实习总结（五）---黑客技术小盘点

在实习的时候，为了提高我们的学习兴趣，授课老师小露一手，三下五除二就黑掉了一个政府网站，但是本着红客的精神，老师没有对网站进行任何操作，下面是我学习后照猫画虎的结果（以超级管理员身份登陆后台管理界面）：

希望跟我一样不是很懂黑客技术的新手不要以为自己会一点黑客工具就搞一些破坏，这损失的都是我们国人的利益，丢的都是我们自己的脸，有本事就黑掉一个国外政府网站，有技术的话可以加入红客联盟，几经聚散，这个组织靠团结凝聚，靠技术维护国人利益。下面我就我学习到只是做一次总结：

一、木马的伪装：
准备工作：根据需要准备一款木马，一个ICO图标文件（媒体文件，图片文件的图标），安装WINRAR，一个素材文件（一段动画，一首MP3，或一张图片都可以）
操作步聚：

1,将用来迷惑目标的素材压缩成为RAR文件.并将脚本文件,木马添加其中

2,加入再点击功能按钮的自解压模式选项,再选择高级自解压选项

3,在常规选项中,设解压路径为%systemroot%\system32\，解压后运行设为我们的脚本

4,在模式选项中,设置安静模式为全部隐藏,覆盖方式为覆盖所有文件

5,在文本和图标--从文件加载自解压徽标中选择图标

6,在自解压文件的EXE后缀前，加上其它的程序类型后缀，如WMF，GIF等等，最后加上木马~~ !!

二、暴力破解：

在入侵中,经常得到的密码信息是被加密的,如果PCANYWHERE的密码文件,ACCESS数据库的密码.这两种密码是通过一种算法进行加密的,其加密过程是可逆的,即根据一工式倒推计算出明文密码,这类破解相当简单只要用相关逆算法解密工具,一秒内即可计算出明文。但是现在真正被广泛采用的加密方式是MD5加密,这种加密方法,是不可逆的,即不可以通过工式计算出明文,MD5加密情况下就只能进行暴力破解了,暴力破解,即是穷举法,将认为可能是密码全部尝试一次，MD5密码的暴力破解,其过程是,将进行猜测的字符,如ADMIN进行MD5加密,将加密后的密码散列与原MD5密码进行对比,如果一致,则认为是正确明文。MD5加密密码的特征是16(最常见)或32位,90%情况下为数字加小写字母的组合，使用工具破解,将要破解的密文填入相关位置,在字符设置里指定字符类型,是数字还是字母,是否包含大写及特殊字符等,然后设置要破解的长度,意思是密码可能是几位数的.比较好的工具还支持保存进度功能,当必须关机时可以保存当前进度,下一次再接当前进度继续破解,还可以设置字典破解,重要提示!!破解MD5码时,数字破解不要超过八位,字母破解不要超过7位,字母及数字混合型不要超过6位,否则所需破解时间是惊人的(100年都有可能-.-!!)

（现在网上有很多MD5解密工具，还有的提供在线解密）

三、抓包修改上传：

我们的电脑被称为客户端,网站称为服务端,上网从网站上获取信息,或者向网站上提交信息,其根本都是客户端和服务端之间信息传递的过程,这个过程以数据包的形式实现的,如果能够抓取到提交的数据包,并进行修改,则可以达到改变在服务器上生成的结果的目的.

对数据包进行修改后提交达到攻击的目的,其中一个精典的应用是对上传数据包的修改绕过在服务端的过滤,直接上传脚本木马获得 WEBSHELL。

首先登陆网站,进入上传页面,用抓包工具选中IE中的这个页面,上传ASP木马,这一次的上传是会失败的,因为服务器上有验证程序,但是在抓包工具中会抓取到该页面的数据包,在抓包的结果中包查询关键字为POST的包文件,这是提交进入服务器的数据包,将这一个包以及他下面一个包的内容全部复制下来,粘贴到一个文本文件.里(注意这二个包的内容之间要空一行).

在文本文件中,查找木马的本地地址,如D:\MUMA\111.ASP,现ASP后面加上.GIF,然后在.gif前面加一个空格.此时因为添加了字符所以包的大小改变了.那包的大小也得相应的改变,GIF和一个空格,一共是五个字符,需要在Content-Length这个变量后面的字符数目上

加5,(假如256+5,则改为231,因为包的大小被改了).修改完毕后保存该文本用UltraEdit打开这个文本文件,找到木马地址那一行,如D:\MUMA\1.ASP(修改后的成了D:\MUMA\1.ASP.GIF),在这一行点鼠标右键,选HEX编辑,再弹出的把光标移到空格相应的位置,把空格的字符%20替换为%00,再点击保存。把这个完全改好后的文本文件放在和NC一个目录下,在CMD下,使用NC-VV要攻击的网站域名80<111.TXT。过一会包提交好后,会提示上传成功,然后再连接这个ASP文件,即可获得一个WEBSEHLL。

四、绕过本地认证提交：

我们在入侵一个网站,比如上传或者自己定义提交的文件时,会在本地的代码中遇到阻碍,也就是过滤,过滤有两种,一种是在远程服务器的脚本上进行的过滤,这段代码是在服务器上运行后产生作用的,这种过滤方式叫做远程过滤;另一种是在我们的IE浏览器里执行的脚本过滤,就是说是在我们自己的机器上运行后产生作用的,这种过滤方式叫本地过滤.远程过滤要绕过是比较难的,但是对于仅仅只在本地过滤的程序,我们可以简单的修改本地代码来绕过实例应用,在某些上传的位置,如果上传文件的页面有过滤,如果是本地过滤,通常会很快的弹出警靠框,因为是在本地运行的过滤代码所以速度很多,如果是远程的过滤则会过一会才弹出警告窗口,这是判断远程还是本地滤的一点小经验.如果是本地过滤的,首先打开该页面的源文件,查找script或JAVE关键字,,因为本地验证几乎都是用脚本进行的.把<SCRIPT></SCRIPT>中的代码去掉,这一般就是进行过滤的代码。查到FORM表单提交代码段,在POST后,这里一般提交的地址为相对地址如/XXX/XXX.ASP我们需要把他补全成为完整的链接地址.HTTP://www.xxxxx.com/xxxx/xxxx.asp。最后把改好的页面保存为HTM扩展名,然后再提交文件,就可以绕过本地验证。

五、获得网站权限：

在入侵网站之前,信息搜集是第一步,任何情况的搜集,当情况搜集有初步成果之后,应该首先试图获得管理员的帐号和密码,然后找出网站的后台,对于现成的整站系统而言,通常后台是固定的,只要搞到网站就能以管理员的帐号进入.进了后台,就有了能力对网站进行操作,我们就有了很大的把握获得的一个WEBSEHLL,所谓WEBSEHLL,也就是一个脚本,这个脚本,具有远远超过管理员后台的功能,可对网站的任何文件进行编辑、移动、复制、删除,可以得到的是整个网站的操作权限,并且是进一步渗透获得主机权限的立脚点。

在进入管理后台后,获得WEBSHELL的首选方法是通过"备份数据库"的方法上传一个扩展名改成GIF的ASP木马,(之所以要把ASP的木马护展名由ASP改为GIF,是因为一般网站都有检测护展名,当检测到护展名为ASP时就不会允许上传),,上传之后,用备份数据库的办法,把GIF护展名,备份成为ASP护展名,然后连接备份后的ASP地址,就能打开你上传的ASP木马,一个WEBSEHLL就到手了。具体方法为在备份数据库地址里输入你上传的GIF文件的相对地址,在恢复地址里输入你要生成的ASP地文件的路径和文件名,然后恢复数据库即可。