利用他人程序实施二次入侵的完整流程

（一）简单上传漏洞

许多刚接触黑客技术的初学者，常常苦于找不到入门的学习路径，只能靠自己一点点摸索。看着圈内那些声名显赫的“大神”，感觉就像仰望上帝一样遥不可及。有一天我突然想到：既然别人能把某个网站或程序的源代码公开分享出来，那么这个程序本身很可能就存在漏洞。即便是通过系统漏洞获取的代码，只要程序到了手，尤其是那些需要用户名和密码才能登录的系统，总能找到一些可以利用的突破口。

有了想法就立刻动手。我先挑选了一个某国家级信息网站，下载并解压了源码包——一个900MB的压缩包，抽根烟、煮碗泡面，回来就解压好了。接着恢复数据库、配置IIS，在自己机器上成功运行，程序完整、功能正常。

最简单直接的思路：先查看数据库连接语句。发现用户是sa，密码是xxxxxx，尝试用sqlexec连接，提示不正确——这很正常，毕竟网站源码已经流传出去好一段时间了，网管要是还不改密码，那才叫奇怪。

接着考虑最基础的攻击方式：上传ASP木马。搜索本地网站源码中所有文件名包含“up”的文件，发现了多个upload.asp、uploadfile.asp、upflie.asp。打开文件夹，发现使用的是无组件上传，如果未经修改，这种上传方式无法限制上传ASP程序。一个一个仔细检查后发现，很多地方都做了限制，但有两处没有限制——失误啊失误。一处是文章管理，只有管理员添加文章时才能上传，找到数据库管理员表，发现只有一个admin管理员，密码是MD5加密，暂时放弃。另一处是投资管理平台，按省份划分，找到用户表，发现密码是明文。先用湖南省的用户名密码登录，发现已经被修改过，没关系，继续尝试其他省份。运气不错，找到一个某省的账户，用户名和密码都没改。登录进去，进入自己的发布管理，提交信息，发现上传图片功能用的正是刚才找到的upload.asp文件，测试上传，成功。

后面的操作就简单了。找到conn.asp，发现居然还使用的是sa用户连接，密码换了一个，不用多说，sqlexec连接成功，执行cmd命令也成功。网管确实心大。之后添加用户、开启3389、留后门，都是常规操作。发现服务器上挂着很多系统和网站，收获颇丰。

不过过了几天，发现上传的ASP木马——无论藏得多隐蔽，都被删除了（已经修改过特征码，防病毒软件应该扫描不到才对）。可能是管理员经常查看IIS日志。后来换用了冰狐浪子的木马，再用插入图片加映射的方法，也能存活，给自己留了N多个备用用户。

总结一点：实践出真知，大家一定要多动手。有人说，别人已经入侵过的系统再进去，是吃别人嚼过的馍，没意思。但菜鸟就是菜鸟，高级编程不行，可以从其他方向突破，既能演练学到的技巧，说不定还能有意外收获。

（二）攻破上传时JS判断文件类型

这次的目标是一套管理软件，我个人对ASP程序的管理型软件比较感兴趣。偶然一次机会发现了一套某行业的管理软件，而且这套软件还有多个行业版本。因为是菜鸟，向高手要源码时没人搭理，只能自己想些办法。

先在网上搜索这套管理软件，运气很好，找到了在线演示。同样，其他管理软件也提供了在线演示。Ping一下，发现所有演示都部署在同一台服务器上，太好了。已经拿到了第一套ASP源码，相信找到漏洞只是时间问题。

同样先配置本地管理软件运行，找到能上传文件的地方——比如资源管理里的上传功能。选择海洋木马，上传，结果弹出对话框：“您上传的文件必须为……”一堆文字，意思就是不能上传ASP程序。先不看它，直接找到上传文件：upload.asp。所有的上传都使用同一个文件，程序非常严谨，而且用了组件，但没发现任何限制文件类型的语句。这时候任何人都会怦然心动——一定是JS做的限制。看过很多文章，知道只需要保存一个页面，修改提交路径，就能上传任意文件。现在有了源码，连页面都不用保存，本地运行后修改路径就能直接提交。

回头看程序，刚才进入资源管理的添加功能，出现上传界面。右键查看源文件，发现居然用的是网页对话框，无法新建窗口，也无法查看源文件。这时候打开本地源码文件夹，找到上一个出现添加按钮的页面的源代码，研究一下，发现弹窗中的文件是xxxxxxx/xxxx/xxx/update.asp。找到这个文件，打开，果然有一段JS：

if (s == "" || ";gif;jpg;png;wa v;mid;mp3;zip;rar;lha;a vi;mpg;mpe;ppt;doc;xls;txt;js;css;exe;swf;pdf;htm;xsl;xml;mdb;log;".indexOf((";" + s + ";").toLocaleLowerCase())

注意：在上传文件中，一直有一个判断权限的function，这意味着如果想提交到远程网站，不仅要在action后面输入远程Update.asp的绝对路径，还要具备远程程序运行的权限。也就是说，在运行本地程序之前，必须先登录远程演示系统，否则没有权限上传。

修改完毕，最后一步：打开本地程序，运行；打开远程演示程序，登录。点击本地某个目录下的上传，然后去远程程序的相应目录下查看，果然上传了一个ASP文件，文件名变得稀奇古怪，但扩展名仍然是asp，后面有一个下载按钮。点击，海洋2005的界面就出来了。