服务被人脱裤了，早上还有一小股 ddos

[krytor]

我想知道怎么从webshell拿到的root那，都拿到root进来了。。。

[Tink]

这个技术貌似叫提权？

[xfspace]

老板，帮我来个巴西烤肉

[wkdhf233]

只能说明你权限没卡好或者有提权漏洞呗。。

[krytor]

@wkdhf233 请问怎么通过提权漏洞进来啊，您简单说一下，我好封住

[wkdhf233]

@krytor webshell就已经算是进来了，能把权限提上去就可以为所欲为了
至于怎么把权限提上去的，用的啥漏洞你只有自己找了呗，我又没进过你们服务器我咋知道。。

[krytor]

@wkdhf233 给说说 大致的思路啊 我是php nginx mysql 给点这方面的例子 哈

[wkdhf233]

@krytor =_=从攻击者的角度考虑呗，比如用webshell的www用户连接数据库去暴力猜解你mysql的root密码，而mysql运行权限又没配置正确巴拉巴拉的。。
这玩艺靠的是经验，你可以看看攻击过程有没留下相关日志能参考下的

[krytor]

@wkdhf233 应该是通过mysql进来的 niginx日志被关了两次

[yangqi]

@krytor 通常都是通过php

[RIcter]

- 社工，直接拿到 root 密碼
- 提權，各類現成的 exploit 都可以用
- 配置錯誤導致權限提升，比如你 php 是 root 權限
- 第三方不可信的程序，比如 AMH 可以分分鐘提權

[xifangczy]

命令记录 登录记录 看看遗留下来什么文件 各种日志看看
大概就能知道怎么提权的。

[582033]

楼主应该把网站贴出来。


一般来说都是mysql注入漏洞开始下手的，还有，难道楼主的数据库用的root权限组？

[582033]

关于DDOS，楼主php版本多少？前几天大PHP不刚爆了个DDOS漏洞么

[kn007]

@RIcter 专家。。。

[cmxz]

MySQL是什么权限运行的？php是什么权限？查下服务器系统版本有没有提权漏洞。

[popok]

@RIcter 我说怎么好像这ID这么眼熟，果然是wooyun的

[popok]

放点服务器信息出来看看，比如系统版本，补丁情况，mysql权限，nginx版本，权限，还有站点脚本用的什么程序这些

[krytor]

***服务器***
阿里云
LSB Version: :core-4.1-amd64:core-4.1-noarch
Distributor ID: CentOS
Description: CentOS Linux release 7.0.1406 (Core)
Release: 7.0.1406
Codename: Core

***mysql***
mysql Ver 14.14 Distrib 5.6.22, for Linux (x86_64) using EditLine wrapper

***php***
PHP 5.4.16 (cli) (built: Oct 31 2014 12:59:36)
Copyright (c) 1997-2013 The PHP Group
Zend Engine v2.4.0, Copyright (c) 1998-2013 Zend Technologies

***nginx***
nginx version: nginx/1.6.2
built by gcc 4.8.2 20140120 (Red Hat 4.8.2-16) (GCC)
TLS SNI support enabled

qq：121-514, 0655

[krytor]

所有的配置都是默认的。。。

[krytor]

@popok 服务器版本放了，你看下哈

[krytor]

@RIcter 服务器版本放了，你看下哈 看看怎么进来的

[krytor]

@yangqi 对这几天 有协议 渗透url 30多次

[popok]

你是从哪看出他提权到root了？

[krytor]

@popok 这个不清楚 不过我nginx是root启动的 他能把日志关了

[RIcter]

這個版本的 CentOS 有提權的 exploit 好像。
你可以去 www.exploit-db.com 搜索 CentOS

[krytor]

@RIcter 多谢大神了

[zur13l]

@krytor 最简单的办法是除了上传图片的目录其他不给写入权限，上传目录不给执行权限。
提权的话一般只要你吧centos的版本升级到最新，一般都没事。
相信我 0day不会用来砸你的。