利用思易ASP木馬追捕入侵站點(diǎn)
朋友的網(wǎng)站近日多次被黑，而且老是被改頁(yè)面，讓我幫忙看看問(wèn)題到底出在哪里。于是我找出早就聽(tīng)說(shuō)可以找木馬的思易ASP木馬追捕，傳到網(wǎng)站上查ASP木馬。果然好用，它能列出網(wǎng)站內的所有目錄和文件，凡ASP網(wǎng)頁(yè)中調用FSO，有寫(xiě)（刪、建）和上傳功能的，它都能給找出來(lái)，而且它比其它ASP木馬追捕更好的是能查關(guān)鍵字，我用它找出了朋友沒(méi)有查出的冰狐后門(mén)。不過(guò)，這個(gè)用于網(wǎng)站安全維護的輔助工具，居然沒(méi)有密碼認證。有些粗心的管理員可能在用過(guò)后不會(huì )想到刪除，或者為了以后再用，很可能將它放在網(wǎng)站上——我決定搜搜看。
在百度上用網(wǎng)頁(yè)中的提示字查找，關(guān)鍵字是“思易ASP木馬追捕”，找到相關(guān)網(wǎng)頁(yè)約1，260個(gè)，從有這些關(guān)鍵字所在文件的擴展名看，大部分是提供下這個(gè)文件載，只有少數是思易這個(gè)ASP文件。
換用“本程序由Blueeyes編寫(xiě)”，找到17條記錄，除3條是相關(guān)代碼介紹外，其它都是思易ASP追捕這個(gè)文件本身，也就是說(shuō)都可利用?？磥?lái)命中率還是蠻高的。
小提示：比較了兩次不同的搜索結果，可以發(fā)安閑有些站點(diǎn)在前面曾經(jīng)搜到過(guò)，而這里沒(méi)有，說(shuō)明網(wǎng)上放有這個(gè)文件的網(wǎng)站遠不止這些，變換搜索關(guān)鍵字，應該可以找出更多。
好了，我們來(lái)試著(zhù)入侵這些網(wǎng)站。真接點(diǎn)擊查詢(xún)到的網(wǎng)頁(yè)就可以打開(kāi)思易ASP木馬追捕了。我隨便點(diǎn)了一個(gè)地址，這好象是個(gè)虛擬主機，我正想要虛擬主機的代理程序呢，就選它了。
通過(guò)網(wǎng)站內的思易ASP木馬追捕文件，網(wǎng)站的目錄、文件全部出來(lái)了。這個(gè)思易只能看，動(dòng)手下載或打開(kāi)文件卻不行，怎么辦呢？當然是找數據庫了。要是能下載，密碼又是明文，哼，那就好玩了！找到數據庫目錄，看到數據庫是ASP，試試能不能下載，可惜人家做了防下載處理，下載不了——不過(guò)角落里有一個(gè)是mdb的數據庫，估計是備份用的，也許里面也有密碼信息，下載了再說(shuō)。下載后，打開(kāi)發(fā)現居然需要密碼。
只好拿出破密碼的軟件破密碼，找開(kāi)后發(fā)現有密碼信息。然后再根據思易找到后臺，看能不能用“‘or‘‘=‘”進(jìn)入，不行；找上傳文件看有沒(méi)有漏洞，結果論壇是不常見(jiàn)的，根本就沒(méi)有上傳文件；看來(lái)虛擬主機不是那么好拿的。
無(wú)奈中在思易ASP上點(diǎn)選“回上級目錄”點(diǎn)點(diǎn)看，天啦，天上掉陷餅啦？居然可以回到根目錄，看到其它的網(wǎng)站，看來(lái)是管理員沒(méi)有設置訪(fǎng)問(wèn)的權限，有戲哦！如圖6所示。
到各個(gè)目錄下看看，進(jìn)入一個(gè)FTP下載目錄，有不少電影，先放一邊。轉了幾個(gè)目錄，下載了些不知名的工具，還下載了一個(gè)Web.rar文件，打看一看正是這個(gè)網(wǎng)站系統。這個(gè)在網(wǎng)站上可看不到，終于讓我下到了，有點(diǎn)收獲！
繼續找可以入侵的地方，轉到另一個(gè)可以訪(fǎng)問(wèn)的網(wǎng)站，看看數據庫，擴展名是MDB，下載后順利打開(kāi)，密碼還是明文的，成功了一半了。馬上登陸后臺，用得到的用戶(hù)和密碼順利進(jìn)入。有添加軟件欄，但有點(diǎn)讓人失望，只能填地址，不能直接上傳，文章也沒(méi)有上傳圖片功能。倒是有一個(gè)圖片欄，可以上傳圖片。
既然是專(zhuān)門(mén)的圖片欄，估計對上傳類(lèi)型做了嚴格的過(guò)濾，只能試試有沒(méi)有上傳漏洞可用了。用老兵的上傳工具測試，結果不成功，擴展名改成了JPG。果然厲害，把漏洞補了？！
只能看著(zhù)電腦發(fā)呆了，決定抓個(gè)包看看，直接在網(wǎng)站中把ASP當圖片上傳，提示文件類(lèi)型非法，這也在意料之中。不等我看抓包結果，眼前的景象讓我不敢相信：圖片地址欄中出現了一組數字，后面是ASP！
真的不敢相信，不是我自己把在先前的文件地址復制到這里，改成ASP的吧？回憶一下，沒(méi)有這樣做，再看看，與先前上傳的文件名不同。怎么回事，試試吧。天！奇跡真的出現了，ASP執行了！
后來(lái)進(jìn)去后看了一下代碼，前臺沒(méi)有任何過(guò)濾，后臺只過(guò)濾了ASP，而且由于代碼錯誤，它只是警告，并沒(méi)有停止執行，文件繼續上傳了。
腳本小子：相關(guān)代碼如下：
fileExt=lcase(right(file.filename，3))
if fileExt="asp" then
Response.Write"文件類(lèi)型非法"
end if
end if
randomize
ranNum=int(90000*rnd)+10000
所以它實(shí)際上可以上傳任何文件，警告提示只是嚇唬人。
有了這個(gè)ASP后門(mén)，其它的就好辦了。上傳一個(gè)控制后門(mén)，果然很容易就進(jìn)入了先前的目標網(wǎng)站。
打開(kāi)Coon.asp，數據庫的密碼出來(lái)了，通過(guò)后門(mén)程序將正在用的擴展名為ASP的數據庫下載，改成MDB的，用密碼打開(kāi)，管理員的密碼又是明文。用管理員姓名和密碼，終于進(jìn)入了目標網(wǎng)站后臺。
這次入侵可以說(shuō)沒(méi)有用上黑客工具，也沒(méi)有多少技術(shù)可言，但入侵的思路與方法還是很獨特的。有幾個(gè)地方還是能給大家啟發(fā)的，把網(wǎng)站的安全工具變成找肉雞的工具，在直接不行時(shí)迂回作戰，最后達成目的?？梢哉f(shuō)，黑客不僅僅是技術(shù)，有時(shí)思路也是很重要的。此外，這次入侵過(guò)程也顯示，網(wǎng)站管理軟件是一把雙刃劍，因此必須采取必要的安全措施，要么加上密碼認證，要么用時(shí)上傳，用后刪除。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
