【原创】成功入侵一政府网站——善后工作

政府, 善后, 原创

今天成功入侵一政府网站，一进webshell看到的东西吓死人
7 J3 k# X) o1 m! c) Z
有个10MB左右的数据库，全是人才信息方面的，一个表有1w多条记录！！！6 j7 C+ r4 q) k# ]' T
- j+ {/ M5 a( U& D( U% r
入侵的方法不方便说，关键是修补他们的漏洞; E9 d0 v/ i: [) X  Z
4 w) x2 C2 Y$ Q  B/ o2 F7 h5 J
首先修补了他们的注入漏洞，他们只修补了conn.asp8 Y6 J2 m  _6 H+ S" n& _6 f

但是数据库连接文件竟然是dbconn.asp，写入一下代码

<%
Dim flashack_Post,flashack_Get,flashack_In,flashack_Inf,flashack_Xh,flashack_db,flashack_dbstr
flashack_In = "'※;※and※exec※insert※select※delete※update※count※*※%※chr※mid※master※truncate※char※declare"
flashack_Inf = split(flashack_In,"※")
If Request.Form<>"" Then
For Each flashack_Post In Request.Form
For flashack_Xh=0 To Ubound(flashack_Inf)
If Instr(LCase(Request.Form(flashack_Post)),flashack_Inf(flashack_Xh))<>0 Then
Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>"
Response.Write "非法操作！<br>"
Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
Response.Write "操作时间："&Now&"<br>"
Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
Response.Write "提交方式：POST<br>"
Response.Write "提交参数："&flashack_Post&"<br>"
Response.Write "提交数据："&Request.Form(flashack_Post)
Response.End
End If
Next
Next
End If
If Request.QueryString<>"" Then
For Each flashack_Get In Request.QueryString
For flashack_Xh=0 To Ubound(flashack_Inf)
If Instr(LCase(Request.QueryString(flashack_Get)),flashack_Inf(flashack_Xh))<>0 Then
Response.Write "<Script Language=JavaScript>alert('柔肠寸断[3.A.S.T]提示你↓\n\n请不要在参数中包含非法字符尝试注入,QQ:790653916！\n\nHTTP://WWW.3AST.COM.CN');</Script>"
Response.Write "非法操作！br>"
Response.Write "操作IP："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
Response.Write "操作时间："&Now&"<br>"
Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
Response.Write "提交方式：GET<br>"
Response.Write "提交参数："&flashack_Get&"<br>"
Response.Write "提交数据："&Request.QueryString(flashack_Get)
Response.End
End If
Next
Next
End If
%>

复制代码

OK，注入漏洞解决6 v/ \2 }) z- d" Y! T
! C" Q4 y9 ?9 ^! M U
还有上传漏洞，我分析了一下上传处理页面的asp代码，竟然一点不完善

<%
set upload=new upload_5xSoft
set file=upload.file("file1")
formPath="../../photo/work/"
if file.filesize>1000 then
fileExt=lcase(right(file.filename,3))
if fileExt="asp" then
Response.Write"文件类型非法"
end if
end if
randomize
ranNum=int(9000000*rnd)+10000
filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
if file.FileSize>0 then
file.SaveAs Server.mappath(FileName)
end if
response.write "图片上传成功,[<a href='upload.asp'>返回继续上传</a>]<br>图片是：<a href=Javascript:minipic('"&filename&"');>缩略图</a> <a href=Javascript:pic('"&filename&"');>放大图</a>"
%>
</td>
</tr>
</table>
</body>

复制代码

其中

if fileExt="asp"

1 V: U& y0 T" M5 k& j
原来只要上传的文件名包含asp就不允许上传，找知道我就不费劲了，直接上传个asa、cer的就可以了，哎~~~& y! l/ P. Y+ M  H$ w; ?
* l* h/ ?: X0 J; i( G# c; I2 j0 i" B
而且不要进入后台只要找到上传页面就可以直接上传了- T$ S$ R# k8 C4 c+ @
, s" U, X8 I8 [6 u3 i
帮他改了下代码fileExt="asp"改成了fileExt<>"gif"  & fileExt<>"jpg"
5 V; E3 ~/ u' F
3 c' `3 T8 ?1 B8 U# M$ U; t( h
但是貌似问题没有解决，奇怪，代码有问题？？？谁能解决下？？？8 C! t: {9 h3 [0 v. a9 P; J$ \

实在没有办法，只有改了他的这个危险的页面，原来的代码我全变注释，又加了些话提醒管理员- K, j+ l# G  ^
: Y, [+ ~% b' a0 F! x

附件: 您需要登录才可以下载或查看附件。没有帐号？注册