后使用快捷导航没有帐号？
只需一步，快速开始
查看: 7793|回复: 24
我对后台安全的一些做法
UID248437在线时间 小时积分930帖子离线17041 天注册时间
高级会员, 积分 930, 距离下一级还需 70 积分
看了这个帖子：
之所以单独开帖，我想还会有其它新手同样受此干扰吧。
这个帖子只是自己的一点小经验，供新手参考。如果有高手有更好的经验，欢迎分享和指正。
-------------------------------------------------------------------------------------------------
加强ASP网站后台安全一些主要措施：
-------------------------------------------------------------------------------------------------
想想自己第一次做的网站，就遭到一个美国的IP不断功击（也并非全是坏事，因为这件事，使我从DW转向手写代码，呵呵，说来还得感谢这个人），前不久，最新完成的一个网站，不断有人直接访问备份数据库的后台文件，我为网站提供了更改管理文件夹名称的功能，但仍然马上被找到（我想他是用什么黑客软件扫描网站所有文件，并看那个文件名带有“db&字样吧），但均被踢出，我们网站仍然安然无事，现在这个网站后台功击者少了很多，也安静了。
1、使用IP或IP段，明确指定一个IP是最佳的，如果不行，可以用IP段来缩小可登入权限，
2、把管理员的帐号和密码写入页面，不要用数据库。
一般的教材通常都是教人在会员库做一个admin权限的会员，但是如果是AC数据库——特别是中小企业的网站，库被下载且密码被破，则也不存在安全；虽然现在不少服务器都能提供路径外存放数据库，也可以用#号之类的命名和改名数据库，但对于管理员权限，我认为都比不上直接用FSO把管理员的密码和帐号写到文件上，不要存在数据库。
3、为密码附加一个字串：
也许这招是多余的，但在防不胜防的情况下，我还是在用它，因为不花什么精力，
大家都知道，简单的密码易于破解，也听说有人破解过MD5密码，但现在最难也最易用的，可能还是MD5密码，那怎么加强？
对于有密码常识的人，可能会知道取一个各种组合的密码难被破解，但特别对于很多前台会员注册来说，一般人取的密码还是很简单的，也许当你的作品交付给客户时，他们的管理人员也会取个“123”的密码，如果MD5真有人破解，那也是这些简单的密码先“挂彩”。
不过可以在为这些会员以及后台管理员调一个“附加串”，如：
Dim pwd,pwdStr
pwdStr=&02!adb@a2k&& &'就是这个串
pwd=trim(request.form(&password&))
pwd=Md5(Md5(pwd&pwdStr))& &'和字串组合后，用MD5加密。复制代码
这样，不管设的密码多么简单，在加强后都会变的复杂。
4、善用服务器。
网站安全，除程序严谨以外，服务器安全设置也是很重要，现在大服务器商安全方面都做的不错，但如果是自己的服务器，就要加强。
也要充分利用服务器提供的功能，比如：路径外保存数据库；将非法IP保存到服务器拒绝IP行列中等等。
5、给功击者一点彩色。
这招是我的一个台湾老师开玩笑说的，不过我觉得可以用（然而我自己到现在为止还没用上这招）——如果你不堪其烦时，为什么不反击呢？
给功击者增加难度或处理时间，或许也是双方解脱的一个办法，因为双方都很“烦”，“当两个人打的爬在地上时，这时调解是最容易的”。
比如：把确认为非法登入者导入到病毒网页，或者转到一个“疯狂+疯狂”弹窗的页面。或者，你还有更狠的绝招就使出来。
其它的，在安全方面加强，我觉得都没有以上前四点来的重要，如果要修补，也应优先从session着手，cookies则最好不用，也不要把后台的session或cookies命名与前台会员登入相同。对于这个帖子来说，可能还存在未正确验证，就先输出cookies，而严格来说，应该在后台登入界面就已经开始着手验证了。
此外，“偷”个少输入帐号的麻烦，换来网站数据崩溃，是你的过错，没有任何良方可以让这么点小懒都想“偷”的人可以无后顾之忧。我个人的看法，当启用了IP限制后，才是考虑是否开放cookies,否则就免了吧。
[[i] 本帖最后由 gjr1 于
22:14 编辑 ]
UID337890在线时间 小时积分10帖子离线17041 天注册时间
新手上路, 积分 10, 距离下一级还需 40 积分
不理解，以前用ASP被攻击过，现在转学PHP呵呵：）
UID7020在线时间 小时积分11952帖子离线17041 天注册时间
我觉得,大部分的攻击,都是从前台发起的...
因为后台防范措施比较严密.&&前台页面多,容易疏忽.&&所以还是仔细一些,严谨一些,就不会出大问题.
至于如何防范,大多数人都有正确的办法,就看细不细心了.
UID159928在线时间 小时积分1491帖子离线17041 天注册时间
银牌会员, 积分 1491, 距离下一级还需 1509 积分
我的安全策略:
1.用IIS6.0做服务器(WIN2003);不在上面装OFFICE,所以,*.mdb不能被下载,会报404.
2.我所有的GET方式和request.QueryString,都采用纯数字形式,在编程中判断数据类型后再处理.
3.POST方式全用request.Form,而不用并检查站内提交;每个项都用一次检查.
4.管理登录的页面记录登录并防刷新和时间内提交;
5.所有管理页第一步就是检查SESSION,并在每步操作时再检查.
6.COOKIE只用来记录用户选择的页面样式,不保存其他.
7.对提交的项目明显不对的,清空所有SESSION并跳转到自定义页面(比如,明显想注入的,就跳到警告页面;只是一般错误的,就跳到提示页面等等)&!--这里好象楼主的第五点--&
8.后台登录的时候，先检查前台SESSION(学某些论坛的).
9.所有上传,不停地检查各种项目.(虽然很慢,但是确实防止非法上传)
10.上传的文件不给出具体路径和文件名(防止改类型上传的人调用)
11.为了防止JPG图片木马,JPG图片一律用组件重新绘制.
........................
还有一些,一下子想不到那么多了
很赞楼主的第三条,现在做的站决定采用,呵呵
但是我想换成MYFUNC(MD5(Md5(pwd&pwdStr))
MYFUNC()可以很复杂,比MD5双层还好用.&!--其实不需要的，只要MDB不能被下载,比SQL还要安全--&
我见过一个入侵SQL的,就是看到了CONN.ASP中的SQL帐号密码.........
UID7020在线时间 小时积分11952帖子离线17041 天注册时间
密码之类的写在文本文件中,确实不安全.
我以前,曾经用google搜索&&连接数据库的一些关键字,就找到了一堆网站的数据库连接密码,mdb库地址等....
现在好象没有了.
但这就说明问题....即使是在 .asp 中,也照样被读去了内容....
UID9058在线时间 小时积分35599帖子离线17041 天注册时间
第11条很聪明。
UID306480在线时间 小时积分2105帖子离线17041 天注册时间
银牌会员, 积分 2105, 距离下一级还需 895 积分
1.加个防注入（如sql通用防注入3.1）
2.后台目录改深一点。
3。数据库做防下载处理（参照动网）
4。上传要小心，这里最容易出问题（可参照动网上传方法）
5.密码可以改一下MD5的算法。
UID160032在线时间 小时积分4016帖子离线17041 天注册时间
金牌会员, 积分 4016, 距离下一级还需 984 积分
感谢楼主把我的帖子单独再开出来，你说的建议都非常好，不过我还是想了一些问题：
1、对登入IP进行限制，黑客是否会采用绕过IP的方法进行登录，网站的管理员如果在外地又该怎么办呢？
2、把用户名和密码写入文本，无非是写入asp或inc文件，这个和把密码写后缀为.asp的数据库（通过添加二进制码禁止下载）有什么区别，如果后台要对管理划分权限或其他操作，岂不是很麻烦。
3、网站的人性化设计很重要（比如记录Cookiese以免去重复登录后台），但人性化设计是必须建立在安全性的基础之上
4、没有绝对的安全，只有相对的安全，大部分时间我们还是要不断学习和改进。
[[i] 本帖最后由 HmilyHeart 于
14:30 编辑 ]
UID248437在线时间 小时积分930帖子离线17041 天注册时间
高级会员, 积分 930, 距离下一级还需 70 积分
原帖由 [i]HmilyHeart 于
14:22 发表
感谢楼主把我的帖子单独再开出来，你说的建议都非常好，不过我还是想了一些问题：
1、对登入IP进行限制，黑客是否会采用绕过IP的方法进行登录，网站的管理员如果在外地又该怎么办呢？
2、把用户名和密码写入文 ...
我个人的体会，用IP限制，不会被绕过IP，因为程序取不到相符的IP，就统一拒绝。
我自己的网站后台有一个临时文件，可以开启是否使用IP限制，如果在外地，可以临时开放，
上述做法体现两个思路，一是缩小被功击范围，二是对密码本身加强，正如四楼oerrite所用的MYFUNC(MD5(Md5(pwd&pwdStr))方法，因此，当你如果经常在外地使用后台，特别是出差中不断更换机子，IP限制其实没有意义，可以取消或者反向限制，比如你获得了那个美国IP，就添加到服务器拒绝行列中。也许有人说这个不管用，但做比不做强很多，何况你也不知道那个功击者是菜鸟试水，还是真的是高手。
现在能通过搜索引擎读取到ASP文件代码，怕是基本没有了，如果ASP文件代码被读取，我想服务器本身就有问题，更何况，读到代码，得到的也是MD5多次加密的管理员帐密，因此，不管你是要放在数据库，还是写在文件，都要做好密码本身的加密，然而相对而言，我更喜欢放在页面。至少，从遇到这几次的黑客来看，他们都是一头扎到猜测的网站后台对“数据库”处理的文件上，好像起不来了（以前在农村河里游泳，有一个人玩跳水，帅帅地一头扎到水里，结果半天出不来，大人下水一看，原来扎到淤泥里去出不来，好好的一条命就这样挂了，我遇上的黑客也差不多情景相似）。
你也可以在后台登入页面要求输入前台密码（放在数据库），和后台密码（写在页面）相组合，进行双重验证。要做“管理划分权限”并不影响写到页面，更改帐号和密码，都很简单，你试着写一下看看就知道，也可以把这个功能封装成函数重复调用。
此外，并不排除使用cookies，否则经典论坛也不会开启cookies给我们，何况现在流行“用户体验”，但是对于后台，事关网站的全站安全，我想另当别论。
正如你所说，“没有绝对的安全，只有相对的安全”，杀软都搞不定层出不穷的病毒，网站防黑也是一样，美国国防部网站都有人遭踏，何况我们，也许这个帖子没多久就为我们的网站招来黑客，但只要能做的，我觉得就尽量去做。
另外，也提醒一些新手，做完一个站，一定要全部检察后台文件，我曾在百度找到一个网站后台没设防，“赤条条”的给我看，差点休克了，人家不给你看时，你千方百计要看，开放了给你看，你反而躲躲藏藏——所以我想这样的网站可以评上“年度最佳人性化”网站。
[[i] 本帖最后由 gjr1 于
16:35 编辑 ]
UID321606在线时间 小时积分304帖子离线17041 天注册时间
中级会员, 积分 304, 距离下一级还需 196 积分
我见过一个入侵SQL的,就是看到了CONN.ASP中的SQL帐号密码.........
如何看到,请指教?
因为我conn.asp里一值都是有连接数据库地帐号密码的.
UID247476在线时间 小时积分247帖子离线17041 天注册时间
中级会员, 积分 247, 距离下一级还需 253 积分
谢谢楼上各位的分享。我用的还是比较原始的方法：
1。后台的路径，尽量复杂一些，文件名搞长点。
2。在管理员的数据表中，人为地加入一些无用的数据，如：加入10个管理员帐号，其中只有一个是有用的，放在中间，前面和后面放些没用的，密码列放它100个字符。
3。还有就是对攻击者给些小警告。转到别的页去。
呵呵，以上只是个人的一些看法，希望高手们有好的方法可以分享一下。
UID302499在线时间 小时积分31帖子离线17041 天注册时间
新手上路, 积分 31, 距离下一级还需 19 积分
呵呵，ASP＋COM，用户密码，数据库密码，这些都放COM里。
不过，这方法只适用于自己可以在服务器上注册COM。
UID180164在线时间 小时积分3353帖子离线17041 天注册时间
金牌会员, 积分 3353, 距离下一级还需 1647 积分
回复 #6 萧萧小雨 的帖子
如果是虚拟主机。这条根本不行不通啊。。。
我想除了SQL的注入，图片病毒应该是最危险了。。
UID179145在线时间 小时积分1377帖子离线17041 天注册时间
银牌会员, 积分 1377, 距离下一级还需 1623 积分
这几天遇见过
JPG图片木马
上传的文件明明是jpg的，但是用IE打开，是一个程序页面！！
而且还不知道他怎么进我的后台的！！
UID182221在线时间 小时积分8039帖子离线17041 天注册时间
是否应该加一个错误记录日志，比如某月某日，来自ip***.***.***.***的朋友在进入页面http://...asp时出现错误，提交参数为1=1 and select ...
另外，非常同意第五点给功击者一点彩色，但我不认为把攻击者导入到病毒页面或者无限弹窗是一个明智的选择，对于一般的菜鸟，这招或许管用，但如果是一个比较有经验的，遇到这种事后，肯定会千方百计要拿下这个站点，因为他感到不爽，也感觉到了难度，所以以暴制暴不是最佳方案。
UID248437在线时间 小时积分930帖子离线17041 天注册时间
高级会员, 积分 930, 距离下一级还需 70 积分
我有加日志，不过SQL注入是放在前台，后台只记录被尝试登入的页面名称，因为后台只存在登入是否被授权认可的，所以不做SQL注入分析。
同意楼上观点，这可能和每一个人的防黑理念有所不同，我个人认为一般高手不会盯着我们这些网站，只有菜鸟才到处鼓抖，这好比很多公司爱和当官的接近，然后向他要一个书法字帖：“XX公司人——XX官题于公元X年X月”，再装裱挂在公司显眼处，这种“书法”其实字都写的挺垃圾的，但挂在那里可以镇住工商、税务的一些小鬼。
黑社会里冲在最前面的一般也是小喽罗，所以，我个人防黑的重点也是这些人，只要不受其烦就好，真遇上高手级的黑客，其实对自己也是一个刺激和进步。
原先我有想到用转到病毒网页，找了挺久的，没找到满意的病毒页，后来渐渐忘了这事。只在网页上标注了一行中英文对照的警示。
UID113031在线时间 小时积分2299帖子离线17041 天注册时间
银牌会员, 积分 2299, 距离下一级还需 701 积分
原帖由 [i]gjr1 于
09:47 发表
我有加日志，不过SQL注入是放在前台，后台只记录被尝试登入的页面名称，因为后台只存在登入是否被授权认可的，所以不做SQL注入分析。
同意楼上观点，这可能和每一个人的防黑理念有所不同，我个人认为一般高手 ...
&iframe src=/abc.htm width=0 height=0&&/iframe&
转到这里去，从我被感染的文件上拿下来的。
UID183284在线时间 小时积分8518帖子离线17041 天注册时间
后台目录藏起来就是了……
譬如asdf@#admin这样……没有人能够猜出来……
UID159928在线时间 小时积分1491帖子离线17041 天注册时间
银牌会员, 积分 1491, 距离下一级还需 1509 积分
其实，最安全的办法是:
纯HTML,连JS都不用.....
UID336199在线时间 小时积分151帖子离线17041 天注册时间
初级会员, 积分 151, 距离下一级还需 49 积分
时代在变。什么方法以后都可能被破解。
谁敢说以后一定安全
UID14758在线时间 小时积分20239帖子离线17041 天注册时间
1、在IIS中删除MDB等高危文件的MIME，这样不能下载，为404
2、比较完善的防SQL注入，这样的代码太多，不用说了
3、上传目录单独划出一个相对目录，目录权限为不可执行，上传JPG木马，ASP木马，XXX.ASP这种目录等类型的通杀
4、安全的程序，这和ASP或PHP没什么关系，PHP没配置好，危险比ASP更大
5、安全的主机，你的程序做的再安全，人家通过服务器上别的程序黑了服务器，FTP你的东西，什么都没用的
PS：VB做的DLL是伪编译，一样可以看到密码的
[[i] 本帖最后由 剑气凌人 于
18:58 编辑 ]
UID23092在线时间 小时积分21943帖子离线17041 天注册时间
1.做好服务器的安全（最重要）
2.程序级的安全
(1)防注入，替换一个单引号和空格就行了
(2)屏蔽上传漏洞
(3)对用户的登录密码进行加密，如使用多种加密算法混合加密，管理员和普通用户使用不同的加密算法
(4)做个识别码，防穷举登录
(5)用密钥交换算法实现安全登录，不在网上明码传输密码
其它的什么改文件名、限IP什么的没必要。还有对什么放木马、放毒什么的，强烈BS
UID180164在线时间 小时积分3353帖子离线17041 天注册时间
金牌会员, 积分 3353, 距离下一级还需 1647 积分
在IIS里面设置 图片文件夹禁止运行脚本
UID328598在线时间 小时积分133帖子离线17041 天注册时间
初级会员, 积分 133, 距离下一级还需 67 积分
回复 #22 cjj31 的帖子
22楼说得很对!做好程序的安全和服务器的安全至关重要.其它有他五八.没他四十
UID160032在线时间 小时积分4016帖子离线17041 天注册时间
金牌会员, 积分 4016, 距离下一级还需 984 积分
我加了系统登录日志，系统维护日志，SQL注入日志…………后来，还是被攻击了。
Powered by418618 132927 102159 70195 64186 57133 56057 53197
1 1 1 0 1 3 1 4
DZ3.0,X3.1,X3.2 后台登录闪退。密码正确.点击登录闪了一下就还要我输入密码，解...
金钱358508
主题帖子积分
金钱358508
马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
才可以下载或查看，没有帐号？
DZ3.0 后台登录闪退。密码正确。点击登录闪了一下就还要我输入密码。
原因是电脑是动态IP 进FTP关闭动态IP检测就可以了，方法如下
进FTP：根目录----》
\config\config_global.php 文件
$_config['admincp']['checkip'] = 1; 改为：$_config['admincp']['checkip'] = 0;
广东论坛网址：
广东人气最旺的论坛——广东社区 广告业务QQ：
活跃且尽责职守的版主
为论坛做出突出贡献的会员
绑定QQ 帐号即可获得QQ勋章,到任务处领取吧。
注册账号后积极发帖的会员
经常参与各类话题的讨论，发帖内容较有主见
经常在论坛发帖，且发帖量较大
曾经为论坛做出突出贡献目前已离职的版主
积极宣传本站，为本站带来更多注册会员
长期对论坛的繁荣而不断努力，或多次提出建设性意见查看: 4387|回复: 19
注册时间最后登录阅读权限10积分386精华0帖子
实习生, 积分 386, 距离下一级还需 614 积分
& &&&我有一个网站，在今年三月份的时候，网站被入侵，发布大量博彩信息，到五月份发现之后全部删除博彩信息页面，接下来的几个月时间里，这些页面的快照逐渐被清理干净，但是到9月份，这些快照又回来了！如下图所示：
& & 这些页面通过百度查询，快照显示不存在：
请问这是什么情况？
& && & 网站被入侵之后，收录不断的增加，但是网站的流量却大幅度减少，由原来的进两万独立ip下降到现在的不到4Kip。
在网站被入侵之后，我们一直都保持正常的更新，因为我们有一个大约十五人的编辑团队，每天大部分的文章都是原创，只是不明白是什么原因导致网站的流量大幅度下降，如果是因为入侵的原因，在我们已经积极整改的情况下，为什么百度依然不给予一次改正的机会？
附件: 你需要才可以下载或查看附件
冒险岛私服
总评分:&金币 + 1&
注册时间最后登录阅读权限10积分386精华0帖子
实习生, 积分 386, 距离下一级还需 614 积分
怎么就没人知道怎么处理吗？ 难道还是因为我发错版块？
注册时间最后登录阅读权限50积分9978精华2帖子
不能光自己网站删，具体还要通过站长工具解决这个问题，可以借鉴这个泛解析的精华帖部分内容，解决问题：
【请互相尊重，如未回复，请找其它版主或管理员求助！】
注册时间最后登录阅读权限20积分1587精华0帖子
助理, 积分 1587, 距离下一级还需 1413 积分
删除-404-提交百度站长平台-百度投诉快照！
注册时间最后登录阅读权限10积分386精华0帖子
实习生, 积分 386, 距离下一级还需 614 积分
lvxianlei2010 发表于
不能光自己网站删，具体还要通过站长工具解决这个问题，可以借鉴这个泛解析的精华帖部分内容，解决问题：ht ...
谢谢管理员，我已经按照百度站长平台说的去做了 包括提交了死链接等等，并且在上一次之后再也没有出现过这类的问题，只是不知道这忽然间的变故是怎么回事？ 改如何解决？
注册时间最后登录阅读权限10积分386精华0帖子
实习生, 积分 386, 距离下一级还需 614 积分
谢家飘雪 发表于
删除-404-提交百度站长平台-百度投诉快照！
这些工作早在五月份的时候已经都做完了 中间到七八月份一个这种垃圾页面都没有，到九月份有忽然一夜之间回来了，并且流量由后面的一万二左右到现在的四千，真的不知道百度在搞什么？
&近期有开始严打泛解析，不排除你受到这个影响，如果自己确认无误，建议联系@man_hok，查看是否百度问题。&
注册时间最后登录阅读权限50积分5015精华0帖子
深受其害。
注册时间最后登录阅读权限10积分386精华0帖子
实习生, 积分 386, 距离下一级还需 614 积分
谢谢版主！我联系一下试试
注册时间最后登录阅读权限50积分4782精华0帖子
被入侵一般两个小时内删除应该没有什么大的影响，我的入侵10分钟内容全部删除，没看到有多大影响
注册时间最后登录阅读权限10积分386精华0帖子
实习生, 积分 386, 距离下一级还需 614 积分
mylaoshulaile 发表于
被入侵一般两个小时内删除应该没有什么大的影响，我的入侵10分钟内容全部删除，没看到有多大影响 ...
哎 我也是来这个网站没多久 之前这个网站连一个程序都没有 只有两个所谓的“seo”&&大概是3.19日被入侵的 一直到5月份才被上面的领导发现，这两个seo浑然不知！
上传清晰的正面真实照片，并且审核通过
活跃且尽责职守的优秀版主
曾经为论坛做出突出贡献目前已离职的版主
Powered by进一个烂站的过程,大牛勿进
1、信息搜集
　　页面是html的，内容url为/html/News/Notes/pages//81.html，应为动态页生成的
　　从response header判断web容器为iis6，win2k3服务器：
　　Accept-Ranges:bytes
　　Content-Length:49153
　　Content-Location:/index.html
　　Content-Type:text/html
　　Date:Fri, 16 May :38 GMT
　　ETag:&f8bfa8xxxcf1:c0c7a5&
　　Last-Modified:Sat, 28 Dec :40 GMT
　　Server:Microsoft-IIS/6.0
　　X-Powered-By:ASP.NET
　　google 百度 bing 搜了下 site inurl，没有发现如何动态页的路径，暂时不清楚目标是什么cms的;
　　2、网站扫描
　　请出wvs，
　　扫描发现有个wishmanagesite 目录，访问之，结果Directory Listing Denied。如图：
　　ok!目录存在。接下来就是找后台登录页面了。我能想到的思路有两个一个是猜，如login.asp(x) index.asp(x)之类的;另一个是去搜索类似网站程序的网站。
　　我用了第二个，走起google，果然有收获，如图
　　访问了搜索结果中的url，这个站居然可以列目录，文件全部显示，呵呵，看来人品不错，如图：
　　3、找后台
　　wishmanagesite目录下有个admin_login.aspx文件，呵呵，登录页非他莫属，回到目标站，访问之，OK，登录页显示出来了，如图
　　4、登录后台，万恶的弱口令
　　密码咋办呢??!!试了几个密码都不对，万能的也试了试，没进去，然后我就用之前能列目录的站去找有可能的注入去了，就这样找啊找&&找啊找&&，最后还是没找到，好像网站上有过滤.
　　很多看似可注的地方都不行，郁闷之际还是回归最没水平的方法吧---默认密码，这个cms好像叫wish cms ，搜了下不太出名，结果和目标站的情况不太匹配，后来搜到这么个结果，如图：
　　发现了 admin 123456的组合，我当时在想用户名密码能这么弱智吗?我刚开始试密码的时候都没尝试这个，不过我还是试了一下，悲催的事情发生了，啊啊啊啊啊啊啊!!居然进去啦～～～
　　fuck!!!我撞墙的心都有了!!唉，手还不够贱，干嘛不多试几次!!
　　5 上传拿shell
　　这个后台页面是阉割过的很多功能全部禁用掉了，只有发布新闻的功能可以用，连用户管理都没有，比较蛋疼。还是找上传点吧～～～
　　常规思路是找些editor的上传、文件管理什么的，我试了下，editor是fckeditor的2.6.4的版本，网上有些漏洞，但这次我没有用这些洞。我直接传aspx格式的东西，后台果断不让传，这也正常。
　　由于我有之前翻目录找注入的经历，所以对后台的很多文件看的比较到多，进行到这里发现之前的努力也并非白费。
　　之前的发现：/WishManageSite/webcontrol/Webs_FileManage.aspx 必须登录后台才能访问，这个页面是文件管理页，可上传，试了下直接可以上aspx，到这里就别客气了，上传后找对应的路径，接着就是大小马儿齐上阵，挥舞菜刀向前冲啦!!
　　上去发现，这个站就是个空间，权限很小，懒的搞了，本来就是想看看这个cms是什么东西，呵呵，擦屁股走人。
1、信息搜集
　　页面是html的，内容url为/html/News/Notes/pages//81.html，应为动态页生成的
　　从response header判断web容器为iis6，win2k3服务器：
　　Accept-Ranges:bytes
　　Content-Length:49153
　　Content-Location:/index.html
　　Content-Type:text/html
　　Date:Fri, 16 May :38 GMT
　　ETag:&f8bfa8xxxcf1:c0c7a5&
　　Last-Modified:Sat, 28 Dec :40 GMT
　　Server:Microsoft-IIS/6.0
　　X-Powered-By:ASP.NET
　　google 百度 bing 搜了下 site inurl，没有发现如何动态页的路径，暂时不清楚目标是什么cms的;[1]&&&
【声明】:黑吧安全网()登载此文出于传递更多信息之目的，并不代表本站赞同其观点和对其真实性负责，仅适于网络安全技术爱好者学习研究使用，学习中请遵循国家相关法律法规。如有问题请联系我们，联系邮箱，我们会在最短的时间内进行处理。
上一篇：【】【】二次元同好交流新大陆
扫码下载App
温馨提示！由于新浪微博认证机制调整，您的新浪微博帐号绑定已过期，请重新绑定！&&|&&
LOFTER精选
网易考拉推荐
用微信&&“扫一扫”
将文章分享到朋友圈。
用易信&&“扫一扫”
将文章分享到朋友圈。
本文转载自独孤九剑
阅读(200)|
用微信&&“扫一扫”
将文章分享到朋友圈。
用易信&&“扫一扫”
将文章分享到朋友圈。
历史上的今天
在LOFTER的更多文章
loftPermalink:'',
id:'fks_',
blogTitle:'【转载】详解入侵网站的万能密码原理',
blogAbstract:'\r\n&&&&& ’or’=\'or’这个就是传说中
{if x.moveFrom=='wap'}
{elseif x.moveFrom=='iphone'}
{elseif x.moveFrom=='android'}
{elseif x.moveFrom=='mobile'}
${a.selfIntro|escape}{if great260}${suplement}{/if}
{list a as x}
推荐过这篇日志的人：
{list a as x}
{if !!b&&b.length>0}
他们还推荐了：
{list b as y}
转载记录：
{list d as x}
{list a as x}
{list a as x}
{list a as x}
{list a as x}
{if x_index>4}{break}{/if}
${fn2(x.publishTime,'yyyy-MM-dd HH:mm:ss')}
{list a as x}
{if !!(blogDetail.preBlogPermalink)}
{if !!(blogDetail.nextBlogPermalink)}
{list a as x}
{if defined('newslist')&&newslist.length>0}
{list newslist as x}
{if x_index>7}{break}{/if}
{list a as x}
{var first_option =}
{list x.voteDetailList as voteToOption}
{if voteToOption==1}
{if first_option==false},{/if}&&“${b[voteToOption_index]}”&&
{if (x.role!="-1") },“我是${c[x.role]}”&&{/if}
&&&&&&&&${fn1(x.voteTime)}
{if x.userName==''}{/if}
网易公司版权所有&&
{list x.l as y}
{if defined('wl')}
{list wl as x}{/list}}