- 帖子
- 770
- 积分
- 1366
- 威望
- 1586
- 金钱
- 821
- 在线时间
- 94 小时
|
2009年12月19日 23:40 作者:流淚╮鮭鮭 来源:Chinallww.cn 3AST网络安全
$ D6 Z6 }- F, N9 O2 b- c0 Y f2 s, U
最近很忙,互联网也很乱.可以说人人自危,3AST也因此转移了几次..
+ D" f) x) n8 [( ^4 w 今天没事,就说说关于网站入侵.+ N4 _1 c) o% b+ \$ j
7 k: `9 E! d6 Y: Z5 r: Z3 E, S' k1,确定目标
$ S5 l2 p& D# M9 ]- A* i- _) a1 o# t9 S, O! O
没目标你入侵什么? 所以有个目标才能入侵.不过不能因为一点小小的难度而放弃.那样就缺乏了挑战性...- @! c* ^& F* \0 H3 ~
; k, ~/ J8 {( X8 @$ {
2,了解目标网站情况
* q' G0 b' x3 l- i1 o! }% F' l$ K4 R( U
需要了解的有.9 p% M) a# Y/ @2 U7 }6 H
% g2 F5 N/ Y) O6 G+ A9 r+ h(1),是利用什么语言编写的网站,比如说常见的 html asp php...不常见的 jsp shtml..
( W+ ~# k1 Y* r; I; u: b(2),了解编写语言,接下来就需要了解,你要入侵的目标是个 整站系统.还是别人自行开发的程序.如果是前者则可以去下载个源文件,过来研究源文件(默认后台,默认帐号密码,默认数据库__等等可利用的.).后者的话/..就是下一步了. |9 c+ @8 n1 I& d5 d+ [
: n- u$ t d0 Z/ |) n4 O/ L3,了解他的漏洞
) v" T' e1 |9 N9 u2 k2 y! d& L
2 c* P8 T6 ?" u' X4 ] ?% G 如果是整站系统大家可以 百度 或者 谷歌下,找找是否有最新漏洞.或者老漏洞.如果有不妨都试试...., h# u5 c5 Q2 l' E
如果是别人自行开发的程序那就找不到源文件.也找不到已知漏洞了.所以就得自己用手工,或者工具.去尝试注入.暴路径.爆数据库.之类的../ D# T2 v0 i3 p3 [) Y7 \
, ~: A! o: W$ f8 w. Z
4.拿shell..
. D3 g3 H2 z1 r' u9 F+ D5 ^3 R1 L- f) Z+ _' F
拿到管理员帐号密码之后进入后台...要拿到更高的权限必须得拿shell...拿shell的几种常见方法..
7 m/ R! l7 s) Y0 f. P! X 1.备份拿shell(很简单.网上很多教程)4 W! \" V" F. O; R; @8 B0 h+ h
2.上传漏洞(利用抓包.再利用NC上传..)
1 k, w0 w' i4 S% @+ w 3.一句话(一句话木马经常用到) e$ c3 L( ]* s' P- y
还有很多拿shell的方法.在这就不说这么多了..% C) R; z/ m( S: m
- K# Y$ B, U7 V' P4 \5.拿服务器// A- P p _- q" p3 j% j
9 _7 s$ w4 o7 a" A, @
几种常见的方法.
7 t/ F ?) e% W- t# q, d0 U. o8 `' h serv-u (很多WEBSHELL都自带这个功能.)! L/ ]- z% h. V( Q# W$ U
上传CMD(添加帐号.再加入到管理员组,,前提是wscript.shell √ 命令行执行组件 )
S/ x$ W! @5 t: g: o# a: k6 D pcAnywhere.(远控软件,多用在服务器...)
. C( W, e+ a9 n [* M- \4 M, V .......................... 拿服务器的方法还有很多,不一一列出....$ g$ P6 }1 O, X7 N! w
% m+ O9 `% H' S3 ^. Y- a6.总结.
7 c3 n. `5 X% X9 o5 O8 T
+ x" t2 u. H8 @% u4 Z ]/ u5 R! W" b 哎,很久没说话了,废话了这么多.
/ Y$ H+ p3 y* D- X# c4 |) d& Y
( w3 J/ U8 h3 f9 n 很久没写东西了.最近为了我自己的博客.写了几篇了.- j# }+ y' ]3 {# p
' w4 p; Y9 s' _' \! O& z 希望大家多支持俺博客哈.. |
-
1
评分人数
-
|