|
|
|
联系客服020-83701501

突破web iGuard防篡改系统(2)

联系在线客服,可以获得免费在线咨询服务。 QQ咨询 我要预约
突破站点 iGuard防篡改零碎(2)

继SQL注入风行,许多站点首页招致恶意的篡改,人们弁急的必要一款方案网页防 篡改问题的方 案,许多公司相续推出了硬件和软件,譬喻文中提到的IGuard防篡改零碎,防篡改的原理个别基于三种,划分是外挂轮询技艺、核心内嵌技艺、事项触发技 术。外挂轮询技艺是操纵一个网页检测按次,以轮询口头读出要监控的网页,与真实网页相比拟,来果决网页模式的残缺性,对于被篡改的网页休止报警和实时恢 复。核心内嵌技艺是将篡改检测模块嵌在Web任事器软件里,它在每一个网页流出时都休止残缺性查抄,对于篡改网页休止实时会面阻断,并予以报警和恢复。事 件触发技艺是操纵操纵零碎的文件零碎接口,在网页文件的被修正时休止不法性查抄,对于造孽操纵休止报警和恢复。对于一些技艺性评估,可能从上面的表里得到 一些消息。

突破防篡改 继续上传

图/三种技艺评估比拟表

由表可知,核心内嵌技艺许是最好的防篡改方案管理了。只是在攻击才略层见迭出的昔日,零碎设置装备摆设是否最佳和WEB垄断层防护是否关乎全局,在都是些较关键的问题。

在检测一下站点时,从扫描后果得到一个

http://www.nuanyue.com/admin/fckeditor/editor/filemanager/connectors/test.html

可能看出这是fckeditor的上传页面,经由点击差距的文件范例,fckeditor是支持多种文件范例文件上传的,以是,有的打点员可能根据 必要差距而设置装备摆设了差距的文件,可能经由决意Connector差距的文件范例,再点击”Get Folders and Files”来查看文件夹,假定存在文件夹,如下图,假定前往空缺页面大要出错消息,则不有启用这类文件的上传设置装备摆设。

突破防篡改 继续上传

经由测试创作发明,站点打点员设置装备摆设了asp.net,而且可能在resource Type “Media”可能创设和可列目录,这条思路切实有人在网上已经提过,大体思路是经由创设asp文件夹,再往asp传递图片木马。只是不有揭晓怎么创设类 似于x.asp这样的文件夹呢。在fckeditor里,是会对“.“休止转换成“_“的。假定你输入创设”x.asp“,切实创设的是”x_asp”文 件夹。如图

突破防篡改 继续上传

提交一条这样的语句便可能

http://www.nuanyue.com/admin/FckEditor/editor/filemanager/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Media&CurrentFolder=c.cdx&NewFolderName=z&uuid=1244789975684

创设一个”c.cdx”的文件夹,在提交时必要uuid参数,原理跟aps文件夹异样,在这个文件夹安插的图片文件IIS会看成asp文件来剖析的。因为在默认的编纂器默认测试页面,打点员禁用了上传死守,只能答应创设目录,以是,在布景找到一处上传之处,其URL:

http://www.nuanyue.com/admin/adminimg.aspx?simage=images2&bimage=images&path=%2fadmin%2fUploadFile%2fmedia%2fz.cdx&returnpath=admin/pic&wsize=270&hsize=190

经由参数returnpath把目录间接指向“/admin/pic“,间接把它指向刚刚创设的z.cdx文件夹admin%2fUploadFile%2fmedia%2fz.cdx

http://www.nuanyue.com/imgresize/imgresize.aspx?simage=images2&bimage=images&path=%2fadmin%2fUploadFile%2fmedia%2fz.cdx&returnpath=admin%2fUploadFile%2fmedia%2fz.cdx&wsize=270&hsize=190

在布景间接上传文件大要图片木马,然则原因其任事器上有iGuard,是不克不及履行的。如图:

突破防篡改 继续上传

突破iGuard切实用得也是图片木马的原理,先把一张图片和一个小马,就用比拟典范的diy.asp上传文件的马。呼吁如下:

Default
1 C:>copy /b 图片+图片木马 图片木马

突破防篡改 继续上传

其主要拐骗iGuard,呈报它,“这不是伶仃,这是一张图片”

上传履行如图:

突破防篡改 继续上传

固然尚有另外一种口头了,这种口头可能添加了创设非凡文件夹的过程。原理跟这个也是异样的,便是不久前让人爆出的0day,切实传来传去很且自了。 “Microsoft IIS 5.x/6.0 0剖析文件名裂痕”,此裂痕形貌:“当文件名为x.asp;x.jpg时,Microsoft IIS会自动以asp花式来休止剖析。而当文件名为x.php;x.jpg时,Microsoft IIS会自动以php花式来休止剖析。”上传一个这样花式的图片木马,iGuard也会放行的。只以是能败北上传,大体可能看成是iGuard对文件检测 过于冗杂,而IIS本身的误差也是主要的原因。

91ri.org援救:上篇讲的是任事器端突破 这个讲shell突破 大家参考参考吧。上篇link:<<突破站点 iGuard防篡改零碎(1)>>

本文转自小俊baidu空间由网络坦然攻防研究室(www.91ri.org)消息坦然小组收集收拾整顿。

数安新闻+更多

证书相关+更多