【原创】成功入侵一政府网站——善后工作 政府, 善后, 原创

柔肠寸断

今天成功入侵一政府网站，一进webshell看到的东西吓死人
' T# [% f5 H6 Z. B: O' R, z, x. e+ v7 M" e# i3 @
有个10MB左右的数据库，全是人才信息方面的，一个表有1w多条记录！！！
* a, E1 r0 J  P& b3 }! L/ q- A) x2 m" q3 L; l5 K
入侵的方法不方便说，关键是修补他们的漏洞: @* i/ e6 e' I( A
) p8 o: a$ e3 Q5 u7 v+ R( t. e7 w
首先修补了他们的注入漏洞，他们只修补了conn.asp
2 B, i, P0 I6 h  S# k) _
! H8 q# F6 s( m3 B/ z/ w但是数据库连接文件竟然是dbconn.asp，写入一下代码

1. <%
   
2. Dim flashack_Post,flashack_Get,flashack_In,flashack_Inf,flashack_Xh,flashack_db,flashack_dbstr
   
3. flashack_In = "'※;※and※exec※insert※select※delete※update※count※*※%※chr※mid※master※truncate※char※declare"
   
4. flashack_Inf = split(flashack_In,"※")
   
5. If Request.Form<>"" Then
   
6. For Each flashack_Post In Request.Form
   
7. 
   
8. For flashack_Xh=0 To Ubound(flashack_Inf)
   
9. If Instr(LCase(Request.Form(flashack_Post)),flashack_Inf(flashack_Xh))<>0 Then
   
10. Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>"
    
11. Response.Write "非法操作！<br>"
    
12. Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
    
13. Response.Write "操作时间："&Now&"<br>"
    
14. Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
    
15. Response.Write "提交方式：POST<br>"
    
16. Response.Write "提交参数："&flashack_Post&"<br>"
    
17. Response.Write "提交数据："&Request.Form(flashack_Post)
    
18. Response.End
    
19. End If
    
20. Next
    
21. Next
    
22. End If
    
23. If Request.QueryString<>"" Then
    
24. For Each flashack_Get In Request.QueryString
    
25. For flashack_Xh=0 To Ubound(flashack_Inf)
    
26. If Instr(LCase(Request.QueryString(flashack_Get)),flashack_Inf(flashack_Xh))<>0 Then
    
27. Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>"
    
28. Response.Write "非法操作！br>"
    
29. Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
    
30. Response.Write "操作时间："&Now&"<br>"
    
31. Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
    
32. Response.Write "提交方式：GET<br>"
    
33. Response.Write "提交参数："&flashack_Get&"<br>"
    
34. Response.Write "提交数据："&Request.QueryString(flashack_Get)
    
35. Response.End
    
36. End If
    
37. Next
    
38. Next
    
39. End If
    
40. %>

复制代码

OK，注入漏洞解决
$ y/ a9 x$ ]8 @1 R8 H  @  ?$ {. N% z6 S. z3 c
还有上传漏洞，我分析了一下上传处理页面的asp代码，竟然一点不完善

1. <%
   
2. set upload=new upload_5xSoft
   
3. set file=upload.file("file1")
   
4. formPath="../../photo/work/"
   
5. if file.filesize>1000 then
   
6. fileExt=lcase(right(file.filename,3))
   
7. if fileExt="asp" then
   
8. Response.Write"文件类型非法"
   
9. end if
   
10. end if
    
11. randomize
    
12. ranNum=int(9000000*rnd)+10000
    
13. filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
    
14. if file.FileSize>0 then
    
15. file.SaveAs Server.mappath(FileName)
    
16. end if
    
17. response.write "图片上传成功,[<a href='upload.asp'>返回继续上传</a>]<br>图片是：<a href=Javascript:minipic('"&filename&"');>缩略图</a>      <a href=Javascript:pic('"&filename&"');>放大图</a>"
    
18. %>
    
19.     </td>
    
20.   </tr>
    
21. </table>
    
22. </body>

复制代码

其中

if fileExt="asp"

5 T# r* T2 n) I* m' X

5 J0 e; @! }; H+ Q  L原来只要上传的文件名包含asp就不允许上传，找知道我就不费劲了，直接上传个asa、cer的就可以了，哎~~~
# E# V, g7 C0 x7 g9 X' R' d# Y" R- U1 C0 C* ]/ \
而且不要进入后台只要找到上传页面就可以直接上传了/ P+ P( H/ N( a* ^" H: ^

4 _# Q% O# t1 }' d7 ^# |0 d1 ?2 B3 w

帮他改了下代码fileExt="asp"改成了fileExt<>"gif"  & fileExt<>"jpg"

, y5 t1 d8 @; c' {5 f6 ~
6 @. Q) V9 R  ~. x, M
但是貌似问题没有解决，奇怪，代码有问题？？？谁能解决下？？？7 ~& {8 y, \' o1 z

3 N5 Z  e  s1 u' a# T( h6 {8 n' H实在没有办法，只有改了他的这个危险的页面，原来的代码我全变注释，又加了些话提醒管理员! S! {" a$ n, r5 M9 Z/ q
. Y5 _0 K1 S: D% z5 u3 E  U! v

柔肠寸断

管理员已经清除了漏洞，一切还原了。。。。。。。。。。。。。。