專家教你利用思易ASP木馬追捕入侵網站

木馬|網站

朋友的網站近日多次被黑，而且老是被改頁面，讓我幫忙看看問題到底出在哪裡。於是我找出早就聽說可以找木馬的思易ASP木馬追捕，傳到網站上查ASP木馬。果然好用，它能列出網站內的所有目錄和檔案，凡ASP網頁中調用FSO，有寫（刪、建）和上傳功能的，它都能給找出來，而且它比其它ASP木馬追捕更好的是能查關鍵字，我用它找出了朋友沒有查出的冰狐後門。不過，這個用於網站安全維護的協助工具輔助，居然沒有密碼認證。有些粗心的管理員可能在用過後不會想到刪除，或者為了以後再用，很可能將它放在網站上——我決定搜搜看。

在百度上用網頁中的提示字尋找，關鍵字是“思易ASP木馬追捕”，找到相關網頁約1，260個，從有這些關鍵字所在檔案的副檔名看，大部分是提供下這個檔案載，只有少數是思易這個ASP檔案。

換用“本程式由Blueeyes編寫”，找到17條記錄，除3條是相關代碼介紹外，其它都是思易ASP追捕這個檔案本身，也就是說都可利用。看來命中率還是蠻高的。

小提示：比較了兩次不同的搜尋結果，可以發安閑有些網站在前面曾經搜到過，而這裡沒有，說明網上放有這個檔案的網站遠不止這些，變換搜尋索引鍵，應該可以找出更多。

好了，我們來試著入侵這些網站。真接點擊查詢到的網頁就可以開啟思易ASP木馬追捕了。我隨便點了一個地址，這好象是個虛擬機器主機，我正想要虛擬機器主機的代理程式呢，就選它了。

通過網站內的思易ASP木馬追捕檔案，網站的目錄、檔案全部出來了。這個思易只能看，動手下載或開啟檔案卻不行，怎麼辦呢？當然是找資料庫了。要是能下載，密碼又是明文，哼，那就好玩了！找到資料庫目錄，看到資料庫是ASP，試試能不能下載，可惜人家做了防下載處理，下載不了——不過角落裡有一個是mdb的資料庫，估計是備份用的，也許裡面也有密碼資訊，下載了再說。下載後，開啟發現居然要求輸入密碼。

只好拿出破密碼的軟體破密碼，找開後發現有密碼資訊。然後再根據思易找到後台，看能不能用“'or''='”進入，不行；找上傳檔案看有沒有漏洞，結果論壇是不常見的，根本就沒有上傳檔案；看來虛擬機器主機不是那麼好拿的。

無奈中在思易ASP上點選“回上級目錄”點點看，天啦，天上掉陷餅啦？居然可以回到根目錄，看到其它的網站，看來是管理員沒有設定訪問的許可權，有戲哦！如圖6所示。

到各個目錄下看看，進入一個FTP下載目錄，有不少電影，先放一邊。轉了幾個目錄，下載了些不知名的工具，還下載了一個Web.rar檔案，打看一看正是這個網站系統。這個在網站上可看不到，終於讓我下到了，有點收穫！

繼續找可以入侵的地方，轉到另一個可以訪問的網站，看看資料庫，副檔名是MDB，下載後順利開啟，密碼還是明文的，成功了一半了。馬上登陸後台，用得到的使用者和密碼順利進入。有添加軟體欄，但有點讓人失望，只能填地址，不能直接上傳，文章也沒有上傳圖片功能。倒是有一個圖片欄，可以上傳圖片。

既然是專門的圖片欄，估計對上傳類型做了嚴格的過濾，只能試試有沒有上傳漏洞可用了。用老兵的上傳工具測試，結果不成功，副檔名改成了JPG。果然厲害，把漏洞補了？！

只能看著電腦發獃了，決定抓個包看看，直接在網站中把ASP當圖片上傳，提示檔案類型非法，這也在意料之中。不等我看抓包結果，眼前的景象讓我不敢相信：圖片地址欄中出現了一組數字，後面是ASP！

真的不敢相信，不是我自己把在先前的檔案地址複製到這裡，改成ASP的吧？回憶一下，沒有這樣做，再看看，與先前上傳的檔案名稱不同。怎麼回事，試試吧。天！奇蹟真的出現了，ASP執行了！

後來進去後看了一下代碼，前台沒有任何過濾，後台只過濾了ASP，而且由於代碼錯誤，它只是警告，並沒有停止執行，檔案繼續上傳了。

指令碼小子：相關代碼如下：

fileExt=lcase(right(file.filename，3))
if fileExt="asp" then
Response.Write"檔案類型非法"
end if
end if
randomize
ranNum=int(90000*rnd)+10000

所以它實際上可以上傳任何檔案，警告提示只是嚇唬人。

有了這個ASP後門，其它的就好辦了。上傳一個控制後門，果然很容易就進入了先前的目標網站。開啟Coon.asp，資料庫的密碼出來了，通過後門程式將正在用的副檔名為ASP的資料庫下載，改成MDB的，用密碼開啟，管理員的密碼又是明文。用管理員姓名和密碼，終於進入了目標網站後台。這次入侵可以說沒有用上駭客工具，也沒有多少技術可言，但入侵的思路與方法還是很獨特的。有幾個地方還是能給大家啟發的，把網站的安全工具變成找肉雞的工具，在直接不行時迂迴作戰，最後達成目的。可以說，駭客不僅僅是技術，有時思路也是很重要的。此外，這次入侵過程也顯示，網站管理軟體是一把雙刃劍，因此必須採取必要的安全措施，要麼加上密碼認證，要麼用時上傳，用後刪除。（