| 1.【ASP+ACCESS入侵方式】 1.用啊D或明小子掃描檢測是否有注入點。 2.掃描ACCESS數(shù)據(jù)庫里的管理員的賬號和密碼，但是密碼一般都是用MD5加密過的，大家可以到其他 MD5網(wǎng)站里破解。 3.掃描網(wǎng)站的后臺地址，然后用破解出來的賬號和密碼登錄后臺，找到文件上傳的地方，利用ASP上傳漏洞上傳ASP木馬，但是有不少網(wǎng)站都限制了上傳ASP文件的類型，一般來說ASP為后綴的文件都不允許上傳。但是這種限制是可以被駭客突破的。比如：把ASP擴展名修改成asa，aaspsp，cer后進行上傳ASP木馬。獲得WEBSHELL 如不能上傳asa，aaspsp，cer文件格式，也可以利用備份功能，首先找到文件上傳功能，上傳一個ASP木馬但是要注意：把ASP木馬的擴展名改成JPG或GIF后綴的，然后找到后臺的數(shù)據(jù)庫備份把要備份的文件后綴改成.ASP。獲得WEBSHELL 或用采取上傳一個正常的JPG圖片用抓包工具抓包得到圖片的上傳路徑和COOKIE，然后利用桂林老兵或明小子進行上傳的欺騙方式來上傳ASP木馬，如上傳失敗用UE修改數(shù)據(jù)包再用NC上傳。獲得WEBSHELL。 還有一種方法就是現(xiàn)在很多網(wǎng)站的管理員都很懶，都沒修改數(shù)據(jù)庫默認路徑和后臺的默認路徑。 （尤其是國內(nèi)很多的管理員都很懶！甚至連后臺的用戶名和密碼都懶的修改！這樣菜鳥們就可以利用數(shù)據(jù)庫默認的路徑下載到本地然后用“輔臣數(shù)據(jù)庫瀏覽器”查看管理員用戶名和密碼，但是密碼一般都是用MD5加密過的，大家可以到其他MD5網(wǎng)站里破解。然后找到后臺的默認路徑將破解出來的用戶名和密碼進行登陸，登陸后就用以上的方式獲得WEBSHELL） 如以上的都不行就用提交一句話木馬的入侵方式 這種入侵方式是對一些數(shù)據(jù)庫地址被改成asp文件的網(wǎng)站來實施入侵。駭客通過利用一些論壇存在的安全漏洞提交一句話木馬到數(shù)據(jù)庫里，然后在一句話木馬的客戶端里輸入這個網(wǎng)站的數(shù)據(jù)庫地址并提交一個ASP木馬，從而獲得WEBSHELL。 最典型的就是動網(wǎng)6.0版本論壇漏洞的利用入侵方式，7.0版本都存在安全漏洞，我就拿7.0版本來說吧。 首先注冊一個正常的用戶，然后去發(fā)一個帖子，發(fā)帖子的時候在附件里上傳一個正常的JPG圖片，用抓包工具抓包得到圖片的上傳路徑和COOKIE，然后利用桂林老兵或明小子進行上傳的欺騙方式來上傳ASP木馬，如上傳失敗用UE修改數(shù)據(jù)包再用NC上傳。獲得WEBSHELL。 2.【ASP+MSSQL注入方式】 MSSQL通常會給用戶分配一個賬號，賬號的權(quán)限分為三種SA，dbowner，public，SA權(quán)限最高，public最低。 以前有很多數(shù)據(jù)庫都給SA權(quán)限 ，特別是一些韓國的網(wǎng)站，一掃一大把都是SA權(quán)限的，現(xiàn)在大部分網(wǎng)站都是給DBOWNER權(quán)限。 如是SA權(quán)限的網(wǎng)站有注入點，那么可以直接用數(shù)據(jù)庫的存儲擴展XP_CMDSHELL來執(zhí)行系統(tǒng)命令，建立一個系統(tǒng)賬號，然后通過3389登錄進去。 或者上傳一個NC，然后用NC反向連接，獲取一個遠程的SHELL權(quán)限。 （當然利用SA注入點入侵的方法還有很多種，我在這里就不一一講解。） 如是DB_OWNER權(quán)限的話，那么就要用到差異備份的技術(shù)來備份出一個WEBSHELL，前提是要知道網(wǎng)站的絕對路徑。 或利用DB_OWNER權(quán)限列出數(shù)據(jù)庫，然后下載到本地用“輔臣數(shù)據(jù)庫瀏覽器”查看管理員用戶名和密碼，但是密碼一般都是用MD5加密過的，大家可以到其他MD5網(wǎng)站里破解。然后找到后臺地址將破解出來的用戶名和密碼進行登陸，登陸后就用以上的方式獲得WEBSHELL。 如以上都不成功那么可以試試一下的！ 3.【旁注方式】 這種技術(shù)是通過IP綁定域名查詢的功能查出服務(wù)器上有多少網(wǎng)站，然后通過一些薄弱的網(wǎng)站實施入侵，拿到權(quán)限之后轉(zhuǎn)而控制服務(wù)器的其它網(wǎng)站（跨站）。 4.【利用百度或Google批量入侵方式】 這種技術(shù)方式是用GOOGLE來搜索一些存在安全漏洞的網(wǎng)站，我簡單列出GOOGLE的一些語法的使用方法： intext: 這個就是把網(wǎng)頁中的正文內(nèi)容中的某個字符做為搜索條件.例如在google里輸入:intext:紅盟.將返回所有在網(wǎng)頁正文部分包含"紅盟"的網(wǎng)頁 .allintext:使用方法和intext類似. intitle: 和上面那個intext差不多，搜索網(wǎng)頁標題中是否有我所要找的字符.例如搜索:intitle:紅客.將返回所有網(wǎng)頁標題中包含"紅客"的網(wǎng)頁.同理allintitle:也同intitle類似. cache: 搜索google里關(guān)于某些內(nèi)容的緩存，有時候也許能找到一些好東西哦. define: 搜索某個詞語的定義，搜索:define:hacker，將返回關(guān)于hacker的定義. filetype: 這個我要重點推薦一下，無論是撒網(wǎng)式攻擊還是我后面要說的對特定目標進行信息收集都需要用到這個.搜索指定類型的文件.例如輸入:filetype: doc.將返回所有以doc結(jié)尾的文件URL.當然如果你找.bak、.mdb或.inc也是可以的，獲得的信息也許會更豐富 :filetype:doc.將返回所有以doc結(jié)尾的文件URL.當然如果你找.bak、.mdb或.inc也是可以的，獲得的信息也許會更豐富 info: 查找指定站點的一些基本信息. inurl: 搜索我指定的字符是否存在于URL中.例如輸入:inurl:admin，將返回N個類似于這樣的連接:http://www.xxx.com/xxx/admin，用來找管理員登陸的URL不錯.allinurl也同inurl類似，可指定多個字符。 link: 例如搜索:inurl:www.jz5u.com可以返回所有和[url]www.jz5u.com[/url]做了鏈接的URL. site: 這個也很有用，例如:site:www.jz5u.com將返回所有和jz5u.com這個站有關(guān)的URL. 對了還有一些*作符也是很有用的: + 把google可能忽略的字列如查詢范圍 - 把某個字忽略 ~ 同意詞 . 單一的通配符 * 通配符，可代表多個字母 "" 精確查詢 現(xiàn)在簡單來講解一些實例： 對于一些駭客來說，獲取密碼文件是他們最感興趣的，那么可以在GOOGLE上搜索以下內(nèi)容： intitle:"index of" etc intitle:"index of" passwd intitle:"index of" pwd.db intitle:"index of" etc/shadow intitle:"index of" master.passwd intitle:"index of" htpasswd 這樣就會有很多一些服務(wù)器的重要密碼文件沒有任何保護的暴露在網(wǎng)絡(luò)上，駭客就會利用這些密碼來獲取系統(tǒng)的一些權(quán)限。 以上駭客通過WEB的入侵技術(shù)我只是做了簡單的介紹，目的是希望大家對駭客技術(shù)有一定的了解，但不希望大家利用這些技術(shù)來實施入侵。我想大家就很想知道對于這么多形形色色的入侵方式，有些什么好的防御方法。 現(xiàn)在大家都知道了駭客是如何入侵網(wǎng)站的，那么下面我就來講講怎樣來防御基于WEB的各種攻擊。 網(wǎng)站和服務(wù)器的一些安全防范，防范WEB入侵有兩種方式，一種是用技術(shù)手段來防御攻擊，另一種是用安全軟件來防御攻擊。 【手動的方式來防范基于WEB的入侵】 1.【安裝補丁】 安裝好操作系統(tǒng)之后，首先要做的就是要安裝系統(tǒng)的各種補丁程序，配置好網(wǎng)絡(luò)之后，如果是WIN 2000的操作系統(tǒng)就裝上SP4，WIN 2003就安裝好SP1，然后點擊WINDOWS UPDATE，安裝好所有關(guān)鍵的更新。 2.【安裝殺毒軟件】 殺毒軟件我現(xiàn)在主要推薦使用兩款：卡巴斯基和瑞星。這兩款殺毒軟件我做過N多測試，結(jié)果表明卡巴斯基的殺查能力要強過瑞星，很多做過免殺的木馬過得了瑞星但是確逃不過卡巴斯基的法眼，當然卡巴斯基也不是百分百所有病毒都能查殺，一些木馬程序也是能做出過卡巴斯基的免殺。只不過卡巴斯基在所有殺毒軟件當中查殺能力還算是不錯的。 3.【設(shè)置端口的安全保護功能】 端口保護的方式有兩種，一種是TCP/IP篩選里面進行端口設(shè)置，另外一種系統(tǒng)自帶的防火墻（我以WINDOWS 2003操作系統(tǒng)為準，現(xiàn)在大部分的網(wǎng)站都使用的是WINDOWS 2003操作系統(tǒng)。） 4.【TCP/IP篩選的端口設(shè)置方式】 在“網(wǎng)上鄰居”上選右鍵點開“屬性”，然后在“本地連接”上右鍵點開“屬性”，選擇“Internet協(xié)議（TCP/IP）”點“屬性”，然后在彈出的“Internet協(xié)議（TCP/IP）屬性”框里選擇“高級”，然后在“高級TCP/IP設(shè)置”框里選擇“選項”，然后選擇“TCP/IP篩選”后點擊“屬性”，然后在彈出的“TCP/IP篩選”的框里勾上“啟用TCP/IP篩選（所有適配器）”，選擇只允許，然后點擊添加你所需要開放的端口。 5.【自帶防火墻的端口設(shè)置】 通過WINDOWS 2003操作系統(tǒng)自帶的防火墻來進行端口設(shè)置比較靈活，不用重新啟動服務(wù)器。開始設(shè)置，在“網(wǎng)上鄰居”上選右鍵點開“屬性”，然后在“本地連接”上右鍵點開“屬性”，在彈出的框里選擇“高級”，選擇“Internet連接防火墻”點擊設(shè)置，這樣就會彈出“WINDOWS 防火墻”的框。選擇“啟用”，然后點“例外”，在這個里面可以選擇“添加程序”和“添加端口”的方式來設(shè)置一些開放的端口。有一點需要特別注意，如果是遠程連接服務(wù)器的，要注意遠程虛擬終端的端口一定要開放。 6.【目錄的安全設(shè)置】 包括系統(tǒng)盤在內(nèi)的所有磁盤只給Administrators和SYSTEM的完全控制權(quán)限。 C:\Documents and Settings 目錄只給Administrators和SYSTEM的完全控制權(quán)限。 C:\Documents and Settings\All Users 目錄只給 Administrators 組和 SYSTEM 的完全控制權(quán)限。C: \Inetpub 目錄及下面所有目錄、文件只給 Administrators 組和 SYSTEM 的完全控制權(quán)限。C:\Windows目錄除了給Administrators和SYSTEM的完全控制權(quán)限之外，還需要給CREATOR OWNER用一個“特別的權(quán)限”，Power Users用戶組除了完全控制之外的所有權(quán)限，Users用戶組“讀取和運行”，“列出文件夾目錄”，“讀取”的權(quán)限。C:\Windows目錄的這些權(quán)限設(shè)置是非常重要的，如果除了Administrators和SYSTEM的完全控制權(quán)限之外的那些權(quán)限沒有設(shè)置，那么系統(tǒng)重啟后，很多系統(tǒng)服務(wù)都不能正常使用。 C: \Windows\System32\cacls.exe、cmd.exe、net.exe，、net1.exe 文件只給 Administrators 組和 SYSTEM 的完全控制權(quán)限。 7.【IIS控制賬號的權(quán)限分配】 現(xiàn)在駭客的入侵技術(shù)當中，有一種技術(shù)叫網(wǎng)站旁注入侵，這種技術(shù)方式上面駭客入侵技術(shù)環(huán)節(jié)已經(jīng)講過了，是通過服務(wù)器里面一個有漏洞網(wǎng)站的來實施入侵，成功獲取權(quán)限之后轉(zhuǎn)而控制其它網(wǎng)站。那大家就想知道這個問題是由于什么原因?qū)е碌?。原來IIS對于遠程的普通用戶訪問是設(shè)置了一個專用的“IUSR_機器名”的賬號。那么正因為IIS用“IUSR_機器名”的賬號來管理所有網(wǎng)站訪問權(quán)限，因此駭客就可以用到這種旁注入侵技術(shù)了。那么怎么來解決這個問題？很簡單，我給每個網(wǎng)站分別設(shè)置一個單獨的IIS控制賬號，IIS控制賬號的權(quán)限設(shè)為GUESTS組就可以。這樣即使駭客通過服務(wù)器的一個網(wǎng)站拿到權(quán)限，那他也只有這個網(wǎng)站的權(quán)限，服務(wù)器其它網(wǎng)站他都沒有權(quán)限可以訪問，駭客對服務(wù)器破壞的風(fēng)險降低了，那么安全就相對提高了。 8.【注入漏洞的修補以及上傳文件類型的限制】 這兩個部分是各位網(wǎng)站程序員所必須關(guān)注的，駭客對網(wǎng)站實施入侵的過程中，80％會用到網(wǎng)站的注入點和上傳漏洞來實施入侵。注入漏洞的修補可以使用網(wǎng)上一些現(xiàn)成的修補代碼，如ASP通用防注入組件，防注入代碼完美版等，但是我還是建議網(wǎng)站程序員稍微花點時間自己來寫防注入代碼，這樣會比較安全可靠。上傳文件類型的限制這個寫起來也不難，只允許用戶上傳你們網(wǎng)站所要用到的文件類型，限制好文件類型，特別不要讓ASP，ASA等擴展名的文件上傳上來，然后對文件的頭文件進行一個檢查，發(fā)現(xiàn)有ASP木馬特征的就限制上傳。當然，現(xiàn)在的駭客越來越聰明，ASP木馬大部分都使用一句話木馬，然后還會對代碼進行各種各樣的變形處理來逃過網(wǎng)站的限制以及殺毒軟件的查殺。對于這些免殺技術(shù)的木馬用ASP代碼的方式很難防范，最好使用安全產(chǎn)品來進行防御。 9.【SQL權(quán)限的安全設(shè)置】 ASP+MSSQL是駭客最感興趣的網(wǎng)站，通常駭客能很輕松的利用MSSQL的漏洞拿到系統(tǒng)權(quán)限，因此這一塊是大家要加以重視。 首先系統(tǒng)安裝的時候，盡量不要默認安裝到c:\Program files目錄里面，然后安裝好之后要打好SQL數(shù)據(jù)庫最新的補丁程序。然后數(shù)據(jù)庫不要放在默認的位置，接下來就要看網(wǎng)站是否需要遠程登錄sql服務(wù)器，我建議能不用遠程就不要用，如果必須使用的話，那建議大家可以把端口改成一個高端端口，這樣駭客很難找到。 在做好安全安裝的工作之后，就要把SA設(shè)置一個復(fù)雜的密碼，然后把SQL里面的BUILTIN\Administrators用戶組刪除，這樣是避免駭客以WINDOWS身份登錄SQL。接著在企業(yè)管理器里面編輯SQL Server注冊屬性，選擇使用“使用SQL Server身份驗證”并勾選“總是提示輸入登錄名和密碼”。 然后在增加用戶的時候，只給public和db_owner權(quán)限。 添加用戶 exec sp_addlogin 'abc' 使它變?yōu)楫斍皵?shù)據(jù)庫的合法用戶 exec sp_grantdbaccess N'abc' 授予abc用戶對數(shù)據(jù)庫的db_owner權(quán)限 exec sp_addrolemember N'db_owner'， N'abc' 最后就要刪除一些駭客常用到的調(diào)用SHELL，操作注冊表，調(diào)用COM組件的權(quán)限。 打開查詢分析器，輸入： use master EXEC sp_dropextendedproc 'xp_cmdshell' EXEC sp_dropextendedproc 'Sp_OACreate' EXEC sp_dropextendedproc 'Sp_OADestroy' EXEC sp_dropextendedproc 'Sp_OAGetErrorInfo' EXEC sp_dropextendedproc 'Sp_OAGetProperty' EXEC sp_dropextendedproc 'Sp_OAMethod' EXEC sp_dropextendedproc 'Sp_OASetProperty' EXEC sp_dropextendedproc 'Sp_OAStop' EXEC sp_dropextendedproc 'Xp_regaddmultistring' EXEC sp_dropextendedproc 'Xp_regdeletekey' EXEC sp_dropextendedproc 'Xp_regdeletevalue' EXEC sp_dropextendedproc 'Xp_regenumvalues' EXEC sp_dropextendedproc 'Xp_regread' EXEC sp_dropextendedproc 'Xp_regremovemultistring' EXEC sp_dropextendedproc 'Xp_regwrite' drop procedure sp_makewebtask 點擊菜單上“查詢”里面的“執(zhí)行”，這樣就可以把這些會被駭客利用的權(quán)限刪除掉。 |
聯(lián)系客服
