28,406
社区成员
发帖
与我相关
我的任务
分享一个有关被挂马的话题
最近发现网站被人挂马了
主要是因为网站没有做安全处理，从网上找了个 'or'='or',直接就进了后台了，难怪呢！
最后就寻求有关挂马的文章，可是都是很零碎，看了很多，也没个概念
有如下疑问：
1，挂马的种类或方法有几种 （常见的）？比如 留言本插入一句话代码
2，通过 id=78' 这样的方式发现能注入，接下来该怎么注入啊？
3，上传漏洞怎么控制
4，有没有直接把马插入 配置文件（像 conn.asp）的方法，而不需要通过获取管理权限
5，数据输入过滤和输出过滤如何做？
大侠请回答，如果有asp 高手愿意收学生，我想跟您学，不会无偿的让您教，留个联系方式，我联系您！
因为还有其他的问题，实在是不知道从那学起，找什么资料，自己瞎琢磨，整的一头雾水，哎，学点东西真鸡巴难，不知道是不是智商问题！
走过路过的，顶个人气，我谢谢你嘞！
主要是因为网站没有做安全处理，从网上找了个 'or'='or',直接就进了后台了，难怪呢！
最后就寻求有关挂马的文章，可是都是很零碎，看了很多，也没个概念
有如下疑问：
1，挂马的种类或方法有几种 （常见的）？比如 留言本插入一句话代码
2，通过 id=78' 这样的方式发现能注入，接下来该怎么注入啊？
3，上传漏洞怎么控制
4，有没有直接把马插入 配置文件（像 conn.asp）的方法，而不需要通过获取管理权限
5，数据输入过滤和输出过滤如何做？
大侠请回答，如果有asp 高手愿意收学生，我想跟您学，不会无偿的让您教，留个联系方式，我联系您！
因为还有其他的问题，实在是不知道从那学起，找什么资料，自己瞎琢磨，整的一头雾水，哎，学点东西真鸡巴难，不知道是不是智商问题！
走过路过的，顶个人气，我谢谢你嘞！
...全文
请发表友善的回复…
发表回复
lzp4881 2009-11-28
- 打赏
- 举报
主要的入侵手段
1.上传漏洞
一:如典型的动网上传漏洞,我们直接访问上传页面。
二:进入网站后台直接上传脚本木马,获得webshell.
因为有些网站系统对管理员十分信任.进入后台后,只要找到上传地点.就能任意上传脚本木马.
三:添加上传类型.
如果系统代码限定了不允许上传ASP文件,那么我们可添加允许上传ASA CER等文件.然后将脚本木马后缀名相应的修改成ASA CER.webshell一样可以使用。
四:通过后台备份功能恢复ASP后缀名
如果无法上传ASP.ASA.CER等后缀名文件。我们修改脚本木马后缀名ASP为JPG或者GIF图片后缀名
上传成功后.通过后台备份数据库功能恢复文件ASP后缀名.
五:抓包上传
通过抓取上传真实地址以及管理员认证数据COOKIES.
然后通过明小子上传脚本木马.获得webshell.
其实上传方法还有很多.不过.也都是在基础上发展而来.只要我掌握了知识.学习方法就十分的简单
2.注入漏洞
在众多针对脚本系统的攻击中，注入可谓是闹得最红火的攻击手段了.
目前引起SQL注入的原因主要是程序员在编写帐脚本程序时对特殊字符过滤的不完全引起的.
比如一个网址 http://www.xxx.com/asp?id=1
是以ID=数字形式结尾网址 我们通过 网址后加上个 and 1=1 和 and 1=2 分别访问
如果加上and 1=1 显示正常页面 加上 and 1=2 显示出错 返回错误页面
则表示存在注入漏洞
那么一个网址存在注入漏洞我们怎么去利用呢?
首先可以使用工具.
比如明小子.阿D注入工具.猜解帐号以及密码等重要信息.
对于SQL数据库如果无法破解猜解出来的MD5加密密码
那么我们可以用以下命令:
http://注入网址;update admin set password='新MD5密码' where password='旧MD5密码'--
[admin为表名.]
更改管理员密码
3.COOKIE诈骗
COOKIE是什么呢?
COOKIE是你上网时由网站所为你发送的值记录了你的一些资料，比如IP，姓名密码等。
怎样诈骗呢？
如果我们现在已经知道了XX站管理员的站号和MD5密码了 但是破解 不出来密码 （MD5是加密后的一
个16位的密码）
我们就可以用COOKIE诈骗来实现，把自己的ID修改成管理员的，MD5密码也修改成他的，通过工具
修改COOKIE 这样就答到了COOKIE诈骗的目的，系统就会认定你就是管理员。
4.旁注
如果你的网站有难度.那么我们就入侵与你同一台虚拟机的网站,通过入侵别人的网站
拿到系统权限 也就能控制你的网站
很多网站是存放在同一个虚拟机上的，也许某一台虚拟机上有几百个网站.那么我们只需要入侵
入侵其中第一个.从而控制全部的网站.就是这么简单!
5.暴库
一般而言，我们要获取一个站点的shell，必须先获得对方的后台管理权限，要获得对方的管理权限
当然先要得到对方的管理员用户以及密码！得到对方管理员用户各种密码的方法有很多.
通过下载数据库后继而破解MD5加密信息.从而获得管理员账号.
但是一个网站的数据库当然不会让你随意下载到.
那么我们怎么去找数据库地址呢?
最简单的就是暴库了.
通过服务器返回的错误信息提示暴出数据库地址的。
但是,这漏洞并不见,毕竟直接暴露出系统的数据库.这是多么危险的事情呢!
暴库方法:比如一个站的地址为
http://www.xxx.com/xxx.asp?ID=1&ID=2
我们将com/dispbbs中间的/换成%5c 如果存在暴库漏洞
既可直接暴露出数据库的绝对路径 使用工具 迅雷等下载即可
还有利用默认的数据库路径 http://www.xxx.com/ 后面加上 conn.asp 如果没有修改默认
的数据库路径也可以得到数据库的路径（注意：这里的/也要换成%5c）
那么暴库的目的就是为了下载数据库得到管理员账号后上传木马脚本
6.默认漏洞
同一个网站系统或许有成千上万的网站在使用这套系统
而每一套网站系统，当然有它最初默认的安装路径以及账号密码等
我们通过大批量的搜索使用这套网站系统几百万个网站
找到那些没有修改默认设置的网站，没有修改管理账号，没有修改后台登陆地址，没有修改数据库存
放地址的目标进行入侵！
1.上传漏洞
一:如典型的动网上传漏洞,我们直接访问上传页面。
二:进入网站后台直接上传脚本木马,获得webshell.
因为有些网站系统对管理员十分信任.进入后台后,只要找到上传地点.就能任意上传脚本木马.
三:添加上传类型.
如果系统代码限定了不允许上传ASP文件,那么我们可添加允许上传ASA CER等文件.然后将脚本木马后缀名相应的修改成ASA CER.webshell一样可以使用。
四:通过后台备份功能恢复ASP后缀名
如果无法上传ASP.ASA.CER等后缀名文件。我们修改脚本木马后缀名ASP为JPG或者GIF图片后缀名
上传成功后.通过后台备份数据库功能恢复文件ASP后缀名.
五:抓包上传
通过抓取上传真实地址以及管理员认证数据COOKIES.
然后通过明小子上传脚本木马.获得webshell.
其实上传方法还有很多.不过.也都是在基础上发展而来.只要我掌握了知识.学习方法就十分的简单
2.注入漏洞
在众多针对脚本系统的攻击中，注入可谓是闹得最红火的攻击手段了.
目前引起SQL注入的原因主要是程序员在编写帐脚本程序时对特殊字符过滤的不完全引起的.
比如一个网址 http://www.xxx.com/asp?id=1
是以ID=数字形式结尾网址 我们通过 网址后加上个 and 1=1 和 and 1=2 分别访问
如果加上and 1=1 显示正常页面 加上 and 1=2 显示出错 返回错误页面
则表示存在注入漏洞
那么一个网址存在注入漏洞我们怎么去利用呢?
首先可以使用工具.
比如明小子.阿D注入工具.猜解帐号以及密码等重要信息.
对于SQL数据库如果无法破解猜解出来的MD5加密密码
那么我们可以用以下命令:
http://注入网址;update admin set password='新MD5密码' where password='旧MD5密码'--
[admin为表名.]
更改管理员密码
3.COOKIE诈骗
COOKIE是什么呢?
COOKIE是你上网时由网站所为你发送的值记录了你的一些资料，比如IP，姓名密码等。
怎样诈骗呢？
如果我们现在已经知道了XX站管理员的站号和MD5密码了 但是破解 不出来密码 （MD5是加密后的一
个16位的密码）
我们就可以用COOKIE诈骗来实现，把自己的ID修改成管理员的，MD5密码也修改成他的，通过工具
修改COOKIE 这样就答到了COOKIE诈骗的目的，系统就会认定你就是管理员。
4.旁注
如果你的网站有难度.那么我们就入侵与你同一台虚拟机的网站,通过入侵别人的网站
拿到系统权限 也就能控制你的网站
很多网站是存放在同一个虚拟机上的，也许某一台虚拟机上有几百个网站.那么我们只需要入侵
入侵其中第一个.从而控制全部的网站.就是这么简单!
5.暴库
一般而言，我们要获取一个站点的shell，必须先获得对方的后台管理权限，要获得对方的管理权限
当然先要得到对方的管理员用户以及密码！得到对方管理员用户各种密码的方法有很多.
通过下载数据库后继而破解MD5加密信息.从而获得管理员账号.
但是一个网站的数据库当然不会让你随意下载到.
那么我们怎么去找数据库地址呢?
最简单的就是暴库了.
通过服务器返回的错误信息提示暴出数据库地址的。
但是,这漏洞并不见,毕竟直接暴露出系统的数据库.这是多么危险的事情呢!
暴库方法:比如一个站的地址为
http://www.xxx.com/xxx.asp?ID=1&ID=2
我们将com/dispbbs中间的/换成%5c 如果存在暴库漏洞
既可直接暴露出数据库的绝对路径 使用工具 迅雷等下载即可
还有利用默认的数据库路径 http://www.xxx.com/ 后面加上 conn.asp 如果没有修改默认
的数据库路径也可以得到数据库的路径（注意：这里的/也要换成%5c）
那么暴库的目的就是为了下载数据库得到管理员账号后上传木马脚本
6.默认漏洞
同一个网站系统或许有成千上万的网站在使用这套系统
而每一套网站系统，当然有它最初默认的安装路径以及账号密码等
我们通过大批量的搜索使用这套网站系统几百万个网站
找到那些没有修改默认设置的网站，没有修改管理账号，没有修改后台登陆地址，没有修改数据库存
放地址的目标进行入侵！
sundotLei 2009-11-28
- 打赏
- 举报
1, 程序本身漏洞(sql注入,上传漏洞...),服务器漏洞(ftp,其它应用程序产生的漏洞)
2, id=78 or 1=1 ,如果能执行成功，说明可以注入，然后可以猜解表名，字段名，或者直接尝试xp_cmdshell.
3, 在服务端严格控制上传文件类型
4, 拿到了权限放哪都行，只要能执行到.
5,主要是输入，输入前做好特殊字符处理，获者编码.
2, id=78 or 1=1 ,如果能执行成功，说明可以注入，然后可以猜解表名，字段名，或者直接尝试xp_cmdshell.
3, 在服务端严格控制上传文件类型
4, 拿到了权限放哪都行，只要能执行到.
5,主要是输入，输入前做好特殊字符处理，获者编码.
sundotLei 2009-11-28
- 打赏
- 举报
通用的ASP防SQL注入 参考 http://www.ppcn.net/n5339c52.aspx
bwqwhite 2009-11-28
- 打赏
- 举报
两位的回答，让我很受益
现在我有以下疑问：
1，如何对输入和输出做严格的过滤
2，我看到网上有人说，我不让数据库运行，即使上传了木马到数据库也没有，那请问，如何不让数据库运行？
3，cookies 欺骗 能不能说的再详细点，如果对cookies做过滤
4，能不能给我一个通用过滤函数库，包括输入和输出！
另外一个问题，能不能给我推荐一本学习ASP的书或一个教程，比较基础的，规范的
在此谢过 两位，发自真心的！
现在我有以下疑问：
1，如何对输入和输出做严格的过滤
2，我看到网上有人说，我不让数据库运行，即使上传了木马到数据库也没有，那请问，如何不让数据库运行？
3，cookies 欺骗 能不能说的再详细点，如果对cookies做过滤
4，能不能给我一个通用过滤函数库，包括输入和输出！
另外一个问题，能不能给我推荐一本学习ASP的书或一个教程，比较基础的，规范的
在此谢过 两位，发自真心的！
