时间:2018-11-15
ID:joker_vip(简书)
这是本人第一次在这个论坛发表学术文章,希望我的文章能够给一些新手一些帮助,如果有问题,希望大佬们能轻喷。因为我也是在校大学生,也是信息安全方面的爱好者,所以这些渗透只是也全是自学的,也希望有大佬指点指点我,带一带我。
这次的渗透是半运气+半技术的成果,首先在谷歌搜索引擎中批量查找存在PHP探针的网站,类似于下图(图1)这种网页。

之后我在网页下方尝试使用弱口令进行连接,绝大多数网站都是改过密码的,使用弱口令失败。

只有极少数的网站可能使用默认密码,类似于图3。

连接成功后,点击phpMyAdmin管理。

进入到登陆页面,进行刚刚测试的弱口令对其登陆,登陆成功了。

成功进入到管理后台中。

执行sql语句,进行插入一句话木马。

目录路径为这个。

点击执行,执行成功。

使用中国菜刀对一句话进行连接。

连接成功。

之后上传大马后门。

访问大马,成功进入,有趣的是本人通过扫描还发现了文件中存在其他木马,秉承着道德良好的品行,义不容辞的帮助此站删除了其他木马后门。

测试完成后,联系其网站管理员,发现是一美国的服务器,无奈英语不好的我只有用谷歌翻译向网站管理员发送邮件说明情况,对方回应会修复其漏洞,最后我删除上传的木马,删除日志,一气呵成,深藏功与名。
最后提一句,网站测试不等于搞破坏,挂黑页、删库等恶劣行为,最好不要进行上述等操作。希望大家都能成为信息安全领域的大佬。
时间:2018-11-15
ID:joker_vip(简书)
--未经本人允许不得转载,转载需表明出处。--
网友评论