巡檢查殺
首先，我明白自己要做的不是找到這個(gè)上傳的位置是哪裡出現(xiàn)的，我應(yīng)該登上伺服器進(jìn)行webshel??查殺，進(jìn)行巡檢，找找看是否被別人入侵了，是否有後門(mén)等等情況。雖然報(bào)的是我們公司的ip位址，萬(wàn)一漏掉了幾個(gè)webshel??l，被別人上傳成功了沒(méi)偵測(cè)出來(lái)，那伺服器被入侵瞭如何能行。所以我上去巡檢了伺服器，上傳這個(gè)webshel??l查殺工具進(jìn)行查殺，使用netstat -anpt和iptables -L判斷是否存在後門(mén)建立，查看是否有挖礦程序佔(zhàn)用CPU，等等，此處不詳細(xì)展開(kāi)了。萬(wàn)幸的是伺服器沒(méi)有被入侵，然後我開(kāi)始著手思考這個(gè)上傳點(diǎn)是怎麼回事。
檔案上傳漏洞回顧
首先，我向這個(gè)和我對(duì)接的研發(fā)人員諮詢這個(gè)伺服器對(duì)外開(kāi)放的地址，要了地址之後打開(kāi)發(fā)現(xiàn)，眼熟的不就是前不久自己測(cè)試的嗎？此時(shí)，我感覺(jué)有點(diǎn)懵逼，和開(kāi)發(fā)人員對(duì)質(zhì)起這個(gè)整改信息，上次測(cè)試完發(fā)現(xiàn)這個(gè)上傳的地方是使用了白名單限制，只允許上傳jpeg、png等圖片格式了。當(dāng)時(shí)我還發(fā)現(xiàn)，這個(gè)雖然上傳是做了白名單限制，也對(duì)上傳的文件名做了隨機(jī)數(shù)，還匹配了時(shí)間規(guī)則，但是我還是在返回包發(fā)現(xiàn)了這個(gè)上傳路徑和文件名，這個(gè)和他提議要進(jìn)行整改，不然這個(gè)會(huì)造成這個(gè)文件包含漏洞，他和我回饋這個(gè)確實(shí)進(jìn)行整改了，沒(méi)有回傳這個(gè)路徑了。
檔案後綴編碼繞過(guò)
討論回顧完上次整改的問(wèn)題之後，理清了思路。然後我登入了網(wǎng)站查看原因，因?yàn)榫W(wǎng)站只有一個(gè)上傳圖片的地方，我進(jìn)行抓包嘗試，使用了repeater重播包之後，發(fā)現(xiàn)返回包確實(shí)沒(méi)有返回文件上傳路徑，然後我又嘗試了各種繞過(guò)，結(jié)果都不行。最後苦思冥想得不到結(jié)果，然後去問(wèn)這個(gè)雲(yún)端平臺(tái)給他們的這個(gè)告警是什麼原因。看了雲(yún)端平臺(tái)回饋的結(jié)果裡面查殺到有圖片碼，這個(gè)問(wèn)題不大，上傳檔案沒(méi)有執(zhí)行權(quán)限，而且沒(méi)有返回檔案路徑，還對(duì)檔案名稱做了隨機(jī)更改，但是為啥會(huì)有這個(gè)jsp上傳成功了，這讓我百思不得其解。
當(dāng)我仔細(xì)雲(yún)端平臺(tái)提供的發(fā)現(xiàn)webshel??資料的時(shí)候，我細(xì)心的觀察到了檔案名稱使用了base64編碼，這個(gè)我很疑惑，都做了隨機(jī)函數(shù)了還做編碼幹嘛，上次測(cè)試的時(shí)候是沒(méi)有做編碼的。我突然想到了問(wèn)題關(guān)鍵，然後使用burpsuite的decoder模組，將文件名“1.jsp”做了base64編碼成“MS5Kc1A=”，然後發(fā)送成功反饋狀態(tài)碼200，再不是這個(gè)上傳失敗反饋500狀態(tài)碼報(bào)錯(cuò)了。
所以，這個(gè)問(wèn)題所在是，在整改過(guò)程中研發(fā)人員對(duì)這個(gè)檔案名稱使用了base64編碼，導(dǎo)致檔案名稱在儲(chǔ)存過(guò)程中會(huì)使用base64解碼，而我上傳檔案的時(shí)候?qū)⑦@個(gè)後綴名.jsp也做了這個(gè)base64編碼，在預(yù)存過(guò)程中.jsp也被成功解碼，研發(fā)沒(méi)有對(duì)解碼之後進(jìn)行白名單限制。其實(shí)這種編碼的更改是不必要的，畢竟原來(lái)已經(jīng)做了隨機(jī)數(shù)字更改了檔名了，再做編碼有點(diǎn)畫(huà)蛇添足了，這就是為啥程序bug改一個(gè)引發(fā)更多的bug原因。
以上是webshel??l被上傳溯源事件的範(fàn)例分析的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門(mén)文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開(kāi)發(fā)環(huán)境
Dreamweaver CS6
視覺(jué)化網(wǎng)頁(yè)開(kāi)發(fā)工具
SublimeText3 Mac版
神級(jí)程式碼編輯軟體(SublimeText3)
nginx負(fù)載平衡下的webshel??l上傳如何實(shí)現(xiàn)
May 16, 2023 am 08:16 AM
情境描述假定在真實(shí)生產(chǎn)環(huán)境中，存在一個(gè)RCE漏洞，可以讓我們?nèi)〉肳ebShell環(huán)境的安裝首先在GetHub上拉去漏洞的鏡像前，需提前在centos上安裝nginx和tomcat以及配置好nginx以及tomcat的相關(guān)設(shè)定文件，在使用docker將映像拉取下來(lái)，進(jìn)行漏洞的複現(xiàn)。 1.先將docker環(huán)境搭建起來(lái)2、測(cè)試tomcat是否可以訪問(wèn)根據(jù)上圖可以看出，後端的tomcat是可以訪問(wèn)的3、查看docker中nginx反向代理的負(fù)載平衡4、查看docker中l(wèi)bsnode1中的ant .jsp文
如何進(jìn)行墨者靶場(chǎng)WebShell檔案上傳漏洞分析溯源
Jun 01, 2023 am 08:55 AM
1.打開(kāi)網(wǎng)址後，發(fā)現(xiàn)是一個(gè)上傳頁(yè)面2.直接上傳後綴名為php的文件，發(fā)現(xiàn)無(wú)法上傳3.採(cǎi)用BurpSuite進(jìn)行抓包，將上傳的後綴為php的文件的後綴改為php5，即可繞過(guò)4.使用菜刀進(jìn)行連接，在var/www/html的目錄中，發(fā)現(xiàn)帶有KEY的文件，打開(kāi)即可看到key5.打開(kāi)另一個(gè)網(wǎng)址，同時(shí)也是一個(gè)上傳頁(yè)面，但是設(shè)置了上傳名??單，僅允許以.gif.jpg.png為後綴檔案透過(guò)上傳6.我們寫(xiě)一個(gè)txt一句話木馬，將其後綴改為jpg7.在上傳的時(shí)候，採(cǎi)用BurpSiuit抓包，並對(duì)文件後綴進(jìn)行修改，顯
網(wǎng)站漏洞修復(fù)之上傳webshel??l漏洞修補(bǔ)的範(fàn)例分析
May 30, 2023 pm 01:49 PM
SINE安全在對(duì)某客戶的網(wǎng)站進(jìn)行網(wǎng)站漏洞檢測(cè)與修復(fù)發(fā)現(xiàn)該網(wǎng)站存在嚴(yán)重的sql注入漏洞以及上傳webshel??l網(wǎng)站木馬文件漏洞，該網(wǎng)站使用的是某CMS系統(tǒng)，採(cǎi)用PHP語(yǔ)言開(kāi)發(fā)，mysql數(shù)據(jù)庫(kù)的架構(gòu)，該網(wǎng)站原始碼目前是開(kāi)源的狀態(tài)。某CMS是專注於提供付費(fèi)知識(shí)的社交CMS系統(tǒng)，知識(shí)付費(fèi)在目前的互聯(lián)網(wǎng)中有這很高的需求，該系統(tǒng)可以對(duì)文件進(jìn)行分享，收費(fèi)下載，用戶發(fā)布的知識(shí)內(nèi)容可以隱藏，提供給付費(fèi)客戶閱讀。程式碼比較精簡(jiǎn)深受廣大站長(zhǎng)們的喜歡，網(wǎng)站漏洞主要發(fā)生在上傳壓縮套件的同時(shí)，建構(gòu)惡意解壓程式碼講zip套件裡的w
混淆變形的Webshel??l分析是怎樣的
May 19, 2023 pm 11:07 PM
WebShell是什麼？在最初的時(shí)候，Webshel??l經(jīng)常被用來(lái)作為Web伺服器管理員對(duì)伺服器進(jìn)行遠(yuǎn)端管理的一類腳本的簡(jiǎn)稱。後來(lái)，隨著一些Webshel??l管理工具的誕生,使得獲取Web權(quán)限的過(guò)程被很大程度上地簡(jiǎn)易化，於是逐漸被稱為Web入侵的工具腳本。 Webshel??l不同於漏洞，而是利用應(yīng)用漏洞或伺服器漏洞（檔案上傳漏洞、檔案包含漏洞等）將腳本檔案上傳到伺服器進(jìn)行後續(xù)利用，屬於滲透測(cè)試的後續(xù)利用和ATT&CK的TA0002Execution（執(zhí)行）階段。圖1TA0002參考來(lái)源：https
寶塔面板的WebShell安全設(shè)置
Jun 21, 2023 pm 04:35 PM
隨著網(wǎng)路安全問(wèn)題的日益突出，各大網(wǎng)站和應(yīng)用程式的安全性也成為越來(lái)越重要的問(wèn)題。尤其是在網(wǎng)站維運(yùn)管理中，常常需要使用WebShell這種工具來(lái)進(jìn)行維護(hù)與修復(fù)，但WebShell也常常被駭客利用，成為攻擊者入侵的一個(gè)入口。本文將介紹寶塔面板的WebShell安全性設(shè)置，幫助網(wǎng)站管理員提高網(wǎng)站的安全性。一、WebShell的概念與常見(jiàn)用途1.概念WebShell是
淺談帝國(guó)cms框架的Webshel??l
Mar 16, 2021 am 10:48 AM
這篇文章要為大家介紹帝國(guó)cms框架的Webshel??l。有一定的參考價(jià)值，有需要的朋友可以參考一下，希望對(duì)大家有幫助。
webshel??l被上傳溯源事件的範(fàn)例分析
May 12, 2023 pm 02:43 PM
巡檢查殺首先，我明白自己要做的不是找到這個(gè)上傳的位置是哪裡出現(xiàn)的，我應(yīng)該登上伺服器進(jìn)行webshel??查殺，進(jìn)行巡檢，找找看是否被別人入侵了，是否存在後門(mén)等等情況。雖然報(bào)的是我們公司的ip位址，萬(wàn)一漏掉了幾個(gè)webshel??l，被別人上傳成功了沒(méi)偵測(cè)出來(lái)，那伺服器被入侵瞭如何能行。所以我上去巡檢了伺服器，上傳這個(gè)webshel??l查殺工具進(jìn)行查殺，使用netstat-anpt和iptables-L判斷是否存在後門(mén)建立，查看是否有挖礦程序佔(zhàn)用CPU，等等，此處不詳細(xì)展開(kāi)了。萬(wàn)幸的是伺服器沒(méi)有被入侵，然後
WAF對(duì)WebShell流量偵測(cè)的效能分析是怎樣的
May 16, 2023 pm 07:47 PM
本機(jī)環(huán)境組成從保留的截圖來(lái)看，對(duì)方的php版本是5.6.40，所以我要搭一個(gè)apache+php5.6.40的測(cè)試環(huán)境。開(kāi)啟virtualbox，連結(jié)複製出來(lái)一份centos鏡像系統(tǒng)，依照以下流程配置一遍。 1.安裝apacheyuminstall-yhttpdhttpd-vServerversion:Apache/2.4.6(CentOS)Serverbuilt:Aug8201911:41:182.安裝php5.6yum-yinstallepel-releaserpm-Uvhhttps://mi
