【3.A.S.T】网络安全爱好者 » 原创专区 » 【原创】成功入侵一政府网站——善后工作

柔肠寸断 发表于 2008-8-16 12:44

【原创】成功入侵一政府网站——善后工作

[color=blue]今天成功入侵一政府网站，一进webshell看到的东西吓死人[/color]oE9}+Y2c0gw
[color=blue][/color]
^)b:HKH6[?j8_Q [color=blue]有个10MB左右的数据库，全是人才信息方面的，一个表有1w多条记录！！！[/color]
C`E0C&m/r [color=blue][/color]/]TzJd A
[color=blue]入侵的方法不方便说，关键是修补他们的漏洞[/color]KV#~9dW-hl
[color=blue][/color]9?&`x4S,cUvE[
[color=blue]首先修补了他们的注入漏洞，他们只修补了conn.asp[/color][AK] y
[color=blue][/color]T1b~o-p
[color=blue]但是数据库连接文件竟然是dbconn.asp，写入一下代码[/color][code]<% p|z:Is8d3_0y? V
Dim flashack_Post,flashack_Get,flashack_In,flashack_Inf,flashack_Xh,flashack_db,flashack_dbstr
;l.KqY`mH];X(F flashack_In = "'※;※and※exec※insert※select※delete※update※count※*※%※chr※mid※master※truncate※char※declare"
1Oc0}@i.`VPR9hr flashack_Inf = split(flashack_In,"※")
c(xT\Dn9IH If Request.Form<>"" Then |{*xD&g%FU
For Each flashack_Post In Request.Form
b3Z'yp3jt"J'R~ .?U1i{)?I
For flashack_Xh=0 To Ubound(flashack_Inf)
!n.Oh8?2k` If Instr(LCase(Request.Form(flashack_Post)),flashack_Inf(flashack_Xh))<>0 Then
qeg5y T+k
wV7H Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>"
2z8f|1b3Q*AqYn Response.Write "非法操作！<br>" R^9y@+l2q1LO
Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
$x2? Mw2e-`n4k Response.Write "操作时间："&Now&"<br>"
PJ J3s1SdD? F| Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
M]'U/Gik,\:_L/~9| Response.Write "提交方式：POST<br>" "LC4O#Osx5`
Response.Write "提交参数："&flashack_Post&"<br>"
LJ4kyt"Bf"t Response.Write "提交数据："&Request.Form(flashack_Post)
wF6Z
b[0e%O!a4YG Response.End W C7[#{:_
v%n
End If t G%Ph!j&e.C
Next
|,Q ?On\[F Next l7s(^ k)v:s ?rZh
End If o_3B4[C(uH!G
If Request.QueryString<>"" Then 0QG*E*o] J]3c-II
For Each flashack_Get In Request.QueryString
!H
l2UKUK2] For flashack_Xh=0 To Ubound(flashack_Inf) 3g2x GN0@2v Ci'd+c
If Instr(LCase(Request.QueryString(flashack_Get)),flashack_Inf(flashack_Xh))<>0 Then dG@|4c tsi*SD
Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>"
.t.R3q%\[
v tV Response.Write "非法操作！br>" N]~ zzL+^QP
Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
"|D5M.WVEb Response.Write "操作时间："&Now&"<br>"
+DO*l.Z-S pA3q Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
i8U7V~:m ^qjkc!K Response.Write "提交方式：GET<br>" i'} bIdP
Response.Write "提交参数："&flashack_Get&"<br>" pL$f3u9b6UY-Z
Response.Write "提交数据："&Request.QueryString(flashack_Get)
,CX?']vOi Response.End H0b t ~9@7rIg
End If "{y0c*\ p;xpU
Next
z^ `+I4R Next ;Y9I&Y R zYk
End If S'gn8F
D'zkd
%>
9d1Vb
Ufs4g(j
P\9d SYh@ [/code]OK，注入漏洞解决[I4d W0u-Ho
,N9yz| k
还有上传漏洞，我分析了一下上传处理页面的asp代码，竟然一点不完善[code]<%
-@Uyr!r_,S2r set upload=new upload_5xSoft
8e7}I#P:xq1~-c set file=upload.file("file1")
O1WoM-yI3r+\ formPath="../../photo/work/"+_9@ z/F _%o:u,g
if file.filesize>1000 then rg+w;j-fD
fileExt=lcase(right(file.filename,3))
5aL)r"@Y if fileExt="asp" then
vllH1`qX,\J Response.Write"文件类型非法"
5V2KDL*[o end if

t-r?EH(m#c end if
2O;R5@_f2u_6Q randomize&Je8p-O:[u9z
ranNum=int(9000000*rnd)+10000YT1{1vv
filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
gV]g6n6V+Qv if file.FileSize>0 then
{9}$N1p*P&F"h file.SaveAs Server.mappath(FileName)
'j!p/kZ-W3g!?+n end if WYk_D-f
response.write "图片上传成功,[<a href='upload.asp'>返回继续上传</a>]<br>图片是：<a href=Javascript:minipic('"&filename&"');>缩略图</a>      <a href=Javascript:pic('"&filename&"');>放大图</a>"n&@5RlvLK
%>9X)^ v$y1xC\
    </td>
4z7nB I] l   </tr>7t"M.{/LYo*W;c
</table>
Au5d)|l!A2I </body> [/code]其中[quote][color=blue][b]if fileExt="asp"[/b][/color] [/quote]
Y JiJTWqm'T'd
3gx:xK6Y)Ox;Z[?6X 原来只要上传的文件名包含asp就不允许上传，找知道我就不费劲了，直接上传个asa、cer的就可以了，哎~~~
`u }fu]V
-\+^S$o/u 而且不要进入后台只要找到上传页面就可以直接上传了/S s2@|&P7J6CB tf
5K!qp#{#xf
[color=blue][b][quote][color=blue][b]帮他改了下代码fileExt="asp"改成了fileExt<>"gif"  & fileExt<>"jpg"[/b][/color][/quote][/b][/color],ZfoW"?
t [

g'b;V@URd.B3f 但是貌似问题没有解决，奇怪，[size=4][color=red][b]代码有问题？？？谁能解决下？？？[/b][/color][/size]
5[6XE/JZ m1t#[ `:I,M1\8Am)CQ5a
实在没有办法，只有改了他的这个危险的页面，原来的代码我全变注释，又加了些话提醒管理员^O(pU+G:V

]+J~2q+d [attach]227[/attach]

wmmy 发表于 2008-8-20 09:38

还真有好心人啊,

chengyichen 发表于 2008-8-20 18:18

政府会不会理解你的好心呢

平湖秋月 发表于 2008-8-28 14:25

管理员该挨骂了

柔肠寸断 发表于 2008-8-31 19:37

管理员已经清除了漏洞，一切还原了。。。。。。。。。。。。。。

冰吻六秒钟 发表于 2010-3-8 01:54

嗯 不错不错 好心人~~~~~顶你

240366619 发表于 2010-8-28 05:39

老大得人心了哦 。

qq672821099 发表于 2010-9-13 09:55

黑客真的不是坏人

hong1314hong 发表于 2010-9-14 20:16

{:Yem58:Y}

鱼儿无心 发表于 2011-12-4 16:59

只能说算他们有良心

查看完整版本: 【原创】成功入侵一政府网站——善后工作