黑客攻击中Webshell的密码泄露漏洞分析

0x00 什么是Webshell

 

黑客在对Web服务进行的渗透攻击成功之后,通常会放置一个十分隐蔽的Webshell,可以是俗称的小马(一句话木马),也可以是大马,以供该黑客下次对目标服务器进行访问,作为Webshell,黑客都不希望其他黑客发现这个他留下的自己的的Webshell,并且也不希望有其他人通过Webshell篡取他自己的攻击成果,所以Webshell通常有一个认证密码来防止未经授权的其他人进行访问。

 

所以我们在此文中重点分析的对象是俗称的大马Webshell

 

大马Webshell一般来说有两个组件,即密码输入框和确认按钮。

 

如下图所示:

图片1.png 

 

但作为黑客对目标服务器的第一道防线的Webshell来说,它的认证方式似乎并不是太安全。

 

0x01 匪夷所思的if

图片2.png 

 

 

我们先对这个Webshell进行审计。首先我们先浏览这个Webshell的源代码

图片3.png 

 UserPass=”” 处,我们可以对Webshell密码进行定义,在这里我定义成了我的名字,然后我们向下跟进变量Userpass

 

图片4.png 

将变量userpass的值赋值给变量c,继续跟进变量c

 

图片5.png 

在第1063demo处,我们可以看到一个有趣的事情,仔细浏览后我们发现,对这个WebshellGET方式提交给 profile 的参数为 a 时,可以将 j html代码加上刚才我们的被变量Userpass赋值的变量c一并显示出来,于是我们构造一下payload

 

http://xxx.xxx.xxx/xxx.aspprofile=a

 

图片6.png 

漏洞利用成功,爆出我们设置的密码。

 

而且我们还发现在第1069demo处有一个有趣的东西

图片7.png 

当我们输入的密码为siwangyeye的时候也可以获取认证成功的Session,这是这个Webshell的一处后门,有可能是后来被人篡改的,也有可能是原作者做的,原因大家都懂得。

 

 

0x02 都是后门?

 

图片8.png 

还是一样,我们下载一个回来看一下原文件,看看源代码

 

 

if session(“KKK”)<>UserPass then
if request.form(“pass”)<>”" then
if request.form(“pass”)=UserPass then
session(“KKK”)=UserPass
response.redirect url
else
j”<br><br><br><b><div align=center><font size=’5′ color=’red’>草泥马!</font”&userpass&”></b> <br><br><br><br><b><div align=center><font size=’14′ color=’lime’></font></b></p></center>”&backurl
end if 

 

密码输入错误后,会在返回的文本的<font></font>标签中将变量Userpass添加进去,即任意密码都会返回正确密码,我们只要在右键查看源代码即可找到真实密码......

 

真的是无意打出的代码吗?

 

 

0x03 后门反被后门误?

 

 

上面说了两个典型的例子来分析黑客们使用的Webshell的认证机制的安全性问题,目的只有一个就是黑吃黑的现象在黑客中也是常见的。

 

当然也有功底不扎实的人员写出的Webshell的 后门 存在各种各样的安全问题,例如:有的Webshell只要一访问,就会把地址和真实密码发送给后门接口,我们抓取数据包即可获得后门地址和真实密码;有的在认证机制的cookies方面存在安全问题,一些被恶意修改的cookies可以无需密码进入webshell管理界面,等等等等。

 

0x04 小结

平时我们不要轻易使用别人写的那些你没有能力去审计的傻瓜代码,俗话说的好,姜太公钓鱼愿者上钩,呵呵。

 

                 Date2017/5/7  ByFplyth0ner  FromCombie

 

 

 

通知:

团队近期招纳贤士欢迎各位有技术有梦想的朋友前来投稿,经审批通过即可加入团队一起研究更多的相关技术。

团队公众号:白帽子社区

分享本文至:


发布时间:2018-1-23 14:44 Tuesday
  • 版权声明:除非注明,文章均为【石家庄SEO_东轩博客一个自媒体的个人优秀博客】原创,欢迎转载!转载请注明本文地址,谢谢!

  • 作者:石家庄SEO_东轩博客一个自媒体的个人优秀博客

    东轩,IT专业,主攻网站前端设计制作方面以及seo技术。博主现在单身哦。有单身的小姐姐可以私信博主。

    上一篇:
    下一篇:

    发表评论

    快捷回复: