标题:
【原创】成功入侵一政府网站——善后工作
[打印本页]
作者:
柔肠寸断
时间:
2008-8-16 12:44
标题:
【原创】成功入侵一政府网站——善后工作
今天成功入侵一政府网站,一进webshell看到的东西吓死人
* J- j0 W4 O: v( r8 `" ^
; A+ H7 R/ L, F4 G& d- N1 u
有个10MB左右的数据库,全是人才信息方面的,一个表有1w多条记录!!!
% b, Y& r2 C5 w8 H9 ~ Y2 _
5 {( L3 ]6 {! `, P# [
入侵的方法不方便说,关键是修补他们的漏洞
4 d3 `9 c& D4 ~# X [4 s/ m
2 P$ e" ^2 s5 b5 z6 e1 O; w# R* n
首先修补了他们的注入漏洞,他们只修补了conn.asp
4 {# F$ f% r1 `2 P) s6 i1 S/ n
- v8 n9 L9 l; D: ?& {3 _
但是数据库连接文件竟然是dbconn.asp,写入一下代码
<%
Dim flashack_Post,flashack_Get,flashack_In,flashack_Inf,flashack_Xh,flashack_db,flashack_dbstr
flashack_In = "'※;※and※exec※insert※select※delete※update※count※*※%※chr※mid※master※truncate※char※declare"
flashack_Inf = split(flashack_In,"※")
If Request.Form<>"" Then
For Each flashack_Post In Request.Form
For flashack_Xh=0 To Ubound(flashack_Inf)
If Instr(LCase(Request.Form(flashack_Post)),flashack_Inf(flashack_Xh))<>0 Then
Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916!\n\nHTTP://WWW.3AST.COM.CN');</Script>"
Response.Write "非法操作!<br>"
Response.Write "操作IP:"&Request.ServerVariables("REMOTE_ADDR")&"<br>"
Response.Write "操作时间:"&Now&"<br>"
Response.Write "操作页面:"&Request.ServerVariables("URL")&"<br>"
Response.Write "提交方式:POST<br>"
Response.Write "提交参数:"&flashack_Post&"<br>"
Response.Write "提交数据:"&Request.Form(flashack_Post)
Response.End
End If
Next
Next
End If
If Request.QueryString<>"" Then
For Each flashack_Get In Request.QueryString
For flashack_Xh=0 To Ubound(flashack_Inf)
If Instr(LCase(Request.QueryString(flashack_Get)),flashack_Inf(flashack_Xh))<>0 Then
Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916!\n\nHTTP://WWW.3AST.COM.CN');</Script>"
Response.Write "非法操作!br>"
Response.Write "操作IP:"&Request.ServerVariables("REMOTE_ADDR")&"<br>"
Response.Write "操作时间:"&Now&"<br>"
Response.Write "操作页面:"&Request.ServerVariables("URL")&"<br>"
Response.Write "提交方式:GET<br>"
Response.Write "提交参数:"&flashack_Get&"<br>"
Response.Write "提交数据:"&Request.QueryString(flashack_Get)
Response.End
End If
Next
Next
End If
%>
复制代码
OK,注入漏洞解决
3 [* ?" a" x* i- I, e
% P# e+ J: X3 d: R" |* l4 O! s
还有上传漏洞,我分析了一下上传处理页面的asp代码,竟然一点不完善
<%
set upload=new upload_5xSoft
set file=upload.file("file1")
formPath="../../photo/work/"
if file.filesize>1000 then
fileExt=lcase(right(file.filename,3))
if fileExt="asp" then
Response.Write"文件类型非法"
end if
end if
randomize
ranNum=int(9000000*rnd)+10000
filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
if file.FileSize>0 then
file.SaveAs Server.mappath(FileName)
end if
response.write "图片上传成功,[<a href='upload.asp'>返回继续上传</a>]<br>图片是:<a href=Javascript:minipic('"&filename&"');>缩略图</a> <a href=Javascript:pic('"&filename&"');>放大图</a>"
%>
</td>
</tr>
</table>
</body>
复制代码
其中
if fileExt="asp"
0 ~# p& K F/ M Q2 H5 G
" M8 `/ O1 s! w/ H( Y
原来只要上传的文件名包含asp就不允许上传,找知道我就不费劲了,直接上传个asa、cer的就可以了,哎~~~
: C4 ~. n5 W( s: y. @* q. }4 Y2 L
) q5 v' O$ ?; Y* a2 Q4 j' K
而且不要进入后台只要找到上传页面就可以直接上传了
+ I. X4 t: `0 Y, [% [ b1 N
2 W! v+ X( f6 T4 r& J- G
帮他改了下代码fileExt="asp"改成了fileExt<>"gif" & fileExt<>"jpg"
( J, D: X8 q* E* X1 ^
; S7 @$ f% U- F
但是貌似问题没有解决,奇怪,
代码有问题???谁能解决下???
3 ]! L* Z9 Y7 c, }9 S& z# J
) t# r6 U3 s! E- ^# e/ P
实在没有办法,只有改了他的这个危险的页面,原来的代码我全变注释,又加了些话提醒管理员
+ h6 j- g, c7 k5 K3 x* }
/ Y3 {+ M2 P! p0 M! W, }
[attach]227[/attach]
作者:
wmmy
时间:
2008-8-20 09:38
还真有好心人啊,
作者:
chengyichen
时间:
2008-8-20 18:18
政府会不会理解你的好心呢
作者:
平湖秋月
时间:
2008-8-28 14:25
管理员该挨骂了
作者:
柔肠寸断
时间:
2008-8-31 19:37
管理员已经清除了漏洞,一切还原了。。。。。。。。。。。。。。
作者:
冰吻六秒钟
时间:
2010-3-8 01:54
嗯 不错不错 好心人~~~~~顶你
作者:
240366619
时间:
2010-8-28 05:39
老大得人心了哦 。
作者:
qq672821099
时间:
2010-9-13 09:55
黑客真的不是坏人
作者:
hong1314hong
时间:
2010-9-14 20:16
作者:
鱼儿无心
时间:
2011-12-4 16:59
只能说算他们有良心
欢迎光临 【3.A.S.T】网络安全爱好者 (http://3ast.com/)
Powered by Discuz! 7.2