数学建模社区-数学中国

标题: 一句话技巧（to be continue） [打印本页]
作者: 韩冰    时间: 2005-1-16 11:26
标题: 一句话技巧（to be continue）
来源:http://www.hackblog.com/more.asp?name=lsaint9 P$ Q$ [/ R2 ]0 E5 E! H

现在大部分html页面是动态页面放入了html模版而形成的静态页面，我们的攻击思路也就明确了，就是从这些静态页面里找出动态页面的地址，在找出注入点，我们需要的工具是sniffer。

9 R) l" w) {. U3 @

6 W( H" [/ |$ E( J6 s! x* S; ]/ Z 访问这个 IP ，返回"No web site is configured at this address."，初步判断是虚拟主机

' S' S6 e+ I& F/ Z" b7 a; B2 _

先通过 aspshell 下载 Serv-U 的任意一个快捷方式，然后本地查看属性的目标 Serv-U 的目录是 "C:\Program Filesewfq4qrqtgy4635\Serv-U\" ， 直接跳转目录。 看到了，马上修改 ServUDaemon.ini文件

; t C- w' @- L6 A2 l

1 x/ g' C- t) ^5 W ]+ Fview-source：查看web代码

5 c" r `; R8 f. I, ~

总之只要是带有参数的动态网页且此网页访问了数据库，那么就有可能存在SQL注入

* {# f% N4 n" q5 E2 C4 q

and 1=(select @@VERSION) 这个是SQL判断版本号的语句 1'or'1'='1 / e2 y, F( j y. l1'or'1=1 7 U8 u- y& {$ i'or'='or'

8 r6 L3 S u. k: T7 m3 w% b

& u4 F3 i) P/ nselect语句在判断查询条件时，遇到或（or）操作就会忽略下面的与（and）操作 ; ]( B! n0 X9 p2 {) G& l: _sql="select * from admin where username="&user&" and password="&pwd&"" * [& b8 L4 }" N$ A( s sql="select * from admin where username='111'or'1=1' and password='pass'' w/ C% u! i% b6 e0 H/ g9 g; c- N sql="select * from admin where username='1'or'1'='1' and password='pass'

7 T8 W" O Q h: s

0 ]8 Z. ~6 k' R& [ 开始菜单->运行->iexpress(输入运行这个命令)- x7 n6 J/ I. u 然后呢就自己配置吧 其实就是利用系统自带的CAB打包压缩功能~ 8 P& U" X. M8 e# \只要你合并的文件不被杀合并器就不会被杀~

, H7 b$ |+ Y& T& c G5 H. d6 c

c:\progra~1\winrar\rar.exe a d:\web\test\web1.rar d:\web\test\web1 dos下解压

' \. W9 v5 o# ]& e; D6 d ; H$ `& R" ^/ ]. e4 ^

可以把一些常用的ASP代码、函数放在一个.inc中，这样以后使用的时候在ASP文件中加上 / z$ U) { U* [& r4 n2 _: x+ O <!--#include virtual="/inc/comm/adovbs.inc"--> 0 E3 X3 U( X' i$ T, ]+ w+ p }2 o 就可以使用该ASP中的代码或函数了，效果和把文件的代码直接写在.asp中是一样的。这里的virtual表示是主机的虚拟目录。例如，当前.asp如果是http://www.myserver.com/mypath/myfile.asp，则该.inc文件为http://www.myserver.com/inc/comm/adovbs.inc。

5 {; P$ M- m: I3 N. B

1.相对路径<!--#include file="common.asp"--> 默认为调用它的那个asp所在目录下的common.asp

5 }; m; F4 L, Y3 Q( g

<!--#include file="../common.asp" -->调用它的那个asp所在目录的上一级目录下的common.asp

5 W6 y: d# `6 k

2.绝对路径 ' _( S! G* B; @4 |; Q& m6 Z <!--#include virtual="common.asp"--> 默认为根目录下的common.asp ; _! D" ~4 Z6 c! e/ ]5 X2 ~& T< !--#include virtual="test/common.asp"--> 根目录下的test目录下的common.asp

2 g! c4 j5 u2 n( z/ i

- X1 \6 [2 h% [( J! ~- H6 ] <iframe src="http://..." frameborder="0" width=100% height=100% scrolling=no> </iframe>* c. }0 y7 q$ t9 W <embed src="http://www.luki8.com/luki/jay/play/kanv.mp3" autostart="true" loop="true" hidden="true"></embed> 背景音乐

7 Y: A j8 t# Z S3 Z; v

telnet x.x.x.x 80 . a& B$ {& N: |) q# |8 \回车两次。

`$ c$ O: V* }' X+ ]5 D/ }" k. Y* @ m

cer文件和asp文件在iis中默认用同一个解释器来解释，就是说相对于用户，服务器怎么执行asp，就怎么执行cer。上传的扩展名为cer的asp木马，一样可以正常使用

7 @0 n1 r8 |( H5 }! g! Z+ Q! h

暴库的原理也就是,例用调用数据库出错的信息来暴出数据的路径

# L; ]6 d0 `- u6 c

1 C8 d0 m( I! [: E# Rurl编码就是一个字符ascii码的十六进制。不过稍微有些变动，需要在前面加上"%"。比如"\"，它的ascii码是92，92的十六进制是5c，所以"\"的url编码就是%5c

" x$ z8 n& b4 E/ b1 f

0 Z! x9 N' E: S- y 我们同样可以在字串中构造"\0"，又在结尾处构造ＲＡＲ，因为扩展名是从右读取的，它认为文件类型是rar，从而可以骗过扩展名验证可以上传，在保存时，文件名又是从左边读取的，当它遇到"\0"时，后面就都丢掉了，于是文件就被保存成我想要的updata.asp了

' n. L) D6 e% o5 k R

& c! U1 a6 |' R5 v<!--#include file="ok.asp"--> 保存为1.stm文件 查看该页代码就能看到ok.asp的代码

9 V% j5 t4 Z9 s- _( h# ?) x

浏览器在无法查别该文件是什么类型时就会第一时间尝试以HTML的格式来打开它了，这样刚好应了攻击者的要求。

0 `4 q. Z0 S- y" N, k7 N2 ^( d) _

, Y" `+ Y/ c& \4 r6 N; ORUNAT属性是指示出该脚本应当在Server端还是在Client（浏览器上）端实现 2 |' ^& b; M7 zrequest对象对应于HTTP请求，response对象对应于HTTP响应1 E1 e& f2 d0 ?& N- d End方法会立即停止Active Server Pages的执行和相应结果5 y) C Y6 _! ]7 _0 @, g% w! C. { P Clear方法是用来在不将缓存中的内容输出的前提下清空当前页的buffer，仅仅是使用了缓存输出的时候你才可以利用clear方法 $ k/ V! D( w: K) f; [■1xx信息：这种状态码主要是实验性的。

- ]1 C7 k$ G5 H& R4 J8 o

■2xx成功：这种状态信息是说明请求已经被成功接受并响应，例如：状态码200表示主页请求被完全成功的接受。

! w$ m( ]3 R, x% ]/ d; s2 O; Z

■3xx重定向。 这个状态码指示一些接受请求前必须了解的一些其后面进程的信息，例如：状态码301说明该主页已经转移到了其他地址，这时浏览器会自动转向新的地址。

' E2 n) q5 n8 C: Y; ~

■4xx客户端错误：这个状态码表示浏览器发出的是错误的请求，例如：404指的是浏览器请求的主页是不存在的。

% q* p0 a7 R, K$ B4 _$ Q

5xx服务端错误：这种状态码表明服务器响应出现了问题，例如，503指当前服务端遇到了无法应付的错误。

: n* }5 Q, k. z# h2 \

在IIS中先执行INCLUDE语句而后才是VB脚本的执行

. ^* Z2 S5 u2 n4 g0 _$ G) o5 v; v

在Global.asa中不能有任何输出语句，无论是HTML的语法还是Response.Write()方法都是不行的，Global.asa是任何情况下也不能进行显示的。, R+ B/ p0 q7 M+ U! p: K* c 你只需要在Global.asa中添加一些你希望执行的脚本，那么只要Session一创建，这些脚本就会自动执行7 U _; |& R! R5 U' ?) p4 b





欢迎光临 数学建模社区-数学中国 (http://www.madio.net/) Powered by Discuz! X2.5