理。 （ 3 ）该计算机上对 net 等命令都进行了严格限制，也安装了防火墙和杀毒软件，可以说有很强的安全意识，想起一位大牛的话，计算机网络系统只有绝对的不安全，没有绝对的安全。计算机先期被人成功控制，并安装了一个超级隐蔽的后门，而管理员又在使用 Radmin 进行大范围管理内网计算机，其口令均是一些比较弱的口令。 （ 4 ）很多管理员都喜欢使用 vnc 、 pcanywhere 以及 ramdin 等远程管理软件，这些远程管理软件本身是没有多大的安全问题，但是如果在使用过程中配置或者设置不当，就会造成安全事故。 （ 5 ）由此看来对个人计算机系统实行定期检查还是很有必要。 本文出自 “ simeon的技术专栏” 博客，转载请与作者联系！ 本文出自 51CTO.COM技术博客