危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2306 浏览20613331

注入点是筛出来的

从学会使用注入检测工具的那一天起,像啊D、明小子等等,恐怕很多初学者都同我一样只会重复如此经典的操作过程——先在浏览器中打开目标网站进行踩点的初步观察,然后点击首页上点击寻找一个疑似注入点的链接,接着将它复制到明小子的“SQL注入猜解检测”中,点击“开始检测”按钮;如果被提示“检测失败,该URL不可以进行注入!”的话,相信大部分的初学者会直接放弃对该网站的入侵检测,注入无解啊;反之,如果被提示“恭喜,该URL可以注入!”的话(都特别喜欢这个提示的),就可以接着进行数据库、域名等进一步猜解工作了,从而使得接下来的拿WebShell等入侵过程变得势如破竹。也就是说,检测到目标是否存在注入点是整个注入攻击的基础前提。

后来陆续在几个入侵动画教程中看到一些作者并不是这样的经典操作,而是先将目标网站的域名复制到啊D的“扫描注入点”中,然后点击各链接进行浏览,此时在下方的“可用注入点”处就会动态显示“检测链接”等信息;如果目标网站存在注入点的话,就直接显示出来以供检测或者复制。

我对这种做法并不感冒,也没太往心里去,最多将其定性为“各人习惯不同”;但是,最近在对某网站进行入侵检测时却改变了自己的这种狭隘看法,希望朋友们也能从中学会变通,让自己的技术再稍微前进一小步。事情是这样的:  

在浏览器中打开目标网站,大体点击了几个链接观察了一下,这种链接看起来就不太像注入点。不过,只管先复制到明小子中测一下再说。不出所料,很快就被提示“检测失败,该URL不可以进行注入!”。

打开啊D的“扫描注入点”界面,将网址粘贴到“检测网址”中后点击后面第一个“打开网页”按钮。接着点击了若干个链接,没什么反应;后来点击到目标网站的“备课系统”时,惊喜出现了:啊D下方的“检测连接”处用红字提示出两个疑似注入点。将第一个链接复制到明小子中进行检测(个人喜好),非常顺利:检测出有admin数据库、列名是user和pass、1条记录,账号信息是admin/8300343。而且,该账号的密码是明的,省得再去进行MD5破解了,这也说明这个备课系统绝对是目标网站的一个风险极高的安全隐患。

下面就来试试看这些敏感信息是否有用:

先扫一下“管理入口”,点击打开后发现是个多用户博客系统,最上方有个“领导登录”,点击后进入真正的后台登录。将账号admin和密码8300343输入,登录,成功了!不用再继续进行网马的上传以得到WebShell了,我想已经足已说明问题了。当定点人为找出的疑似注入点被无情地提示“检测失败”时,大家不妨放手让啊D这样半自动地跑一跑,说不定就会出现惊喜——“筛”出个注入点来!大家有兴趣交流的话可以来联系危险漫步啊!