本文作者:未知 文章出处:未知 文章性质:原创 阅读次数:2 发布日期:2004-08-24 | ||||||||||||||||
测试过程: 其实很早前我就做过这个的教程 可能很少人看过 因为没发过 就是 另外的一个动网跨站攻击 把图片改成HTML代码 上传后可执行 做转向 (其实很 多人都知道了) 发现的过程是在我今天无聊 看了一下某大黑客网站哦 BBS上 做了过滤 上传失败 然后回到主页上 是动力系统 于是注册了一个帐号 然后到 个人管理里 看到添加文章里面 能上传 文件 于是 开始想利用的过程 我开始的 构思是 直接上传这样一个程序 。 但是 其实这样有很大一个漏洞 别人打开这 个JPG网页后 图片显示不出来 自然别人就会起疑心 想到了前段时间一个CHM网 页木马的制作 变相的利用它 其实应该能达到的 假如代码为
这样的一个index.htm 上传后发现失败 。 直接显示原代码 。。 于是在代 码的开头结尾加了
测试后页面已经成了一个木马页面 但是这个木马一定要有个CHM的 人家网站不可能专门提供你上传这个类型的文件 于是想到远程的调用 后把index.jpg改为代码
上传后发现 防火墙成功提示病毒 但是 别人打开这个页面的时候直接是大红XX 是个有脑子的人都会怀疑的啊 于是想到把这个页面打开后看成一个图片 接着 直接把上面的代码改成
这样打开这个页面的时候正常显示图片 木马也能中了 前提是要把这个图片页面发给别人 例如 http://www.xxx.com/Article/UploadFiles/200408/XXXXX.jpg 对方打开后还以为是看到了一张图片 其实他已经中木马了 再怎么说这个也是上 传的图片 而且可能上传到自己的站里 不会有人怀疑的 后记:同上也能在网页上做些其他更恶劣的事情 .. 偶就不举例子了 漏洞不大 利用价值广泛 各网站管理员开始补漏洞吧 呵呵。。。 |