[原创文章] 说说网站入侵 互联网

流淚╮鮭鮭

2009年12月19日 23:40  作者:流淚╮鮭鮭   来源:Chinallww.cn 3AST网络安全

& O0 A1 ]( S" @9 k
, ?" @' ~4 V* Y5 i9 R' |2 E+ V
最近很忙,互联网也很乱.可以说人人自危,3AST也因此转移了几次..' |$ a8 @0 D9 W0 r1 e) @
   今天没事,就说说关于网站入侵.
/ M8 k. C- @, P& \' B, v, c* c' @+ c# a
1,确定目标
$ s$ Q( ]' ?4 ^4 N  E4 U' _* ]+ x, H; P4 r
   没目标你入侵什么?  所以有个目标才能入侵.不过不能因为一点小小的难度而放弃.那样就缺乏了挑战性.../ r* i: U0 |% C  v1 Z. \

2 I6 ?* {+ t" x& y! N2,了解目标网站情况
, O% B6 z9 N! i) r. ^6 J. Q
& q3 G6 \* H0 j8 e+ c9 M$ S需要了解的有./ H+ c5 j+ g! d. E) I
! p$ c; q. Q- K6 M, C  P
(1),是利用什么语言编写的网站,比如说常见的 html asp php...不常见的 jsp shtml..
) G+ j% H7 y: @% @(2),了解编写语言,接下来就需要了解,你要入侵的目标是个 整站系统.还是别人自行开发的程序.如果是前者则可以去下载个源文件,过来研究源文件(默认后台,默认帐号密码,默认数据库__等等可利用的.).后者的话/..就是下一步了.
4 |+ W, i5 Y4 m. `( |  o3 C1 V4 U* J7 Q" j  B
3,了解他的漏洞+ |0 k% p- z0 _2 l4 t% M6 U
5 F/ E. _7 g/ y& k0 i1 S
   如果是整站系统大家可以 百度 或者 谷歌下,找找是否有最新漏洞.或者老漏洞.如果有不妨都试试....
7 `/ E6 g5 e4 d- a* }     如果是别人自行开发的程序那就找不到源文件.也找不到已知漏洞了.所以就得自己用手工,或者工具.去尝试注入.暴路径.爆数据库.之类的..1 l& o4 Z& l, n7 Q6 D3 B

5 B0 V) X) m* U4.拿shell..% x$ b. v6 d1 V
; j, T. }' p8 |: L1 l
    拿到管理员帐号密码之后进入后台...要拿到更高的权限必须得拿shell...拿shell的几种常见方法..
0 m& J" b2 {' h    1.备份拿shell(很简单.网上很多教程)
0 Y1 L2 M& C# R9 ~3 O2 F' \  E0 k& }    2.上传漏洞(利用抓包.再利用NC上传..)+ k% T5 {& e4 Y: {. N" N
   3.一句话(一句话木马经常用到): M/ ?, A5 i7 A5 z
     还有很多拿shell的方法.在这就不说这么多了..& ?% k5 m0 d* W7 K+ b/ f( W, u
  ?/ l) X+ h  C+ a# b
5.拿服务器/  \; w; G3 }2 @4 L3 E2 `

' I, z) Q: m2 c0 l4 B* k" Z6 `7 g2 t      几种常见的方法.% C; Z& q- i. l8 L5 ?
      serv-u (很多WEBSHELL都自带这个功能.)
3 W6 P7 ~; M  @      上传CMD(添加帐号.再加入到管理员组,,前提是wscript.shell √ 命令行执行组件 )8 y, n. i, d" s/ x2 N
      pcAnywhere.(远控软件,多用在服务器...)
9 L) R+ R0 h. r7 _      .......................... 拿服务器的方法还有很多,不一一列出....
& i8 Y3 r, X; k% P  v. A0 ~
/ r- I; Z, @0 O* d/ [- ^0 p6.总结.: K3 y! R9 M& r8 x* d
- u* p4 x. l+ F. I& q  _
        哎,很久没说话了,废话了这么多.
: l# {3 k; L  {1 k; _8 @' ^1 y$ `. c2 U
        很久没写东西了.最近为了我自己的博客.写了几篇了./ G" b3 O( a4 i
' P6 e$ J6 v: d4 U, ?" C3 s
        希望大家多支持俺博客哈..