扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
昨天晚上刚写完代码在学校的QQ群里透透气,正好遇到学校的几个计算机狂热份子在里面阔谈网站建议。刚进去打个招呼,就被几个寒气避人的家伙冒了几句:“你们ncph最近很牛哒,有本事把我网站黑了----http://***.f78.net”哎,完全挑衅啊,恰好一美女在群里面也叫到:“师傅,给他黑了。。。”哎,什么时候又成她师傅了,没办法,冲着美女这句话回了一句:“我看看。”(我心里也没什么底)
接下来便开始分析他的网站,还好,不是全静态的页面,冒了一滴汗。当然先看看有没有注入漏洞了。在几个带参数的网址链接后面加了个’号,没反应,难道真的没注入?这个站应该不是他自己写的,是从网站上下源码拼来的吧,我们看看他的结构。如图1:
便找到了他的后台,http://***.f78.net/login.asp,试了一下”or””=”、”or”=”or”、admin、admin888进行登录,当然得先碰碰运行,看来运气不好,失败,并且全是点击“登录”后找不到页面,有可能他的后台根本就登不进去。
再静下心来看一下这个网站,网站名字为“xxx在线”,但上面还有他的个人介绍,够详细的。我们看下图2:
连个人姓名、年龄、邮箱、手机、QQ等在网站上全可以找到,哎,太张扬了吧,网站做得并不怎么样,还是一个二级域名。
了解了一下网站的基本信息,总还得动手干啊,还是拿工具扫扫看。拿出明小子旁注3.5,测试是否有上传漏洞,默认数据库得,当然,旁注3.5里面许多上传漏洞存在页面的文件还有默认数据库等,得自己添加一些新的,我自认为这软件灵活性还可以。检查上传漏洞和默认数据库等都没戏,这个也正常,不然人家凭什么挑衅。
再仔细查找一下注入点,用旁注软件批量注入测试一下,同样没有什么信息。接下来只有再看看他的站了,这么大个站,拼凑了这么多的源代码没一点破绽?不放弃是我的性格。
还好,有一个投票系统,也是用的别人的,老天对我不薄,我们判断一下,如图3:
再试一下”and 1=1” 返回正常,”and 1=2”,出错,好的,有戏了,我们拿注入工具猜解一下,还是用明小子旁注3.5吧。
结果如图4:
看到了,得到一个密码,一阵欢喜,去后台登录一下看。郁闷,输入用户名:”admin”、密码:“49420072”,点击登录,仍然找不到页面。咋回事,随便输几个点击登录还是找不到页面。看来他的这个后台是不能登录的(后来确实经他证实,为了防止我的攻击,他已经改了后台代码,不能登录的!)。
也许到了这一步我们真的是无计可施了吧,我仍对自己说不要轻易放弃,体息了一分钟,静下来再想了一下。
既然网站程序已经无计可施,我们再从其它地方着手吧。当然大家都比较当用旁注吧,我看了一下,和他一个服务器的就一个国际域名:http://www.f78.net,他是在这个域名下划分的一个二级域名。那么我们打开这个域名看一下,如图5:
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者