前几天,一个网友发了两个黑客利用注入,入侵网站的过程录像给我看。以前虽然一直都听过别人在讨论关于SQL注入的问题,也知道要怎么去反注入,但真正利用注入入侵网站,还是从没有试过。反正这几天比较有空,就学着做起来了。
不试不知道,一试吓一跳。在短短的三天里,利用工具,一下子就进入了十来个网站。虽然都是一些菜鸟级的网站,但是也着实让我高兴了一下子。
一开始时也只能搞到后台管理密码,再去里面做做手脚,后来渐渐地学会了安放木马,改动文件。同时间自已也写了一个超COOL(界面)的ASP木马,并利用它更改了一个信息网站的首页,还在上面写下了自已的Q号,算是第一次交功课。
今天,为了一个跟我前途有关系的网站,我又进行了一次入侵。过程是这样子的:
首先是扫描注入点,并分析得到后台登陆网址跟帐号及密码。
接着是进入网站后台管理程序,发现有一个“上传图片”的功能,据我这几天学当黑客的经验来看,这个基本上是没办法上传木马的。不过,尽管如此,还是试了一次。先打开 Winsock Expert ,接着把木马的后缀名改成图片的后缀(比如 shell.asp改成shell.jpg),这样子逃过了客户端验证一关。然后上传上去。这时 Winsock Expert已经记录下全过程。把报文复制下来,合成一个文本文件,保存为 1.txt ,打开这个文件并把上传文件的原始路径 shell.jpg 改回 shell.asp,同时把文件本身的文件名也改回来。再用网络军刀 nc.exe 把报文件再传一次。这时,发现,一切顺利,上传成功。接下来是在网站上找到上传图片的网址。运行木马的网址,这时,熟悉的页面出来了。呵呵。。。。。。
再接下来,就是大展拳脚的时候了。。
总结一下这次入侵的过程(黑客高手不要笑)有这么几个幸运点:
1。网站有可以注入的链接
2。从链接可能猜得出表名跟字段名,甚至字段的具体内容
3。密码没有加密,是明文
4。后台管理网址很容易就扫到了。
5。进入后台管理后,有上传图片的功能。
6。上传文件功能只有客户端简单的把关,服务器端没有把关(这个是最严重的漏洞)
7。服务器的权限没有设置好,以至于可以完全控制 D: G: J:这三个盘(足够玩了,里面有好几个站点,包括论坛)
服务器的网管实在很不称职。。。。
这次,我把我入侵的过程写下来,一来是对入侵过程的一次记录,另一方面是告诫自已千万别在这几个方面留下漏洞。
想想看,只要一个网站被打倒,同一台机器的别的网站,很可能也会被牵连到。害已害人啊!!
最后告诫写ASP程序的朋友 —— 别再让人看扃我们了!!其实ASP是可以做得很好的!!