动网的上传漏洞

游客

标题:动网的上传漏洞
正文:
动网论坛注册头像上传文件的一个漏洞，可以被黑客所利用，上传ASP木马到网站的目录。以致网站完完全全被控制在黑客的手中。下面我们一起来看看黑客是如何利用这个漏洞的。 目前，这个漏洞主要存在于Dvbbs version 7.0 sp1和7.0.0 sp2这两个版本中。 首先，我们到百度或者其它搜索引擎，输入&quot;Powered Byvbbs Version 7.0.0 sp2&quot;查找网站，搜索结果那么多，我们怎样才知道哪个网站是有漏洞的呢？ 例如，我们找到www.123.com/bbs/index.asp这个论坛首页，我们就更改它的地址，输入www.123.com/bbs/upfile.asp，如果这个网站存在漏洞的话，我们打开这个地址就会发现网页中出现&quot;选择你要上传的头像[重新上传]&quot;的字样。如果不存在漏洞的话，那么打开这个地址就会&quot;找不到网页&quot;或者出现一个空白页面。 好，我们现在假设www.123.com/bbs/index.asp这个论坛有漏洞，该怎么上传木马呢？ 我们需要准备两个工具，①Dvbbsupfile.exe（用来上传木马）②海洋顶端asp木马（其它木马也可以，在这里，我们用海洋顶端asp木马为例）把它们放在同一个目录下，打开Dvbbsupfile.exe，填入网站地址www.123.com（不要加http://），再填上木马Newmm.asp（海洋顶端asp木马的名称），接着填上上传文件地址/bbs/upfile.asp（如图1），点击Send，木马就开始上传了。木马上传成功后，在DvbbsupFile.exe里会给出木马地址www.123.com/bbs/uploadFace/Newmm.asp我们打开它，就会出现一个对话框，要求我们输入用户名。（这个木马有默认的用户名和密码，用文本打开Newmm.asp就可以看到，也可以自己修改密码）输入用户名，进入一
[<<][[1]][2][>>]

查看评论(0)
发表评论

首页