安全检测中国被黑站点统计

作者：顺子个人blog：http://hi.baidu.com/hackerckhuaini

红色黑客联盟（www.2cto.com）原创作品，转载请注明（红黑联盟攻防文章大赛参赛作品）

起因

      最近好多黑客站被"安全检测"."黑鹰","黑基","cmd5","安全中国",都难逃魔掌.今天刚一开QQ就传来"中国被黑站点统计"的被黑的消息.于是我就沉思了一会儿.为什么这么大站都被黑了呢?这是为什么呢?我就带着这个疑问就对"中国被黑站点统计"进行了一次安全检测.

不管了,旁注先.把要旁注的站都找到,然后打开恶灵战队开发的黑客搜索.点入侵助手http://www.hacksou.com/hackass/.搜索点敏感的漏洞.最后在一个政府的站找到了EWEBEDITOR编辑器。在编辑器目录下输入样式的ID. ewebeditor.asp?id=content&style=standar一般编辑器的默认样都是standar.传了个图片如图1

图1。好。可以访问。可爱的马没被杀如图2图3 图2。

 图3这时候还是JPG的格式。不能把大马拉上去。现在就让他还回ASP的身体吧。呜呼呼呼。继续看服务器。ABCDEFG盘。那么多。找了N久。终于找到了。G盘一个目录下。找到了旁注站政府站的域名文件夹。嘿嘿..极度开心。竟让访问不进去。没有权限。我挺郁闷。怎么办呢。

   但是我超高的智商帮助了我。五笔输入法。五笔是不是SYSTEM的权限呢。我超高的智商。果然帮助了我。右键G盘。属性。安全。把SYSTEM添加进去。可以访问。然后把完全控制勾上。嘿嘿。也能修改了。激动人心的时刻。点进去。哈哈。- -看到了旁注站的WEB目录。把马成ASP后缀。访问下。OK拉.如图4

图4

轻车熟路的小马拉大马，再问恶灵战队站长要了一个免杀的大马。

       存上去访问一下!如图5

       图5

在这里顺便教大家一个隐藏WEBSHELL的好方法。

       这个方法是从朋友杰少那里学来的。

       首先假设我们的马地址是http://xxx.com/1.asp

我们先使用大马在根目录新建一个名字111…\的目录。如图6

图6

当然会提示无法找到路径.如图7

图7

       我们访问一下。如图8

图8

接着我们把我们的小马。也就是http://xxx.com/1.asp拷贝进入这个目录。如图9

图9

图10

接着来。找找被黑站统计的目录。。我觉得太麻烦了。

就去主站看了下，我们先随便选择一个组织的名字。如图11

       图11.智圣黑客基地

       图12

我们在这个链接后面加上一个单引号’发现出错了.如图13

图13

呵呵，网站的路径就暴露出来了。但是经过测试。发现并不能注入。

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in F:Vhost001HT02zone-hwebindex.php on line 142

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in F:Vhost001HT02zone-hwebindex.php on line 176

F:Vhost001HT02zone-hwebindex.php

路径得到了利用然后把web目录的权限改掉.直接丢一个马过去,shell到手了.这么快就把shell搞到了不刺激.下一步是提权.提权简单死了..用把cmd丢到一个目录里.设置好目录权限.直接执行cmd命令,就这样搞到了服务器.

本次检测没有什么高深技术.只是漏洞太低级了.不知道那天黑这个站的"大牛"是用的什么漏洞黑的.

后记

在后来发现了。其实不用那么麻烦的。刚开始的时候就可以轻松把服务器拿下来。主要开始是想删除掉sethc.exe来制作一个shift后门。可是不管怎么删。还是删不掉。原来是有先需要删除c:windowssystem32dllcache这个目录下的sethc.exe 才能把c:windowssystem32目录下的sethc.exe删除。所谓刚开始就能拿服务器的方法还是利用输入法漏洞。因为漏洞已经修补了。截图就没办法截了。只是给大家提供一些思路。

首先假设当前登录界面处于锁定状态下，点击界面左下角键盘状的输入法选择按钮，在出现的菜单中选择《极点五笔输入法》。点击一下登录界面的空白处，这时会出现《极点五笔输入法》的输入法状态条，在上面点右键，在出现的菜单中依次选择“输入法设置→设置另存为。在登录界面会弹出一个文件保存对话框，在这个对话框中我们可以浏览硬盘中的任意文件，包括创建和删除文件。在对话框中操作文件很不方便，况且并不能算是真正的入侵，因此我们可以利用漏洞创建一个具有管理员权限的账户，用这个账户进入系统。在对话框的地址栏中输入“c：windowssystem32 et.exe user hacker hacker /add”，输入完毕后点击一下旁边的“前进”按钮，这时会有一个“命令提示符”窗口一闪而过。虽然登录界面看起来没有什么变化，但我们已经在系统中创建了一个名为hacker，密码为hacker的普通账户。之后重复刚刚的步骤。输入命令c：windowssystem32 et.exe net localgroup administrators hacker /add就可以把我们刚刚建立的用户hacker提升为管理员了。在这里请注意是administrators。而不是administrator，因为我们添加一个管理的话。管理员就有多个了。就要在后面加上一个s。

其实很多名气大的网站都有漏洞。只是看大家平常细心程度的不同。