A-A+

通过上传漏洞获取webshell

2013年11月11日 渗透测试 暂无评论 阅读 1,783 次

这种方法和我以前讲过的利用编辑器漏洞拿webshell是相似的,有的网站虽然没有注入点,但存在上传漏洞,那我们如何利用的呢?

首先,看一下是否存在上传地址,如果有,试想传一个asp马看行不行,不行传一句话试试,先看能否成功,不行借助工具明小子来上传,动网,动力,动感,乔客4种方式,页面地址格式要对应,如果这个网站地址弹出对话框,显示上传成功,那么证明可以拿到webshell。

若没有任何显示,直接空的,那么可以重新构建上传,第一个上传jpg格式图片,第二个传asp大马,(记住,大马后面要有个空格才行)如果一个网站地址出现文件类型不正确,请重新上传,那么证明%90可以拿到webshell,只是格式不对不允许,改后缀,只要是网站没有过滤的格式;如果一个网站地址显示请登陆再上传,那么证明没有拿到cookies,思路是在该网站注册一个用户,得到cookies,然后上传就成功了!

ps:自己可以本地搭建先联系哈,另外请不要搞破坏!

给我留言