前言
Webshell是黑客经常使用的一种恶意脚本,其目的是获得服务器的执行操作权限,比如执行系统命令、窃取用户数据、删除web页面、修改主页等,其危害不言而喻。黑客通常利用常见的漏洞,如SQL注入、远程文件包含(RFI)、FTP,甚至使用跨站点脚本攻击(XSS)等方式作为社会工程攻击的一部分,最终达到控制网站服务器的目的。
常见的webshell编写语言为asp、jsp和php。本文将以php Webshell为示例,详细解释Webshell的常用函数、工作方式以及常用隐藏技术。
攻击者在入侵网站时,通常要通过各种方式写入Webshell,从而获得服务器的控制权限,比如执行系统命令、读取配置文件、窃取用户数据,篡改网站页面等操作。 本文介绍十款常用的Webshell管理工具,以供你选择,你会选择哪一个?
1、中国菜刀(Chopper)
中国菜刀是一款专业的网站管理软件,用途广泛,使用方便,小巧实用。只要支持动态脚本的网站,都可以用中国菜刀来进行管理!在非简体中文环境下使用,自动切换到英文界面。UNICODE方式编译,支持多国语言输入显示。
2、蚁剑(AntSword)
AntSword是一个开放源代码,跨平台的网站管理工具,旨在满足渗透测试人员以及具有权限和/或授权的安全研究人员以及网站管理员的需求。 github项目地址:https://github.com/AntSwordProject/antSword
3、C刀(Cknife)
这是一款跨平台的基于配置文件的中国菜刀,把所有操作给予用户来定义。 github项目地址:https://github.com/Chora10/Cknife
4、冰蝎(Behinder)
冰蝎”是一款动态二进制加密网站管理客户端。 github地址:https://github.com/rebeyond/Behinder
5、Xise XISE WebShell管理工具。
6、Altman
Altman3是一款渗透测试软件,基于.Net4.0开发,依托Eto.Form可以完美运行在Windows、Linux、Mac等多个平台。 github项目地址:https://github.com/keepwn/Altman
7、Weevely
Weevely是一种Python编写的webshell管理工具,跨平台,只支持PHP。 github项目地址:https://github.com/epinna/weevely3 用法示例:
weevely generate weevely [cmd]
同时,在Kali 2.0 版本下,集成了三款Web后门工具:WebaCoo、weevely、PHP Meterpreter。
8、QuasiBot
QuasiBot是一款php编写的webshell管理工具,可以对webshell进行远程批量管理。 github项目地址:https://github.com/Smaash/quasibot
9、Webshell-Sniper
这是一款基于终端的webshell管理工具,仅支持在类Unix系统上运行。 github项目地址:https://github.com/WangYihang/Webshell-Sniper 用法示例:
Usage : python webshell-sniper.py [URL] [METHOD] [AUTH] Example : python webshell-sniper.py http://127.0.0.1/c.php POST c
10、WebshellManager
一款用PHP+Mysql写的一句话WEB端管理工具,目前仅支持对PHP的一句话进行操作。 github项目地址:https://github.com/boy-hack/WebshellManager
网络安全学习资源分享:
给大家分享一份全套的网络安全学习资料,给那些想学习 网络安全的小伙伴们一点帮助!
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
因篇幅有限,仅展示部分资料,朋友们如果有需要全套《网络安全入门+进阶学习资源包》,可前往文末获取
如何入门学习网络安全【黑客】
> ① 网安学习成长路径思维导图
> ② 60+网安经典常用工具包
> ③ 100+SRC漏洞分析报告
> ④ 150+网安攻防实战技术电子书
> ⑤ 最权威CISSP 认证考试指南+题库
> ⑥ 超1800页CTF实战技巧手册
> ⑦ 最新网安大厂面试题合集(含答案)
> ⑧ APP客户端安全检测指南(安卓+IOS)
大纲
首先要找一份详细的大纲。
学习教程
第一阶段:零基础入门系列教程
该阶段学完即可年薪15w+
第二阶段:技术入门
弱口令与口令爆破
XSS漏洞
CSRF漏洞
SSRF漏洞
XXE漏洞
SQL注入
任意文件操作漏洞
业务逻辑漏洞
该阶段学完年薪25w+
阶段三:高阶提升
反序列化漏洞
RCE
综合靶场实操项目
内网渗透
流量分析
日志分析
恶意代码分析
应急响应
实战训练
该阶段学完即可年薪30w+
面试刷题
资料领取
上述这份完整版的网络安全学习资料已经上传网盘,朋友们如果需要可以微信扫描下方二维码 即可自动领取↓↓↓
或者
【点此链接】领取