WebSphere配置不當 關乎全局安全
IBM WebSphere Application Server(WAS)是 IBM WebSphere 軟件平臺的基礎和面向服務的體系結(jié)構(gòu)的關鍵構(gòu)件。WebSphere Application Server 提供了一個豐富的應用程序部署環(huán)境，其中具有全套的應用程序服務，包括用于事務管理、安全性、群集、性能、可用性、連接性和可伸縮性的功能。它與 Java EE 兼容，并為可與數(shù)據(jù)庫交互并提供動態(tài) Web 內(nèi)容的 Java 組件、XML 和 Web 服務提供了可移植的 Web 部署平臺。
這意味著 WAS 為部署應用程序、管理應用程序資源要求、確保應用程序的可用性、保護和與其他應用程序及其資源要求的隔離以及監(jiān)視和保護應用程序提供了支持。
目前 IBM 推出的 WAS 版本是 V7，該產(chǎn)品是基于 Java EE 5 認證的，支持 EJB 3.0 技術的應用程序平臺，它交付了安全、可伸縮、高性能的應用程序基礎架構(gòu)，這些基礎架構(gòu)是實現(xiàn) SOA 所需要的，從而提高業(yè)務靈活性。但也正是因為其功能的多樣和強大而導致安全性也隨之變得更加重要。
滲透過程
1 漏洞掃描、端口掃描
在滲透的開始先是進行相關信息的收集，信息收集包括漏洞掃描、端口掃描、管理員相關信息等等。這里使用了Acunetix Web Vulnerability Scanner 7簡稱WVS和IBM Rational AppScan 7.8對目標網(wǎng)站進行了掃描，如(圖1)和(圖2)。
(圖1)
(圖2)#p#
2 進行滲透
從WVS的端口掃描中看到該服務器只開放了80端口(圖3)，從錯誤信息中看到該網(wǎng)站使用的是DB2數(shù)據(jù)庫(圖4)。發(fā)現(xiàn)了robots.txt卻是空的(圖5)。手工測試也沒有發(fā)現(xiàn)注入之類的漏洞。只能一個一個目錄地翻下去找找有沒有什么漏洞了。
最后“IBM WebSphere Application Server 文件泄露”這個漏洞卻起到了作用，存在這個漏洞的網(wǎng)站當攻擊者發(fā)送格式異常的 HTTP 請求來強制 Web 服務器返回文件，如http://www.xxx.com/./WEB-INF/web.xml ，便有可能檢索特定目錄中的文件。攻擊者可以利用這個問題來獲取關于服務器機器的敏感信息，從而進一步攻擊站點。通過這個漏洞獲取了WAS的web.xml文件，里面發(fā)現(xiàn)了一個敏感的目錄——fckeditor(圖6)。
FCKeditor是一個專門使用在網(wǎng)頁上屬于開放源代碼的所見即所得文字編輯器。它志于輕量化，不需要太復雜的安裝步驟即可使用。它可和PHP、 JavaScript、ASP、ASP.NET、ColdFusion、Java、以及ABAP等不同的編程語言相結(jié)合。“FCKeditor”名稱中的 “FCK” 是這個編輯器的作者的名字Frederico Caldeira Knabben的縮寫。
FCKeditor 相容于絕大部分的網(wǎng)頁瀏覽器，像是 : Internet Explorer 5.5+ (Windows)、Mozilla Firefox 1.0+、Mozilla 1.3+ 、Netscape 7+以及Opera瀏覽器。FCKeditor 的安裝非常容易！最新版本可以在這里下載！所見即所得編輯器是很容易使用的工具！ FCKeditor使用的非常廣泛，在很多類型的網(wǎng)站程序中都可以看到它，但是在各種語言的FCKeditor的多個版本里面都存在著高危漏洞。
(圖3)
(圖4)#p#
(圖5)
(圖6)
3 利用漏洞拿下權限
利用“IBM WebSphere Application Server 文件泄露”這個漏洞下載了WebSphere Application Server 的配置文件web.xml，從web.xml發(fā)現(xiàn)FCKeditor的路徑：http://www.xxx.com/main/js/fckeditor/(圖8)。
還需要構(gòu)造出能夠利用的URL地址，測試默認的地址訪問成功(圖9)：http://www.xxx.com/main/js/fckeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=FileUpload&Type=Image&CurrentFolder=/ 。/files/web/8/content/Image/這個目錄是存放上傳文件的。
測試FCKeditor上傳文件的地址成功(圖10)：http://www.xxx.com/main/js/fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector 然后直接從這里上傳一個JSP的webshell，即可拿到了網(wǎng)站的權限(圖11)，從這個WEBSHELL中就可以直接系統(tǒng)權限，執(zhí)行whoami一看發(fā)現(xiàn)已經(jīng)是root權限了(圖12)。
(圖7)#p#
(圖8)
(圖9)
(圖10)
(圖11)
修補與加固
應用 APAR PK81387 或 eWAS(WASEmbeded)的修訂包 6.1.0.23。請參閱供應商建議以獲取詳細信息，網(wǎng)址為：http://www-01.ibm.com/support/docview.wss?uid=swg21380376。。
結(jié)束語
安全關乎全局，只要有一點缺陷都可能導致整個系統(tǒng)面臨威脅！先是IBM WebSphere Application Server配置不當泄露了重要的文件，然后FCKeditor的配置也不安全，直接可以上傳惡意文件，最后發(fā)現(xiàn)網(wǎng)站居然是用root權限來運行的，從網(wǎng)站權限可以直接拿到系統(tǒng)權限！所有說信息安全不容忽略任何一點！
【編輯推薦】
