网站web入侵思路(详细篇)

admin 2021年7月24日09:17:22评论100 views字数 1118阅读3分43秒阅读模式

web安全现在是网络安全的不可或缺的重要一部分,也是许多站长最为头疼的问题。很多黑帽子,获得了网站的权限并没有提醒管理员修补漏洞。

而是拿到webshell以后用于非法牟利或者提权获得服务器用于扫描、攻击等非法用途。

所以本人在此郑重强调我们入侵网站以后一定不要非法修改网站数据或者恶意添加后门 应该在力所能及的范围内修改已知的漏洞。

并且提醒管理员修改漏洞。具体大家可以去查看下“黑客守则”

网站web入侵思路(详细篇)

1.注入漏洞

这个漏洞是现在应用最广泛,杀伤力也很大的漏洞,可以说微软的官方网站也存在着注入漏洞。注入漏洞是因为字符过滤不严谨所造成的,可以得到管理员的帐号密码等相关资料。

注入漏洞是目前存在最为严重且普遍的。所以也很难防御,具体介绍请去百度百科查看。这里就不做过多解释。 这里个人就对注入漏洞的防御做一下简单的描述

(1)最条件允许的情况下最好自己写源代码 代码不用太过复杂这样对字符的过滤极为困难 如果自己忙于能力写的话可以花钱请专业人员编写web网页源码 这样的站点一般安全系数还是比较高的。

(2)如果自己不能编写源代码也不想花钱请别人写的话可以去网上早一些安全性比较高的网站程序,

不过自己要明确的是一点 也就是说要明确的知道自己的建站目的也用途,比如门户站点程序 就可以选择 phpcms、织梦、帝国 等比较知名的网站程序 然后自己在做一些简单的修改就可以了。

Discuz和Phpwind程序 一般用于bbs论坛程序 如果是博客或者一些网站记事本的话就可以选择

(3)别下载网上的整套程序 这样的网站虽然虽然可以为我们节约很多时间,可是危险系数非常高,一般的黑客只需要下载一个和该网站相同的整站就可以通过默认密码、后台、数据库、上传点、或者分析源代码

等直接获得网站的管理员权限,所以最好不要使用这样的方法 及不可取。

2.上传漏洞

这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗,利用上传漏洞可以直接得到WEBSHELL,危害等级超级高,现在的入侵中上传漏洞也是常见的漏洞。
导致该漏洞的原因在于代码作者没有对访客提交的数据进行检验或者过滤不严,可以直接提交修改过的数据绕过扩展名的检验。

在网站上传时进行抓包,得到接受数据提交的页面地址,然后用下列工具进行提交!如果存在漏洞,便可以得到webshell

(有些上传页面用的只是简单的脚本对访客提交的文件进行扩展名进行检查,那么,只要在IE中关闭禁用脚本, 然后直接上传webshell就可以了)
老兵的上传工具、DOMAIN3.5,这两个软件都可以达到上传的目的,用NC也可以提交。

目前,要检测网站上传漏洞,可以利用EeSafe网站安全联盟提供的文件上传漏洞检测功能

网站web入侵思路(详细篇)


本文始发于微信公众号(飓风网络安全):网站web入侵思路(详细篇)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年7月24日09:17:22
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   网站web入侵思路(详细篇)https://cn-sec.com/archives/359564.html

发表评论

匿名网友 填写信息