【3.A.S.T】网络安全爱好者 » 原创专区 » 【原创】成功入侵一政府网站——善后工作

柔肠寸断 发表于 2008-8-16 12:44

【原创】成功入侵一政府网站——善后工作

[color=blue]今天成功入侵一政府网站，一进webshell看到的东西吓死人[/color]
3d k t?c}(F [color=blue][/color]o6i"D7hkJ:w` c
[color=blue]有个10MB左右的数据库，全是人才信息方面的，一个表有1w多条记录！！！[/color]
P0R\@;L,Zj8Fm)W;{ [color=blue][/color]Z2A dKN*S&u6G
[color=blue]入侵的方法不方便说，关键是修补他们的漏洞[/color]
Eel&e\
[color=blue][/color]2w{
ug
{
[color=blue]首先修补了他们的注入漏洞，他们只修补了conn.asp[/color]
"o.f.`j7AF%_yW [color=blue][/color]
+_k4fD(|`3i4~5BE4JI [color=blue]但是数据库连接文件竟然是dbconn.asp，写入一下代码[/color][code]<% *h*Y1}k0Ci6R
Dim flashack_Post,flashack_Get,flashack_In,flashack_Inf,flashack_Xh,flashack_db,flashack_dbstr
7O8ox/j4f
J^0NdmD flashack_In = "'※;※and※exec※insert※select※delete※update※count※*※%※chr※mid※master※truncate※char※declare"
L\rK.E1u^%a flashack_Inf = split(flashack_In,"※")
w?Z@KYC If Request.Form<>"" Then Y2hi'Lqq2a0kx?
For Each flashack_Post In Request.Form
?\'QM%C2PP k }:d*c9O?9iK%e
For flashack_Xh=0 To Ubound(flashack_Inf) %M5f!|rx:`
If Instr(LCase(Request.Form(flashack_Post)),flashack_Inf(flashack_Xh))<>0 Then
.p}'K$Jir!q9q2R Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>" U#V |,X1Q%bA}
Response.Write "非法操作！<br>"
Hz|6enI.gS Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
vD.gU@x Response.Write "操作时间："&Now&"<br>"
(qa[1N w2j*^x Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
K?+G.YLG Response.Write "提交方式：POST<br>" "I5QNe)S%V
Response.Write "提交参数："&flashack_Post&"<br>"
r&x$tCqd3fx Response.Write "提交数据："&Request.Form(flashack_Post) Aq5?psY k
Response.End g;`0UW+z`
End If
.oN8E7^R!w6@;i&c.m1c Next kFH&DYGn
Next 3YN)V@;y4L%R
End If /lsuT/y^.Dr+x
If Request.QueryString<>"" Then u$\2\m'{2FUD
For Each flashack_Get In Request.QueryString pP4Zm`0]
For flashack_Xh=0 To Ubound(flashack_Inf)

w0Ybq!kGU If Instr(LCase(Request.QueryString(flashack_Get)),flashack_Inf(flashack_Xh))<>0 Then P|-a!S#@6l
Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>" P.Roh,P\Y
g4p2Q
Response.Write "非法操作！br>" KJC%UPD)n^gqv
Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>" ;M7K-u0v(X%R0atcUq
Response.Write "操作时间："&Now&"<br>" #A6W#E@,w)N ]
u
Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>" qqa7\itC;f
Response.Write "提交方式：GET<br>"
.s [,N`b(Z3G Response.Write "提交参数："&flashack_Get&"<br>" J9w|'?[,h{
Response.Write "提交数据："&Request.QueryString(flashack_Get)
K$R_#B;tn\b Response.End
a'I-Uk1p End If -mYzi6V
Next 5w3Ih2hJ$r.sL.v
Next
o3\*]0VVM
End If @T/W-Ofa
%>
U;v"A+[P
iQIZ8@D [/code]OK，注入漏洞解决:MP$~jR/y6s5xz

$hr*\X@D7P(W 还有上传漏洞，我分析了一下上传处理页面的asp代码，竟然一点不完善[code]<%
*A2b*\-m/m*E _@Ub set upload=new upload_5xSoft
@S8z+c6m2hau2K&G6K set file=upload.file("file1")
(Ff#~jd-jN"I
vGo formPath="../../photo/work/"+oC b.R#a+?bm3C
if file.filesize>1000 then,['o
N5?W9A7G
fileExt=lcase(right(file.filename,3))0_GC%L[
if fileExt="asp" thenHznt\4y$]
Response.Write"文件类型非法"
&FOE h}
A v+m$` end if
rYepn6bX&@eC,hX end if6R)gx@4l,D3Tu
randomize
/jj,PvN]U-?ed ranNum=int(9000000*rnd)+10000
BV8i2v"N(D filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
[ID?*oZ,^4K f/q if file.FileSize>0 then
qm O$i J_F file.SaveAs Server.mappath(FileName)E{ V"V7O] |w
end if,P] b*e%mj
response.write "图片上传成功,[<a href='upload.asp'>返回继续上传</a>]<br>图片是：<a href=Javascript:minipic('"&filename&"');>缩略图</a>      <a href=Javascript:pic('"&filename&"');>放大图</a>"
%?6g,P9T.vJD7Q %>
G U,b%C+s     </td>
pf rQ.i3f   </tr>
g1^_vO#K.xn </table>
1JG/OGRl2` } </body> [/code]其中[quote][color=blue][b]if fileExt="asp"[/b][/color] [/quote]
{(ds#QS
_X^#dZt $\*AG#n]8aJ
原来只要上传的文件名包含asp就不允许上传，找知道我就不费劲了，直接上传个asa、cer的就可以了，哎~~~
)}V8@*W)GzW
'U4^3}$UCk#kwxV 而且不要进入后台只要找到上传页面就可以直接上传了Hp{v kxg+Q

4V$O |-m6^N t [color=blue][b][quote][color=blue][b]帮他改了下代码fileExt="asp"改成了fileExt<>"gif"  & fileExt<>"jpg"[/b][/color][/quote][/b][/color]4QF
N:IH"g\3F4]Q

'Q_gC7Lr 但是貌似问题没有解决，奇怪，[size=4][color=red][b]代码有问题？？？谁能解决下？？？[/b][/color][/size]
@?p#o3?3by fJ.aeQ\9O0G'E
实在没有办法，只有改了他的这个危险的页面，原来的代码我全变注释，又加了些话提醒管理员 hHJG'g
*~4hr7s-nJu9hK
[attach]227[/attach]

wmmy 发表于 2008-8-20 09:38

还真有好心人啊,

chengyichen 发表于 2008-8-20 18:18

政府会不会理解你的好心呢

平湖秋月 发表于 2008-8-28 14:25

管理员该挨骂了

柔肠寸断 发表于 2008-8-31 19:37

管理员已经清除了漏洞，一切还原了。。。。。。。。。。。。。。

冰吻六秒钟 发表于 2010-3-8 01:54

嗯 不错不错 好心人~~~~~顶你

240366619 发表于 2010-8-28 05:39

老大得人心了哦 。

qq672821099 发表于 2010-9-13 09:55

黑客真的不是坏人

hong1314hong 发表于 2010-9-14 20:16

{:Yem58:Y}

鱼儿无心 发表于 2011-12-4 16:59

只能说算他们有良心

查看完整版本: 【原创】成功入侵一政府网站——善后工作