我是 Kevin. 今天讲的是批量入侵CMS获得WEBSHELL.. 文章原创作者是 零号大哥.
联系QQ:274518767
mail:lfy1990@gmail.com
website:http://www.uku8.cn/
由于语音声音很小, 大家开大点.. 将就一下吧
目标:kingcms
版本:所有版本..即通杀
工具:KingCMS漏洞利用工具 挖掘机 工具很小 全部打包
漏洞:程序自带的FCK编辑器上传过滤不严
最明显的地方是在一个配置文件里 config.asp
代码是这样的
ConfigAllowedExtensions.Add "File", ""
ConfigDeniedExtensions.Add "File", "php|php3|php5|phtml|asp|asa|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|dll|reg|cgi"
ConfigAllowedExtensions.Add "Image", "jpg|gif|jpeg|png|bmp"
ConfigDeniedExtensions.Add "Image", ""
ConfigAllowedExtensions.Add "Flash", "swf|fla"
ConfigDeniedExtensions.Add "Flash", ""
分别是3个过滤设置
白名单 ConfigAllowedExtensions.Add 指的是除了列出的后缀文件能上传外 其他的文件都不能上传
黑名单 ConfigDeniedExtensions.Add 指的是除了列出的后缀文件不能上传外 其他的文件都能上传
还有connector.asp 里面的过滤惨不忍睹. 所以可以通过上传获得webshell. 我们只需要修改以下数据包
直接提交上传. 这前提就是默认的管理目录admin没有改. 上传文件的目录有执行权限..
CMS就是 内容管理系统 和一般的源码不同的是, CMS功能强大 适用于比较大型的网站. 比较出名的CMS系统像
ASP里的 动易 科讯 风讯等
PHP里的 DEDECMS(织梦内容管理系统) 帝国 PHPCMS 等等
只是CMS里一般在后台都提供版权修改的 比如说DEDECMS 而CMS的模板又很多 关键字比较难找
所以想批量入侵就有些难度.
所以只要默认的管理目录admin没有改 或者没有打上补丁就是可以入侵的..
原文没有给出入侵思路,当然 这是需要我们自己来想的.. 别人已经给了你漏洞,提供给你刀具
难道还要别人帮你来做? 怎样利用就要靠自己了,我给大家提供一个思路...
工具刚公布出来时大家都入侵了很多 不过到现在 漏洞公布也将近1个星期了. 很多上了官方网站的都看到了漏洞
并且打了补丁 修改了管理目录.. 很多朋友都是直接用百度进行搜索入侵 我也试过 效率很低. 所以有了本视频.
第一步:获取webshell
1.先找关键字,我们就用官方底部的关键字 Powered By: KingCMS 3.0 Beta
其实还有其他的关键字,就看大家自己找啦.. 建议本机搭建的web服务器 自己来研究下
2.用挖掘机搜索, 这一步是关键..
第二步:保护webshell...删除漏洞
filemanager目录下的代码，简直和一个标准的ASP木马没有区别，上传居然没有权限控制，类似动网ASP的上传漏洞在这里也有，那真是毁灭性的灾难啊。
方案一:
去掉此漏洞的方法是：删除“FCKeditor/editor/filemanager”目录和其全部子目录，虽然上传的功能没有了，但我觉得安全性应该是第一位的。FCKeditor的上传既然不安全，那就必须删除其代码。
方案二:
FCKeditor的漏洞因上传功能而起，因此只要我们将上传功能彻底关闭就可以了。打开位于FCKeditor安装目录admin/editor/FCKeditor/editor/filemanager/browser/default/connectors/asp/文件夹中的config.asp文件，将其中的ConfigIsEnabled参数后面的值改为False，这样做的目的是将FCKeditor的文件上传功能关闭，漏洞当然也就无法被黑客利用了。
为了保护webshell,我们还可以备份一个这个文件, 但是名称一定要记住, 以防日后后门被删除 还是可以手工获取shell的
前提是你有管理目录
教程完毕.
因为现在开始上课了, 没有什么时间上网.QQ经常是朋友开着. 经常漏掉消息......
大家有问题就上到我blog留言吧.
http://www.uku8.cn/
或者发email给我... 我会回复的.
|
