网站被“黑客”光顾了，请问他是如何做的

2005-01-18 12:13:22 340 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Java中的final、static、this、super 关键字 final关键字 final 关键字，意思是最终的、不可修改的，最见不得变化，用来修饰类、方法和变量，具有以下特点： final 修饰的类不能被继承，final 类中的所有成员方法都会被隐式的指定为 final 方法； final 修饰的方法不能被重写； final 修饰的变量是常量，如果是基本数据类型的变量，则其数值一旦在初始化之后便不能更改；如果是引用类型的变量，则在对其初始化之后便不能让其指向另一个对象。说明：使用 final 方法的原因有两个。第一个原因是把.. 阅读详情

本人最近开发的一个网站http://www.yyfc.com被“黑客”光顾了，
修改了页面的内容，
我想问各位帮我看看，他是如何做到的

本站有上传功能，但我有检查上传文件的扩展名啊
他只能上传.mp3，.wma等格式

请找出原因的朋友回贴或是发邮件到feiyu027@sina.com

...全文

HFSS螺旋线圈的优化设计与高效仿真实践本文详细介绍了HFSS螺旋线圈的优化设计与高效仿真实践，涵盖核心参数设置、参数化建模、仿真加速技巧及结果分析。通过HFSS软件实现螺旋线圈的高效仿真，特别适用于无线充电和RFID系统设计，提升设计效率与性能验证准确性。阅读详情

danjingwu

ASP 28,401 成员 356,940 内容

+ 关注 + 加入社区

切换为时间正序

danjingwu 2005-01-18

打赏
举报

那个服务器上面只有我这一个站，我们公司有自己的服务器

whb147 2005-01-18

打赏
举报

有时候，不是你的站点的问题，还是同一个服务器上的另外站点的问题，那样，你照样倒霉，呵呵

jarraytan 2005-01-18

打赏
举报

一个程序扩展名改成mp3了它就会变成一首歌么？

methuselah 2005-01-18

打赏
举报

你的网站检测住入了吗？

cmlcm 2005-01-18

打赏
举报

他可以拿到你网站后台管理员的密码，然后传一些文件上去执行，至于存储过程，里面是有一个xp_cmdshell可以利用的，不过需要SA的权限

cuipi2003 2005-01-18

打赏
举报

用x-sacn扫描一下看看你有多少漏洞，然后看看的程序是否存在sql注入的漏洞

danjingwu 2005-01-18

打赏
举报

to:cmlcm(臨兵鬦者皆陣煭在前╭∩╮︶︿︶╭∩╮)

你说的那一页我看了一些
我是按classid传进来的值再select case一个字符传info的值
然后再按这个info的值才寻找数据库的记录

应该不可以SQL注入吧？？
但我还是根据你说的，做了classid的判断，

请问你还看出哪一页不行啊？？

to:wzhiyuan(我是谁)
我数据库和页面是放在不同服务器上的
可他现在修改的是放页面的服务器上的文件
这样他拿到数据库的用户名和密码怎么用存储过程去查操作系统的用户名和密码呢？

cmlcm 2005-01-18

打赏
举报

楼上那样过滤也是不完整的，你的单引号没有包括2进制码

cmlcm 2005-01-18

打赏
举报

http://www.yyfc.com/info.asp?classid=1
这个页面也存在漏洞

AMinfo 2005-01-18

打赏
举报

TO:danjingwu (寒夜孤风，我是菜鸟^_^)

由于你有使用论坛，这是很要命的

另外，你有没有加入防SQL注入，建议用以下代码：
<%'post过滤sql注入代防范及HTML防护开始
function nosql(str)
if not isnull(str) then
str=trim(str)
str=replace(str,";",";") '分号
str=replace(str,"'","'") '单引号
str=replace(str,"""",""") '双引号
str=replace(str,"chr(9)"," ") '空格
str=replace(str,"chr(10)","<br>") '回车
str=replace(str,"chr(13)","<br>") '回车
str=replace(str,"chr(32)"," ") '空格
str=replace(str,"chr(34)",""") '双引号
str=replace(str,"chr(39)","'") '单引号
str=Replace(str, "script", "&#115cript")'jscript
str=replace(str,"<","<") '左<
str=replace(str,">",">") '右>
str=replace(str,"(","(") '左(
str=replace(str,")",")") '右)
str=replace(str,"--","--") 'SQL注释符
nosql=str
end if
end function%>

wzhiyuan 2005-01-18

打赏
举报

估计是SQL注入
流程可能是
1，用注入SQL获得SQL的用户名和密码。
2，执行系统存储过程获得操作系统用户名和密码。
之后就为所欲为了。

xiaozaoqiu 2005-01-18

打赏
举报

有意思，也许是内贼？

cmlcm 2005-01-18

打赏
举报

经过测试，你的网站的确存在这个漏洞，检查一下你自己的程序吧

cmlcm 2005-01-18

打赏
举报

你看看管理员登陆的日志记录，看是不是管理员密码被窃取了，如果是这样，那么有可能是你的程序有SQL注入漏洞，简单的说，就是你没有判断url?id=xx这里面的id的值的类型以及过滤掉特殊字符，那么通过这个漏洞，你的数据库就会完全暴露在攻击者的面前，后果就不用多说了吧

网站被“黑客”光顾了，请问他是如何做的

相关推荐