中国书画联盟与站长网站友情链接检测指南

最近听说了件挺有意思的事情。有位经营饭店的朋友，对隔壁一家书法画室的老板钦佩不已，直言对方不仅书画技艺精湛，还自己搭建了个人网站，甚至创办了中国书画联盟（http://www.zgshlm.com/）。深入查探后发现，这位站长其实是个低调的“资源大户”——域名、服务器资源购置了不少，技术能力也相当扎实。

今天顺着这条线索，对该目标站点进行一次友情检测，看看这位传奇站长究竟有多厉害。

首页印象：全静态页面，CMS类型未知

目标站首页一眼望去全是静态页面，推测后台应该是ASP生成静态HTML。具体用的什么CMS？个人开发的可能性很大，但一看整体架构，又像是一套成熟的系统——真是让人既佩服又好奇。

继续往下浏览，站长个人站和百度Hi空间也一并打开查看。

这两个站在风格、目录结构上高度相似，要么是同一个人手写，要么是同一套CMS，基本可以确定。

后台探查：从403错误到管理员名称

既然都是静态页面，注入类攻击这条路基本被堵死了。那该怎么入手呢？在公告栏处发现了管理员名称——Admin。

抱着试一试的心态，在地址后面加上 admin/，结果返回403错误——有戏！说明后台目录存在但被拒绝访问。

接着猜测后台登录页面：admin/admin_login.asp，成功命中。

注意底部白色圆圈处——版权信息暴露了CMS类型：创力系统（CreateLive CMS）。这下就好办了。

下载数据库：版本差异中的小技巧

从官方下载了一份创力CMS 4.0，发现默认数据库路径是：Data\#Cl_CreateLiveCMSv40.mdb。把#换成%23（URL编码），用迅雷下载，结果不对？难道是版本不对？

重新判断：官方已经升级到4.2，那么路径很可能是Data\#Cl_CreateLiveCMSv42.mdb。一试，果然成功下载回来了。

（后来补充：创力4.0本身存在漏洞，4.2的0518版本之前也存在SQL注入，不过此处我们走数据库下载这条路。）

破解密码：从数据库到后台

打开下载回来的数据库，在user表里找到admin密码。无奈CMD5上提示收费，于是转向www.tmd5.com尝试破解。托朋友帮忙，结果顺利得到了明文密码：780722****。

登录后台，成功！

后台上传：曲线救国拿下Webshell

走到这一步，其实有两个方向：一是社会工程学，用这个密码配合收集到的信息进行电话欺骗等；二是继续拿Webshell，获取服务器权限。但目标是中国书画联盟，不是站长个人站，不过对这套CMS后台的限制很感兴趣——常规上传漏洞不存在，备份数据库的backup目录不能修改，建立.asp目录利用Windows 2003缺陷的方法也无效。

折腾一圈，终于发现一个很“鸡肋”的功能：生成静态页面时，后缀名居然可以自定义！把.html改成.asp，然后将木马写入要生成的内容中，再生成首页——完美得到Webshell。

具体操作步骤：

1. 新建一个频道（为了不破坏原站数据）

2. 选择生成静态页，把html改成asp

3. 风格管理——首页修改，写入木马

4. 生成首页，得到http://www.999252.cn/Html/123/Index.asp 的Webshell

Yeah，成功！

上传大马，收工。

意外发现：目标站就在同一台服务器

本来准备转向社会工程学方向，然而一个目录引起了注意：zgshlm。这不就是目标站吗？得来全不费工夫！不过也可能是备份数据，需要确认。如果是备份，至少也能拿到admin密码。

这时人品爆发——打开一看，就是目标站！站长买的同一空间（后台显示8000M，800元一年）。

后续：统一密码下的“降维打击”

统一密码，万能密码，用这套网站管理密码直接登录了他的QQ邮箱（就是QQ本身）。空间管理面板、百度Hi空间……但凡能登录的地方，全部进去了。支付宝那边，理论上也能通过找回密码搞定，毕竟已经掌握了他大部分信息。

发几张图，自我娱乐一下。

FTP信息很多，域名也很多。不过君子爱财取之有道，修复了路径上的漏洞，然后通过QQ告知站长，撤了。